ANGLER 框架通过自适应攻击者将 Web Agent 端到端攻击成功率提升至 20.36%

该论文提出 REEF 基准与 ANGLER 框架，旨在解决现有 Web Agent 安全评估仅关注文本级固定攻击而低估真实状态变更风险的缺陷。REEF 覆盖 9 个包含旅行、电商等场景的验证器接地网站，为每个良性任务配对恶意目标及 5 种用户与环境层面的攻击类型。

在 8 个基于 VLM 的 Web Agent 测试中，ANGLER 利用近失引导的诱饵演化机制，实现了 20.36% 的端到端攻击成功率（ASR），高于非自适应设置的 15.24%。同时，相比无攻击执行，ANGLER 生成的攻击将良性任务成功率（BSR）从 61.9% 拉低至 44.4%。这些数字直接量化了自适应攻击对 Agent 行为控制的实际破坏力。

事实层面显示，基于状态的验证反馈驱动了攻击变异，而非依赖预设攻击集。推断表明，当前行业通用的静态或单一攻击型评测可能无法反映真实部署中的脆弱性，特别是当攻击能诱导环境状态改变时。猜测部分认为，随着 Agent 自主性增强，此类针对执行环境的动态对抗将成为安全对齐的核心挑战，但具体防御策略需等待后续工程实践验证。