Verifiable Action Card quer blindar navegadores agênticos contra confirmações forjadas por injeção de prompt
Sem defesa, ataques de deputado confuso e diálogos de confirmação forjados enganaram os LLMs testados em 68% a 100% dos casos em um navegador agêntico completo. O Verifiable Action Card reconstrói a tela de aprovação a partir da ação real pendente no navegador — não do texto gerado pelo modelo — e a renderiza fora da área que uma página pode manipular, derrubando a taxa de sucesso desses ataques a 0% em 24 cenários, mantendo 78% de conclusão de tarefas legítimas.
Navegadores agênticos — que executam ações como preencher formulários, fazer compras ou navegar em nome do usuário, usando a sessão autenticada dele — dependem de uma confirmação humana (human-in-the-loop) como última linha de defesa contra ações perigosas. O problema identificado pelos autores é que essa confirmação normalmente é construída a partir de texto gerado pelo próprio modelo, o que significa que uma página maliciosa pode manipular o que aparece na caixa de diálogo através de injeção indireta de prompt, fazendo o usuário aprovar algo diferente do que ele acha que está aprovando — um ataque de "deputado confuso" clássico, agravado pela capacidade do modelo de compor textos de confirmação plausíveis e enganosos.
O Verifiable Action Card (VAC) ataca o problema na raiz da confiança: em vez de deixar o LLM descrever a ação para o usuário, o sistema reconstrói a informação de aprovação diretamente a partir do descritor de ação real que está pendente de execução no navegador (a fonte de verdade), junto com informação de proveniência confiável sobre quem originou a intenção. Essa reconstrução é renderizada fora de banda, na interface confiável do navegador (chrome), que nenhuma página web ou conteúdo injetado pode tocar, e a aprovação do usuário é criptograficamente vinculada à ação exata que será executada — revalidada no momento do disparo, para impedir que a ação seja trocada depois da confirmação ("substituição de ação").
Os números de antes/depois são o dado mais forte do artigo: sem o VAC, a taxa de sucesso de ataque variou de 68% a 100% dependendo do modelo, cobrindo cenários de deputado confuso, forjamento de diálogo ("Lies-in-the-Loop"), injeção indireta de prompt, substituição adaptativa de ação e evasão de proveniência. Com o VAC ativo, a taxa de sucesso caiu a 0% em todos os modelos avaliados, sem custo proibitivo em usabilidade: 78% das tarefas legítimas ainda foram concluídas com sucesso, e nenhuma foi bloqueada indevidamente (falso positivo zero) no benchmark de 24 cenários.
O resultado é uma evidência empírica de algo que outras pesquisas recentes de segurança de agentes também vêm convergindo: defesas em nível de prompt (instruir o modelo a "desconfiar" de conteúdo externo, ou a confirmar cuidadosamente) não bastam quando o próprio canal de confirmação pode ser manipulado pelo mesmo conteúdo malicioso que o defensor está tentando neutralizar. A alternativa que funciona é ancorar a confiança em algo que o atacante não controla — aqui, o estado real do navegador e a interface fora de banda —, um princípio de design que deveria orientar qualquer produto comercial de navegador agêntico antes de liberar ações sensíveis (compras, transferências, envio de dados) sob controle autônomo do modelo.