浏览器智能体被诱导走岔路：STEER-Bench上攻击成功率94.4%，COBRA压到0%
核心概要
直接操作图形界面的计算机使用智能体要在运行时按网页内容分支，攻击者便可构造不可信数据，把智能体逼进一条预先批准却危险的路径，而不必写入任何显式指令。STEER-Bench用9个领域的101个任务测这类分支转向攻击，标准智能体攻击成功率为94.4%，原版Dual-LLM架构为89.5%。COBRA把可信分支计划与事先设定的能力约束配对，严格限定每条分支可执行的参数与目标，在把攻击成功率降到0%的同时保留97%的正常用途。
深度剖析
计算机使用智能体在图形界面里执行第三方网页工具时，攻击面从显式指令注入扩展到分支选择本身：对手只需让智能体落进一条已被批准的危险分支。 Dual-LLM模式原本用隔离的Planner LLM在处理不可信输入前固定执行路径，以此提供系统级安全保证；但在图形环境中，计划必须依赖运行时网页内容分支，这种保证随之失效。 STEER-Bench覆盖9个领域共101个任务，标准计算机使用智能体攻击成功率94.4%，原版Dual-LLM为89.5%。
COBRA让分支计划保持可信，并为每条分支预先设定能力约束，使该分支能执行的参数和目标被严格限定在边界内。 此前的Dual-LLM只约束计划与不可信数据的隔离，不约束分支内部可调用的参数与目的地。 在同一STEER-Bench上，COBRA把攻击成功率降到0%，同时保留97%的正常用途。
启示与展望
报道依据的是摘要层面的信息，未覆盖完整论文。已展示的范围是STEER-Bench上的9个领域、101个任务，评估对象为标准计算机使用智能体与原版Dual-LLM，以及COBRA架构。适合关注智能体安全架构的研究人员与工程师阅读。
摘要只报告了STEER-Bench上的攻击成功率与正常用途，未说明该基准之外的环境表现；0%与97%是这一设定下的结果，尚不构成对其他部署场景的保证。