面向智能体浏览器的同源策略

核心问题：为传统浏览器设计的同源策略（SOP），在智能体浏览器中能否仍阻止未经授权的自动化跨 origin 数据流，此前没有被系统研究过。

• 场景与重要性：智能体浏览器（如 BrowserOS、Perplexity Comet、ChatGPT Atlas）把 AI 智能体集成进浏览器，agent 读取 source webpage 的敏感数据后会留在交互历史中，之后可能被写入另一个 origin 的 sink webpage，形成新的自动化数据流通道。
• 现有工作不足：作者称，以往的智能体浏览器安全研究和基准主要关注单个网页或同 origin 内的提示注入；近期一篇 workshop 论文和一篇博客提出智能体浏览器可能绕过 SOP，但没有系统量化的基准，也没有提出强制 SOP 的机制。
• 核心观察：agent 本身即可充当自动化数据流通道——无攻击时因 agent 不可靠产生被动 SOP 违规；攻击者在 sink 网页注入恶意内容时，注入内容对 agent 相当于"脚本"，产生主动 SOP 违规。
• 论文产出：构建基准 SOPBench，评测 5 个智能体浏览器和 6 个骨干 LLM；提出 SOPGuard 并在开源浏览器 BrowserOS 中实现为 BrowserOS-SOPGuard。
• 威胁模型：
  • 目标：被动违规是无攻击时 agent 无意跨 origin 传数据；主动违规是攻击者通过 sink 网页注入内容，诱导 agent 把 source 网页数据泄露到 sink 网页。
  • 能力：攻击者是 sink 网页的所有者（完全控制内容）或恶意用户（只能发布部分内容，如 Reddit 评论）。
  • 知识：对智能体浏览器为 black-box——可查询并观察其动作和推理轨迹，但不知系统提示词或模型参数。
  • 受害系统：用户用智能体浏览器先后与不同 origin 的 source、sink 网页交互。

智能体浏览器

• VisualWebArena（2024）、SeeAct（2024）——早期智能体浏览器，支持 agent 自主与网页交互，但不是以浏览器为中心的架构。
• BrowserOS（2025）、Perplexity Comet（2025）、ChatGPT Atlas（2025）——近期智能体浏览器，把 agent 能力打包为独立浏览器应用，保留传统浏览器界面并在侧边栏集成助手；维护交互历史，使一个网页的数据在跳转后仍对 agent 可用。

同源策略（SOP）

• 传统浏览器中 SOP 通过 origin 标签检查阻止脚本跨 origin 访问数据；用户手动复制粘贴不算违规。传统语境下 SOP 违规常与 XSS（跨站脚本）一起讨论：攻击者在 source 网页注入脚本，脚本在该 origin 下收集数据并发往其他 origin。
• 作者指出智能体浏览器中的 SOP 违规与 XSS 不同：不注入脚本，而是 agent 自身完成跨 origin 数据转移，sink 网页中的注入内容对 agent 起"脚本"作用。

针对智能体浏览器的提示注入

• 启发式攻击：Combined Attack（USENIX Security 2024）组合多种启发式策略，论文称其为最有效的启发式攻击；Pop-up attack（2024）、EIA（2024）、WASP（2025）把手工构造的恶意指令注入弹窗、HTML 表单或 Reddit/GitLab 内容。论文指出这些攻击主要针对单个网页，没有研究 SOP 违规。
• 优化型攻击：WebInject（EMNLP 2025）假设对智能体浏览器有白盒访问，用梯度下降优化视觉扰动；TAP（NeurIPS 2024）本是针对 LLM 的黑盒越狱方法，本文将其改造为优化 sink 网页注入内容的攻击。

基线与基准：检测器对比基线为 WebSentinel、BrowseSafe、WARD（面向智能体浏览器的注入检测器）和 PromptArmor、DataSentinel（通用注入检测器）；效用评测用 Mind2Web、WebArena-Infinity Hard、REAL；SOP 违规评测用本文构建的 SOPBench。

作者定位：本文是首个对智能体浏览器 SOP 的系统研究（作者称），同时给出量化基准 SOPBench 和强制机制 SOPGuard，而此前工作只做了高层讨论或只关注单网页注入。

