論文の概要: What It Is, Not What It Says: Securing Agentic Browsing Interactions with Web Semantics
- arxiv url: http://arxiv.org/abs/2610.22697v1
- Date: Thu, 15 Oct 2026 22:02:45 GMT
- ステータス: 翻訳完了
- システム内更新日: 2026-10-20 00:56:07.685506
- Title: What It Is, Not What It Says: Securing Agentic Browsing Interactions with Web Semantics
- Title（参考訳）: エージェントブラウザとWebセマンティックスとのインタラクションのセキュア化
- Abstract要約: AIエージェントは、ユーザの代理としてWebを閲覧する一方で、Webページをスクリーンショットやテキストとして消費する。
Intactは、証明とWebセマンティクスをキャプチャするbespoke表現であるGenTreeを構築する。
1,270の実際のWebページでは、GenTreeはブラウザとしてサードパーティに2.3倍の要素を割り当てている。
- 参考スコア（独自算出の注目度）: 3.310861897787413
- License: http://creativecommons.org/licenses/by/4.0/
- Abstract: AI agents increasingly browse the web on users' behalf, yet they consume webpages as screenshots or text, exposing their LLMs to unvetted third-party content. Browsers enforce semantics under which what an element can do depends on what it is and where it comes from, not on what it says. Agents flatten these semantics, so injected text can persuade the LLM to exercise the user's authority for content that has none. As LLMs remain easy to persuade, the agent's interface to the web must itself ensure the integrity of what the agent reads, interprets, and does. We propose Intact, which runs on an unmodified browser. Intact builds GenTree, a bespoke representation that captures provenance and web semantics. Intact passes the page via GenTree to the LLM one element at a time, so the LLM decides on each element without any other element's text. Its harness executes each step only within the capabilities of the step's element and asks the user before acting on third-party content. On 1,270 real webpages, GenTree attributes 2.3x as many elements to third parties as the browser, which misattributes 58.7% of them to the first party. On 1,091 of these webpages with injected attacks, only 12.8% of attacks get through Intact's planner, each at most as a consent request, against 73.1% for a conventional planner. Isolation disrupts functionality on only 3.7% of tasks, and a parallel schedule could remove most of its added latency.
- Abstract（参考訳）: AIエージェントはユーザの代理としてWebを閲覧する傾向にあるが、Webページをスクリーンショットやテキストとして消費し、精査されていないサードパーティコンテンツにLLMを公開する。
ブラウザは、ある要素が何であるか、どこから来たのかによらず、その要素が何をできるかにかかっているセマンティクスを強制する。
エージェントはこれらのセマンティクスをフラットにするので、注入されたテキストはLCMを説得して、何も持たないコンテンツに対するユーザの権限を行使する。
LLMは容易に説得できるので、エージェントのWebインターフェースは、エージェントが読み、解釈し、実行するものの整合性を保証する必要がある。
修正されていないブラウザ上で動作するIntactを提案する。
Intactは、証明とWebセマンティクスをキャプチャするbespoke表現であるGenTreeを構築する。
IntactはGenTreeを介してページを一度に1つの要素に渡すので、LCMは他の要素のテキストなしで各要素を決定する。
そのハーネスは、ステップの要素の能力内でのみ各ステップを実行し、サードパーティのコンテンツに作用する前にユーザに尋ねる。
1,270の実際のWebページでは、GenTreeはブラウザとしてサードパーティに2.3倍の要素を割り当てている。
攻撃を受けたWebページの1,091では、Intactのプランナーを経由する攻撃はわずか12.8%であり、それぞれが同意の要求で、従来のプランナーは73.1%だった。
分離はタスクのわずか3.7%で機能を中断し、並列スケジュールは追加のレイテンシの大部分を取り除く可能性がある。
関連論文リスト
- WebMCP-Phalanx: Enforcing and Characterizing Trust Boundaries for Browser-Integrated LLM Agents [1.8734449181723825]
