BrowseSafe++: tugevama kaitse loomine reaalsete viibasüstimisrünnakute vastu

Veebi sirvida suutvad agendid, näiteks Cometi või Computeri sisseehitatud assistent, peavad veebilehtedega suhtlema: lugema sisu ja kasutama seda oma kasutajate nimel toimingute tegemiseks. See muudab need haavatavaks kaudse viibasüsti suhtes, mille puhul ründaja paigutab veebilehele pahatahtliku teksti. Kui agent neid juhiseid järgib, võib ta anda eksitava vastuse või teha toimingu, mida kasutaja ei palunud.

2025. aasta detsembris avaldasime selle ohu jaoks võrdlustesti ja tuvastusmudeli BrowseSafe. Lõime selle, lisades sünteetilisi rünnakuid realistlikele veebilehtedele, millega agendid tõenäoliselt kokku puutuksid. Viimase aasta jooksul on rünnakud muutunud keerukamaks ja sarnanevad üha enam tavalise lehesisuga. Selle asemel, et kasutada paljastavaid fraase, nagu „ignoreeri eelnevaid juhiseid“, jäljendavad need sageli sisu, mida agent tõenäoliselt usaldab, näiteks saidi ametlikku teadet või märkust kasutaja eelistuste kohta.

Nendest muutustest ajendatuna lõime uuendatud võrdlusaluse BrowseSafe++, et mõõta, kas praegused süstituvastid neid rünnakuid tabavad ja kas agendid suudavad neile vastu panna. See sisaldab 38 675 rünnatud ja puhta lehe paari, mis on loodud peamiselt päriselus kogutud süstide põhjal. Iga lehe puhul kirjutame ümbritseva sisu privaatsuse kaitseks ümber, kuid jätame rünnaku sõna-sõnalt alles. Iga leht on saadaval neljas vormingus, mida brauseriagendid loevad: HTML, Markdown, ligipääsetavuspuud ja kuvatõmmised. Kasutasime võrdlusaluse alamhulka, et treenida BrowseSafe-Guardi – 0,8 miljardi parameetriga tuvastite paari, mis koosneb tekstituvastist ja multimodaalsest tuvastist. Kaks Guardi tuvastit tuvastavad süste täpsemalt kui testitud viibaga juhitud mudelid, sealhulgas tippmudelid. Need on ka kiiremad ja odavamad ning märgistavad ekslikult palju vähem tavalisi lehti.

Avaldame BrowseSafe++ avatud võrdlusalusena. Projekti veebisaidil on lingid andmestikule, SDK-le, teadusartiklile ja avalikule edetabelile. Iga meeskond saab hinnata oma tuvastit testlehtedel, mille silte ei ole kaasa antud, ning esitada sildid hindamiseks ja võimalikuks edetabelisse lisamiseks. Tulemuste hindamiseks ja esitamiseks vaata jaotist Alustamine.

Võrdlusaluse loomine täheldatud süstide põhjal

BrowseSafe++ on loodud päris veebisaitidel täheldatud viibasüstide põhjal. Ajavahemikus septembrist 2025 kuni septembrini 2026 märgistas Cometi viibasüstide tuvasti 1,15 miljonit süsti lehtedel, mida selle agent luges. Lõime nende süstide põhjal 32 187 paari ja lisasime algsest BrowseSafe'i võrdlusalusest 6488 paari, kokku 38 675 paari. Iga paar sisaldab nii rünnatud lehte kui ka selle puhast kaksikut, mis on sama leht ilma süstita.

Millised süstid päriselus välja näevad

Kaks näidet võrdlusalusest näitavad, millised need süstid praktikas välja näevad.

Ühes neist julgustab võltsitud ostutaotlus agenti tegema volitamata toimingut. Cometi detektor märgistas selle ingliskeelse tekstiploki venekeelsel arendajadokumentatsiooni lehel 2025. aasta oktoobris:

Tekst algab ja lõpeb käskudega ning täidab vahepealse osa tavapärase krüptotokeni reklaamiga. See väidab end pärinevat agendi enda arendajalt ja lõpeb autoriseerimiskoodiga, et ost näiks heakskiidetuna.