整体思路分两步：构建 SOPBench 系统量化智能体浏览器的 SOP 违规，再提出 SOPGuard——给智能体浏览器加标签数据库、打标、标签传播、检测、用户确认五个组件，把自动化跨 origin 数据流转化为需用户确认的手动数据流。

SOPBench：网页与任务构建

• Source 网页：10 个类别（e-commerce、banking、airlines、email、calendar、messages、HR portal、document workspace、insurance、pharmacy），用 GPT-5.4 生成含代表性隐私信息的合成网页，另加少量真实网页静态快照。
• Sink 网页：5 个类别（X、Discord、GitHub、Reddit、Google Forms），覆盖网页所有者（如 Google Forms）和恶意用户（如 GitHub 评论）两种攻击者能力，同样用 GPT-5.4 合成。
• 任务生成：每个 source 类别生成 100 个良性任务 Ts 及提示词 Ps（要求 agent 处理隐私信息）；每个 sink 类别生成 100 个良性任务 Tk 及提示词 Pk；每个 Ts 配一个注入任务 Ti，目标是让 agent 把 Ts 涉及的隐私信息泄露到 sink 网页。任务由 CodeX（GPT-5.4 支持）生成，附录 B 给出完整提示词。

SOPBench：两类违规与攻击

• 被动违规：在 sink 网页中嵌入加载 source 网页的 iframe，用户发出良性提示（如总结当前页面并写入文本框），可能无意引发跨 origin 数据流。
• 主动违规（启发式）：采用 Combined Attack，按 sink 网页上下文手工构造注入内容，使其看起来像自然网页内容（如 X 上的回复说明、GitHub 上的 issue 处理指示）。
• 主动违规（优化型）：对 TAP 做四点扩展——attacker LLM 的提示包含 Pk、Ti、sink 上下文和注入点；evaluator LLM 用针对跨 origin 泄露的评分细则；每个候选跑完整浏览流程（先 source 后 sink）评估；evaluator 输出自我反思反馈给 attacker。attacker 与 evaluator LLM 均为 GPT-5.4，系统提示词见附录 Figure 38、39。

违规判定

• 指标为 SOP violation rate：违规运行所占比例。采用严格比对——只有写入 sink 网页的数据与注入任务 Ti 指定的数据完全一致才计为一次违规。

SOPGuard：五个组件

• 标签数据库：与交互历史并行维护，每条记录 e_i = (id_i, d_i, O_i, J_i)，即标识、内容、origin 标签集和依赖集，不改交互历史也不改用户可见消息。
• 打标（labeling）：agent 调用读工具时，把网页 origin（scheme、host、port 三元组）赋给取回的数据并存库。
• 标签传播：agent 生成新响应时，让 agent 自己识别响应中派生的数据对象并推断依赖集 J_r，其标签集取依赖标签的并集 O_r = \bigcup_{id_j \in J_r} O_j；保守地传播全部历史标签会产生大量误报，因此需要依赖推断。
• 检测：agent 调用写工具时，比对待写文本的标签集与 sink 网页 origin，存在任一不同标签即视为潜在违规。
• 用户确认：潜在违规时中断写入并弹窗，用户点 Approve 才执行，把自动化数据流转为被允许的手动数据流；作者称不直接阻断是因为存在合法的跨 origin 工作流。

BrowserOS 中的实现

• 在 BrowserOS 的读工具（take snapshot、get page content、get dom）上插桩打标；标签传播模块在每次响应提交交互历史前调用，系统提示词见附录 Figure 40；在写工具（fill、type at）上检测；违规时弹出带 Approve/Deny 按钮的确认框。

实验设置

• 被测对象：5 个智能体浏览器——开源的 VisualWebArena、SeeAct、BrowserOS（各配 GPT-5.4-mini、OpenAI o3、GPT-5.4 三种骨干 LLM），闭源的 Perplexity Comet（GPT-5.4、Claude Sonnet 4.6、Gemini Pro）和 ChatGPT Atlas（GPT-5.5）。
• 基准：SOPBench 合成网页上 10×5=50 个 source–sink 类别组合；另有 BrowserOS 的两个较小设置（合成网页被动违规、真实网页主动违规），均用 Email、Insurance、Airlines 作 source，X、GitHub、Reddit 作 sink。
• 样本量：开源浏览器每个组合跑 100 次；闭源浏览器需手动执行，每个组合跑 3 次。闭源只用启发式攻击（迭代优化需人工）。
• 指标与判定：SOP violation rate，写入数据与 Ti 指定数据完全一致才计违规；论文未说明该比对由人还是模型执行。
• 效用与开销：Mind2Web、WebArena-Infinity Hard、REAL 按各自原指标；SOPBench 效用为 100 个测试例上人工标注的二值分；各重复 5 次，配对双侧 t 检验（α=0.05）。
• 标签传播精度：2、4、6、8、10 个 origin 的场景，每档 100 个测试例，人工给 ground-truth 标签集，指标为 Jaccard Coefficient（JC）。

