COBRA 架构将分支引导攻击成功率从 94.4% 降至 0%，同时保留 97% 良性效用
相关研究与后续进展
核心概要
该工作系统研究了针对计算机使用代理（CUA）的分支引导攻击——攻击者通过构造不可信数据迫使代理进入预先批准的危险分支而无需注入显式指令，并提出 STEER-Bench（覆盖 9 个领域的 101 个任务）显示标准 CUA 攻击成功率达 94.4%、原始 Dual-LLM 达 89.5%，随后提出 COBRA 架构，将可信分支计划与事前能力约束配对，严格限定每个分支可执行的参数与目标，在 STEER-Bench 上把攻击成功率降至 0% 并保留 97% 的良性效用。
Figure 1: The overall design of COBRA. COBRA separates planning from untrusted interaction by using the P-LLM and Q-VLM, and achieves Control Flow Integrity (CFI). The Branch Resolution Hub (BRH) checks runtime values against the committed plan, and HTTP and MCP proxies apply the enforcements, and achieves Data Flow Integrity (DFI).
arXiv深度剖析
论文识别并系统刻画了分支引导攻击：在图形环境中，CUA 的交互本质上是动态的，计划无法保持数据无关，必须依据预期的运行时网页内容进行分支，攻击者据此构造不可信数据，把代理引导到预先批准但危险的分支上，而无需注入显式指令。 此前 Dual-LLM 模式被视为提供形式化安全保证的主要系统级架构，其思路是用隔离的 Planner LLM（P-LLM）在处理不可信输入前固定执行路径，再由 Quarantined LLM（Q-LLM）处理不可信输入；该工作指出这类保证在图形环境中失效，并把分支引导作为一种独立攻击面提出。 论文以 STEER-Bench 为评测载体，覆盖 9 个领域共 101 个任务，报告标准 CUA 攻击成功率 94.4%、原始 Dual-LLM 攻击成功率 89.5%，说明该攻击面对两类代理均高度有效。
论文提出 COBRA 架构，将可信分支计划与事前能力约束配对，严格限定每个分支可执行的参数与目标。 与仅依赖计划与不可信输入隔离的 Dual-LLM 不同，COBRA 在分支层面预先约束能力边界，使被引导进入的分支本身无法执行危险参数与目标。 在 STEER-Bench 上，COBRA 将攻击成功率降至 0%，同时保留 97% 的良性效用，表明防护并非以牺牲正常任务完成为代价。
论文提供了可复用的评测基准 STEER-Bench，覆盖 9 个领域、101 个任务，用于衡量分支引导攻击与相应防御。 此前缺少针对分支引导这一攻击面的系统性评测集合，该基准使攻击成功率与良性效用可以在同一任务集上对照衡量。 基准规模与领域覆盖在摘要中明确给出，攻击与防御结果均在该基准上报告，形成可比较的评测条件。
启示与展望
该结果面向直接与图形用户界面交互、并执行第三方网页工具的计算机使用代理，适用于需要在处理不可信页面与工具响应时保持执行路径安全的部署场景。COBRA 的设计前提是存在可信的分支计划，并能在事前为每个分支设定能力约束，因此其适用范围是那些可以预先枚举分支及其参数与目标的任务形态。STEER-Bench 覆盖 9 个领域、101 个任务，为后续研究提供了可比较的攻击与防御评测条件，便于在同一任务集上衡量攻击成功率与良性效用。
摘要给出的是攻击成功率与良性效用的总体数值，未展开 STEER-Bench 各领域的具体分布、任务构造方式与判定标准，也未说明 COBRA 中能力约束的设定流程与人工成本。0% 攻击成功率与 97% 良性效用是在该基准与所评测代理配置下得到的，向其他界面、工具生态或更长交互链条推广时仍需进一步验证。若需要评估具体实现细节与复现条件，应查阅原文的方法与实验部分。