W3C WebMCPの提案により、LLMエージェントはWebページが公開するツールを呼び出すことができる。
マルチパーティのWeb環境では、エージェントの実行をブラウザのセキュリティモデルに統合することは、エージェントアクセス可能なツールに対する十分な実績とライフサイクル保証を残している。
本稿では,2層エージェントランタイムアーキテクチャであるWebMCP-Phalanxを提案する。
論文 参考訳（メタデータ） (2026-08-25T03:16:45Z) - Prismata: Confining Cross-Site Prompt Injection in Web Agents [10.127091687983482]
クロスサイトスクリプティングは、信頼できるコンテンツと信頼できないコンテンツを混在させることが危険であることを証明した。
エージェントは、自然言語を命令として解釈し、サードパーティやユーザ生成コンテンツがエージェントを乗っ取ることによって、このリスクを再認識する。
我々は、Webエージェントのコンテキスト最小特権を強制する防衛であるPrismataを提示する。
論文 参考訳（メタデータ） (2026-07-09T06:37:52Z) - Web Agents Should Adopt the Plan-Then-Execute Paradigm [9.920367562132336]
我々は、WebエージェントがデフォルトでReActではなく plan-then-executeにすべきであると主張している。
信頼できないデータは、事前に定義された実行グラフ内の値やブランチに影響を与える可能性がある。
我々は、Web上でプラン-then-executeを採用する上での主要な障壁を特定します。
論文 参考訳（メタデータ） (2026-05-14T02:48:57Z) - Beyond a Single Extractor: Re-thinking HTML-to-Text Extraction for LLM Pretraining [78.36592534300839]
表やコードブロックなどの構造化コンテンツの場合、抽出器の選択は下流のタスク性能に大きな影響を及ぼすことを示す。
これは単純な介入を示唆している: 異なる抽出器をユニオンに取り込むことで、DCLM-Baselineのトークン収率を最大71%向上させることができる。
論文 参考訳（メタデータ） (2026-02-23T06:41:57Z) - SPILLage: Agentic Oversharing on the Web [13.930845226612767]
LLMはオープンウェブ全体でユーザーのタスクを自動化し始めており、しばしばEメールやカレンダーなどのユーザーリソースにアクセスしている。
私たちは、Webエージェントが、ライブWebサイト全体にわたってタスクを代行するときに、どのようにユーザーリソースを扱うのかを尋ねる。
本稿では,Web上のアクションのエージェントトレースを通じて,非意図的なタスク関連ユーザ情報の開示を行うNatural Agentic Over sharingを形式化する。
論文 参考訳（メタデータ） (2026-02-13T23:02:50Z) - FocusAgent: Simple Yet Effective Ways of Trimming the Large Context of Web Agents [76.12500510390439]
大規模言語モデル(LLM)を利用したWebエージェントは、ユーザの目標を達成するために、長いWebページの観察を処理しなければならない。
既存のプルーニング戦略は、関連するコンテンツを捨てるか、無関係なコンテキストを保持するかのいずれかであり、最適以下の行動予測につながる。
FocusAgentは軽量LCMレトリバーを利用してアクセシビリティツリー(AxTree)観測から最も関連性の高い線を抽出するシンプルで効果的なアプローチである。
論文 参考訳（メタデータ） (2025-10-03T17:41:30Z) - WALT: Web Agents that Learn Tools [66.73502484310121]
WALTは、Webサイト機能を再利用不能なツールにリバースエンジニアリングするフレームワークである。
WALTはアドホックなスキルを仮説化するのではなく、既にウェブサイトに設計されている自動化の堅牢な実装を公開している。
VisualWebArenaとWebArenaでは、WALTはより少ないステップとLLM依存の推論でより高い成功を達成している。
論文 参考訳（メタデータ） (2025-10-01T23:41:47Z) - Manipulating LLM Web Agents with Indirect Prompt Injection Attack via HTML Accessibility Tree [8.511846002129522]
敵はWebページHTMLにユニバーサルな敵のトリガーを埋め込んでエージェントの動作をハイジャックできることを示す。
本システムは,ターゲット攻撃と一般攻撃の両方において,実際のWebサイト間で高い成功率を示す。
論文 参考訳（メタデータ） (2025-07-20T03:10:13Z) - AgentOccam: A Simple Yet Strong Baseline for LLM-Based Web Agents [52.13695464678006]
本研究は, 観察空間と行動空間を簡略化することで, LLMベースのWebエージェントを強化する。
AgentOccam は以前の最先端および同時処理を 9.8 (+29.4%) と 5.9 (+15.8%) で上回っている。
論文 参考訳（メタデータ） (2024-10-17T17:50:38Z) - AgentKit: Structured LLM Reasoning with Dynamic Graphs [91.09525140733987]
多機能エージェントのための直感的なLCMプロンプトフレームワーク(AgentKit)を提案する。
AgentKitは、単純な自然言語プロンプトから複雑な"思考プロセス"を明示的に構築するための統一されたフレームワークを提供する。
論文 参考訳（メタデータ） (2024-04-17T15:40:45Z)
関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。
指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。