主结果

合成网页主动违规（每格 100 次运行，据 Table 3、Table 4；此处按浏览器×LLM 汇总到 50 个组合的区间，逐格数字见原表）：

表格较宽，可左右滑动

浏览器	LLM	启发式（Table 3）	优化型（Table 4）
VisualWebArena	GPT-5.4-mini	0.33–1.00	0.77–1.00
VisualWebArena	OpenAI o3	0.42–1.00	0.74–0.98
VisualWebArena	GPT-5.4	0.17–1.00	0.55–1.00
SeeAct	GPT-5.4-mini	0.22–1.00	0.80–1.00
SeeAct	OpenAI o3	0.42–1.00	0.73–1.00
SeeAct	GPT-5.4	0.71–1.00	0.85–1.00
BrowserOS	GPT-5.4-mini	0.43–0.99	0.57–1.00
BrowserOS	GPT-5.4	0.03–1.00	0.31–1.00

• 闭源浏览器（Table 3，每格 n=3）：Perplexity Comet 与 ChatGPT Atlas 各组合多为 1/3–3/3，Google Forms 列几乎全为 3/3。
• 作者称优化型攻击一致高于启发式，例如 SeeAct+OpenAI o3、Airlines→Reddit 为 0.84 对 0.42；作者解释原因是优化型迭代精炼注入内容。
• 作者观察到 legacy 浏览器违规率总体高于近期浏览器（GPT-5.4-mini 下 SeeAct 有 32/50 组合超 0.8，BrowserOS 为 21/50），并认为一个可能原因是近期浏览器有更强的安全对齐，但近期浏览器仍有非平凡违规率。

被动违规与真实网页

• 被动违规（Table 6）：iframe 场景下 BrowserOS 三种骨干 LLM 在所有 source–sink 组合上违规率均为 1.00；作者强调该结果特定于 iframe 场景，在无注入内容的顺序交互场景中未观察到被动违规。
• 真实网页（Table 5）：BrowserOS 启发式攻击下违规率 0.40–1.00（如 GPT-5.4-mini、Insurance→Google Forms 为 0.99；GPT-5.4、Airlines→X 为 0.40）。

SOPGuard 效果、效用与开销

• 违规率：作者报告 BrowserOS-SOPGuard 在 SOPBench 被动与主动设置下均把 SOP 违规率降至 0.00。
• 效用（Table 7、9）：四个基准、三种骨干 LLM 上，BrowserOS 与 BrowserOS-SOPGuard 的效用分配对 t 检验 p 值全部大于 0.05（SOPBench 上两者均为 1.000，p 记为 N/A），作者据此称两者效用统计上不可区分。
• 运行时（Table 8、9）：开销在统计上可检出，但幅度为 2.07%–5.79%（如 Mind2Web+GPT-5.4-mini 从 81.16s 到 84.20s）。

标签传播精度与检测器对比

• 标签传播（Figure 2）：GPT-5.4 与 OpenAI o3 在 2–10 个 origin 下 JC 至少 0.955，OpenAI o3 在 2、4、6 个 origin 时 JC 为 1.000；GPT-5.4-mini 中等，2–8 个 origin 时高于 0.9；保守基线一致较低。作者把 GPT-5.4-mini 的中等表现归因于其较弱的通用效用而非传播机制本身。
• 注入检测器（Table 10）：5 个检测器在 5 类 sink 网页（每类 100 个污染页 + 100 个真实干净页）上无一同时取得低 FNR 和低 FPR，如 WebSentinel 在 X 上 FNR 0.00/FPR 0.31，DataSentinel 在 X 上 FNR 1.00/FPR 0.00；作者认为它们不能可靠防御主动违规，且对被动违规天然无效。

