Intact通过GenTree架构在浏览器端实现Agent浏览交互的语义级安全防护

该论文针对AI Agent以截图或纯文本形式浏览网页导致LLM易受未验证第三方内容诱导的问题，提出了名为Intact的防护方案。Intact运行于未修改的浏览器中，构建GenTree这一专用表示层，捕获元素的可信来源（provenance）和网页语义，确保LLM仅基于单个元素的属性而非其文本内容进行决策。

实验数据显示，在1,270个真实网页上，GenTree将2.3倍于传统浏览器归因的元素正确标记为第三方，而传统浏览器错误地将58.7%的第三方元素归因为第一方。在包含注入攻击的1,091个网页测试中，Intact的规划器仅允许12.8%的攻击通过（且最多转化为用户同意请求），相比之下传统规划器的攻击通过率高达73.1%。该方案仅在3.7%的任务中因隔离机制影响功能，且并行调度有望消除大部分额外延迟。

事实层面，Intact通过元素级隔离改变了Agent读取、解释和执行的操作边界；推断层面，这种架构可能成为未来Agent安全基座的标准组件，迫使模型从“理解文本”转向“理解上下文权限”；猜测层面，若大规模部署，可能显著降低Agent在开放网络中的误操作风险，但需进一步验证其对复杂动态页面的兼容性。