Baya 提出编译执行范式防御 Web Agent 提示注入

该论文提出 Baya，一种基于编译后执行（compile-then-execute）范式的 Web Agent，旨在从设计层面阻断由提示注入引发的控制流劫持。传统 ReAct 范式在运行时混合可信与不可信内容，导致其控制流易受网页嵌入的提示注入攻击；Baya 则在访问实时网站前，将用户请求编译为调用可信网站 API 的可执行 Python 程序，使规划模型无需观察实时网页内容。 评估数据显示，在 581 个有效的 WebArena Verified 任务中，Baya 实现了 77.8% 的综合效用，优于仅使用浏览器的 ReAct（55.1%）和启用 API 的 ReAct（66.7%）。在 WASP 安全基准测试中，Baya 的攻击成功率降至 0%，而 API 启用的 ReAct 为 16.2%，浏览器-only ReAct 为 25.5%。这种机制允许不可信数据决定程序值或在编译时定义的分支中选择，但无法重新定义用户任务或在运行时合成新的网站操作。 事实层面，Baya 利用可信网站 API 提供统一的网站动作空间视图，实现了事前规划，消除了反应式代理所需的逐步动作发现过程。推断上，这种架构迁移可能改变 Web Agent 的安全基线，将安全重心从运行时防御转向编译期约束。猜测的是，该范式是否适用于非结构化或动态变化的复杂网页环境，以及编译开销对实时交互体验的具体影响，仍需更多实际部署数据验证。