自适应攻击与其他分析

• 自适应攻击（Figure 3）：注入内容同时试图误导依赖推断。在 100 个采样测试例上，BrowserOS-SOPGuard 的违规率：启发式从 0.00 到 0.01，优化型从 0.00 到 0.04；优化型自适应攻击平均查询数从 14.7 升至 35.3。作者解释自适应攻击难在两点：待写文本可能已在标签库中无需传播；注入内容须同时完成诱导任务和误导依赖推断。作者还指出其不能提升被动违规率，且只影响 sink 网页上的标签传播。

作者指出的局限与后续方向

• 更强的自适应攻击：作者承认更强的自适应攻击理论上仍可能，例如更有效地误导依赖推断，或通过中间结果而非仅 sink 网页写入时的传播来攻击；设计与评估更强自适应攻击是未来方向（Discussion and Limitations）。
• 标签传播的泛化：SOPGuard 依赖准确的标签传播，GPT-5.4-mini 精度中等，作者称这提示 SOPGuard 可能无法直接推广到更小或更弱的骨干 LLM；欠传播降低安全性，过传播增加误报。提升标签传播精度、使其在弱模型上可靠是未来方向（Discussion and Limitations）。
• API 成本：标签传播由 agent 在响应生成时执行，增加运行智能体浏览器的经济成本；作者提出一个可能方案是用开源 LLM 作骨干，降低成本同时保持鲁棒性和效用是未来方向（Discussion and Limitations）。
• 结论部分重申：未来工作包括探索更强自适应攻击、提升弱骨干 LLM 上标签传播的可靠性、降低 SOPGuard 的 API 成本（Conclusion and Future Work）。

实验覆盖范围

• 被测对象为 5 个智能体浏览器、6 个骨干 LLM；SOPGuard 只在 BrowserOS 一个浏览器上实现和评测（第 5.8 节）。
• 闭源浏览器（Perplexity Comet、ChatGPT Atlas）每个组合仅 3 次运行，且只测启发式攻击；优化型攻击只在开源浏览器上评测（第 4.5 节）。
• 被动违规只覆盖 iframe 嵌入场景和 Email、Insurance、Airlines × X、GitHub、Reddit 的组合；真实网页快照只测启发式攻击（第 4.5 节）。
• 自适应攻击在 100 个采样测试例上评估，只针对标签传播的依赖推断环节（第 5.9 节）。
• 效用与开销各重复 5 次；SOP 违规判定用与 Ti 完全一致的严格比对，论文未报告该比对由人还是模型执行，也未报告标注一致性。

一篇关于智能体浏览器同源策略（SOP）的基准加防御论文。作者指出 agent 的交互历史使一个 origin 的数据可被写入另一个 origin，传统浏览器架构强制执行的 SOP 无法覆盖这一新通道。

• 问题：智能体浏览器存在两类 SOP 违规——无攻击时 agent 不可靠导致的被动违规，以及攻击者在 sink 网页注入内容（对 agent 相当于"脚本"）导致的主动违规；此前缺乏系统量化基准和强制机制。
• 方法：构建 SOPBench（10 类 source、5 类 sink 合成网页，50 个组合，启发式 Combined Attack 与扩展 TAP 的优化型攻击）；提出 SOPGuard，用标签数据库、打标、agent 自推断依赖的标签传播、写入时 origin 检查和用户确认五组件，把自动化跨 origin 数据流转为手动数据流。
• 主要结果：5 个浏览器、6 个骨干 LLM 均出现非平凡违规率；优化型攻击高于启发式（SeeAct+OpenAI o3、Airlines→Reddit 为 0.84 对 0.42）；iframe 被动违规场景违规率为 1.00；真实网页快照上 BrowserOS 违规率 0.40–1.00。
• 防御效果：BrowserOS-SOPGuard 把 SOPBench 上违规率降至 0.00；四个基准上效用与 BrowserOS 在配对 t 检验下不可区分；运行时开销 2.07%–5.79%；自适应攻击仅把违规率升至 0.01（启发式）和 0.04（优化型），优化型平均查询数从 14.7 升至 35.3。
• 作者结论：传统 SOP 对智能体浏览器不足，SOPGuard 可在保持效用的前提下强制 SOP；作者同时承认更强自适应攻击理论上可能、标签传播在弱骨干 LLM 上可靠性不足、API 成本偏高，列为未来方向。