以元素身份而非文本保障智能体浏览交互安全

一篇论文提出 Intact 方案，在未修改的浏览器上运行，构建 GenTree 表示以记录网页语义与来源。它将页面逐元素传给 LLM，使单元素决策不受其他元素文本干扰，并按元素权限执行、对第三方内容先征求用户同意。在 1270 个真实网页上，GenTree 识别出的第三方元素数量是浏览器的 2.3 倍；在 1091 个注入攻击网页上，仅 12.8% 攻击穿过其规划器，常规规划器为 73.1%。

智能体通常以截图或纯文本读取网页，丢失浏览器原有的来源与权限语义，使注入文本能借用户权限行事。该方案把来源与元素能力重新纳入智能体决策链路，并给出真实网页与注入攻击下的量化对比，而非仅停留在提示层防护。

浏览器中元素可做什么取决于它是什么、来自哪里，而非其文字内容。LLM 易被文本说服，Intact 因此把网页转为 GenTree，逐元素隔离输入，单步执行受该元素能力约束，第三方内容需用户确认，从而在接口层限制被注入文本放大的权限。

对做浏览智能体、网页自动化或 RPA 的团队，需在抓取与决策之间加入来源标注与元素级权限控制，并设计第三方内容的确认交互。隔离会带来额外延迟与少量功能损失，证据称仅 3.7% 任务受影响，并行调度可减少大部分延迟。

• 为浏览智能体接入按元素隔离的输入管线，并标注第三方来源，降低注入文本影响决策的概率。
• 在自动化流程中对第三方内容设置用户确认节点，把高风险动作转为可审计的同意请求。
• 采用并行调度降低逐元素处理的延迟，评估其对任务完成率与响应时间的影响。

• Intact 在未修改浏览器上的具体实现方式与兼容范围尚未说明。
• 12.8% 穿透攻击的具体危害程度与剩余风险未被量化。
• 3.7% 功能受损涉及哪些任务类型尚不清楚。
• 并行调度消除延迟的实测数据未在证据中给出。