Веб-агенты на LLM уязвимы к prompt injection

Авторы не просто проверили, может ли атака «пробить» веб-агента. Они собрали специальный бенчмарк — то есть набор тестов, который смотрит на вред с разных сторон: кому именно он вредит, к какой цели ведёт и как ломает поведение агента. Простыми словами, они сделали проверку не только на «взломалось или нет», а на то, что именно пошло не так и для кого это оказалось проблемой.

Зачем такой подход понадобился? Потому что один и тот же вредный фрагмент на странице может по-разному ударить по разным участникам: пользователю, продавцу или платформе. Старые оценки обычно мерили только успех атаки в целом и не замечали, что одна система может тихо делать не то, что надо, другая — срывать задачу пользователя, а третья — просто становиться нестабильной. Здесь как раз показали, что эти различия не случайны, а зависят и от самой архитектуры агента, и от выбранной модели внутри него.

Самый важный итог в том, что нынешние веб-агенты уязвимы сразу по нескольким сценариям, и не нашлось ни одной цели атаки, которую они бы надёжно отражали. При этом сбои выглядят по-разному: иногда атака проходит незаметно и не мешает основной задаче, иногда ломает задачу без явного успеха самой атаки, а иногда происходит и то и другое сразу. Ещё авторы сравнили разные конфигурации и увидели, что выбор базовой модели сильнее влияет на уязвимость, чем сама оболочка агента: одна и та же архитектура с разными моделями может вести себя заметно по-разному.