Protegendo agentes de uso de computador contra ataques de "direcionamento de ramificação"

O artigo expõe uma falha conceitual na principal defesa formal existente contra prompt injection indireta em agentes que operam interfaces gráficas, os Computer Use Agents (CUAs). A arquitetura Dual-LLM separa um Planner LLM confiável, que define o caminho de execução antes de qualquer contato com dados não confiáveis, de um Quarantined LLM que processa o conteúdo externo de forma isolada. A promessa é que, como o plano é fixado antes de ver dados maliciosos, um atacante não pode alterar o que o agente vai fazer. O problema, segundo os autores, é que em ambientes gráficos dinâmicos o plano não pode ser totalmente independente dos dados: ele precisa prever ramificações, do tipo "se a página mostrar X, faça A; se mostrar Y, faça B", para cobrir os cenários que o agente pode encontrar.

É exatamente essa necessidade de ramificação que abre a brecha explorada pelo branch steering: em vez de injetar uma instrução explícita, que seria bloqueada pelo isolamento do Quarantined LLM, o atacante manipula o conteúdo de uma página ou resposta de ferramenta para fazer parecer que a condição de uma ramificação legítima e pré-aprovada foi satisfeita, empurrando o agente para o branch perigoso sem nunca interagir diretamente com o modelo confiável. Os autores formalizaram esse ataque e construíram um benchmark com 101 tarefas em 9 domínios, mostrando taxas de sucesso de 94,4% contra agentes padrão e 89,5% mesmo contra a versão Dual-LLM de fábrica.

A resposta proposta, COBRA, ataca o problema na raiz: em vez de confiar que o conteúdo da página vai indicar corretamente qual ramificação seguir, o sistema define de antemão restrições rígidas de capacidade para cada ramificação possível, limitando quais parâmetros e destinos cada branch pode de fato executar, independentemente do que o conteúdo malicioso tente sugerir. Com isso, mesmo que o atacante consiga empurrar o agente para o branch errado, a ação concreta realizada fica contida dentro de limites pré-aprovados e seguros.

Isso importa porque Computer Use Agents, que navegam, clicam e preenchem formulários como um usuário humano, estão sendo adotados rapidamente para automação de tarefas em navegadores e aplicações web, muitas vezes com acesso a credenciais, pagamentos ou dados sensíveis. O artigo mostra que a defesa até então vista como padrão-ouro formal não é suficiente sozinha em cenários realistas de interface gráfica, um alerta importante para qualquer equipe implantando esse tipo de agente assumindo que isolar o LLM de dados não confiáveis já resolve o problema de injeção indireta.