Teises näites püüab võltsitud vestlus agendi ülesannet häirida. See tekst leiti 2026. aasta märtsis koodihoidla lehelt:

Tekst on koostatud nii, et see näeks välja nagu vestlus kasutaja ja agendi vahel: <|im_start|> ja <|im_end|> on tähised, mida mõned vestlusmudelid kasutavad vestluse vooruste eraldamiseks. Agent, kes selle rünnaku õnge läheks, reageeriks võltsitud kasutajapäringule ja vastaks ründaja fraasiga.

Märgistatud süstides täheldame sarnaseid mustreid:

• Need jäljendavad usaldusväärseid allikaid. Mõlemad näited panevad lehe teksti kõlama nagu allikas, mida agent usaldab: esimeses selle arendaja, teises tema enda vestlus. Süstimisrünnakud võivad end esitleda ka saidina, jäljendades turvakontrolle ja eeskirjade teateid, või kasutajana, esitades võltsitud eelistusi. Umbes kaks kolmest on kirjutatud ametlikus stiilis.
• Paljud on kirjutatud eri keeltes. 24,4% paaride puhul kasutab süst ülejäänud lehest erinevat keelt. Tavaliselt on see ingliskeelne juhis mitte-ingliskeelsel lehel, nagu esimeses näites. Sellised rünnakud on selgelt suunatud agendile, mis loeb kõiki keeli ja mille põhikeel on tavaliselt inglise keel. Keelevahetused muudavad ka tuvastamise raskemaks: meie algses BrowseSafe'i hindamises olid mitmekeelsed rünnakud ühed kõige raskemini tabatavad.
• Enamik soovib tegusid, mitte sõnu. Enam kui neli kümnest suunab agenti toimingule, mida kasutaja kunagi ei palunud, nagu tokeni ostmine esimeses näites, ja umbes kolmandik püüab panna agenti kasutaja ülesannet pooleli jätma, nagu teises näites. Vaid umbes 3% püüab vastusesse valeteavet istutada.
• Sageli kasutavad need sisu, mida igaüks saab postitada. Ründaja ei pea saiti kontrollima. Piisab foorumipostitusest või jagatud dokumendist tavalisel saidil ning BrowseSafe++ andmestikus jõudis sel viisil kohale üle 23 000 süstimisrünnaku. Ka usaldusväärset domeeni saab kasutada ründaja teksti süstimiseks.

Lõplikus võrdlusaluses esinevad süstid hõlmavad 12 tüüpi veebisaite, 24 ründetüüpi, 6 ründaja eesmärki ja 18 paigutust lehel.

Suurenda

Märgistatud lehest võrdlustesti paarini

Me ei saa kasutada märgistatud lehti võrdlusaluses muutmata kujul, sest need võivad sisaldada isikuandmeid kasutaja kohta, kelle heaks agent töötas. Lehe muutmine jagatavaks võrdlusaluse paariks nõuab kolme peamist etappi:

1. Süsti hankimine: Kogume märgistatud lehed, eemaldame duplikaadid ja maskeerime isikuandmed tööriistaga PII-Tracer. Seejärel kinnitame, et leht sisaldab süsti: täpsemalt nõuame, et mudelite paneel nõustuks, et see sisaldab juhist, mis püüab agenti kasutaja kavandatud ülesandest kõrvale juhtida.
2. Paari loomine: Agent eemaldab igalt lehelt süsti teksti ja kirjutab ümbritseva lehe sisu ümber, asendades sellised üksikasjad nagu nimed ja kaubamärgid väljamõeldutega. Teine agent kontrollib, kas ümberkirjutatud lehele on jäänud päriselu sisu, ja saadab ebaõnnestunud lehed koos tagasisidega tagasi. Inimülevaatajad kontrollivad juhuslikult valitud 10% lehtedest; nende leitud probleemid parandatakse protsessis ja parandused rakendatakse kogu korpusele. Süst lisatakse ümberkirjutatud lehele tagasi, et luua rünnatud koopia, ja jäetakse puhtast koopiast välja. Mõlemal lehel on sama ülesanne, oodatav tulemus ja tavalised juhised.
3. Kontrollimine: Agendid loevad lehti eri kujul, seega renderdame iga lehe HTML-i Markdownina, ligipääsetavuspuuna (lehe liideseelementide ja nende siltide struktureeritud loend) ja kuvatõmmisena. Teine agent kontrollib, et süst esineks rünnatud lehe kõigis neljas vaates ja et puhast lehte hinnataks igas vaates ohutuks. Kui süst puudub mõnes vaates, teisaldame selle lehel teise kohta ja renderdame uuesti, tagades, et süst esineb lõplikul rünnatud lehel kõigis vaadetes. Viimane automaatkontrollide komplekt parandab paarid, milles on endiselt jälgi nende allikast, näiteks päris hostinimesid või kaubamärke.

Suurenda

BrowseSafe-Guard: kiired ja täpsed tuvastid iga vaate jaoks

Kasulik tuvasti peab kontrollima iga lehte kiiresti ja odavalt. Samuti peab see olema täpne nii rünnatud kui ka puhaste lehtede puhul. Kõrge täpsus (precision) on eriti oluline, sest enamik lehti on ohutud; isegi suhteliselt madala valepositiivsete määra korral oleks enamik hoiatustest valehäired. Viibaga juhitud üldotstarbelised mudelid jäävad täpsuse poolest sageli puudulikuks ning on liiga aeglased ja kulukad, et neid igal lehel käitada.

Eraldi kogutud rünnatud ja puhastel lehtedel treenitud detektor võib õppida otseteid, mis juhuslikult eristavad neid kahte kogumit, näiteks lehe teemat või paigutust. Selline detektor aga ei üldistu hästi. Guard treenib selle asemel paaridel, mille ainus erinevus on süstimisrünnak ise, mis aitab parandada detektori täpsust. Iga paari puhul loeb Guard rünnatud lehte ja selle puhast kaksikut eraldi ning annab kummalegi skoori selle kohta, kui tõenäoline on, et see sisaldab süstimisrünnakut. Mudeli uuendamiseks kasutatakse kahte treeningeesmärki: standardset klassifitseerimiseesmärki ja järjestamiseesmärki, mis karistab Guardi, kui rünnatud lehe skoor ei ületa selle kaksiku skoori vähemalt kindla marginaali võrra. Intuitiivselt õpetab klassifitseerimiseesmärk Guardile, millise otsuse teha, ning järjestamiseesmärk seob selle otsuse süstimisrünnaku endaga ja eirab kahjutuid segajaid. Nii õpib Guard reageerima süstimisrünnakule endale, mitte ümbritsevale lehe sisule.

Guard koosneb kahest detektorist, millest kumbki on peenhäälestatud mudelist Qwen3.5-0.8B. Tekstidetektor loeb lehe ühte tekstivaadet: kas HTML-i, Markdowni või ligipääsetavuspuud. Multimodaalne detektor loeb kogu lehe ekraanipilti. Kasutuses loeb Guard lehte ühe edasisuunalise läbimisega ja väljastab süstimisskoori ning leht märgistatakse, kui skoor ületab läve. Kuna Guardil on vaid 0,8 miljardit parameetrit ja see väljastab ühe skoori, on see piisavalt kiire ja odav, et käitada seda igal lehel.

Jõudluse võrdlustestimine

Võrdlesime Guardi 18 mudeliga, mida suunati viibaga süste tuvastama võrdlusaluse kõrvale jäetud alamhulgal. Esitame neli mõõdikut, mõõdetuna BrowseSafe++ võrdlusalusel:

• Saagis (recall) on nende süstiga lehtede osakaal, mida tuvasti märgistab; see näitab, kui palju rünnakuid see tabab, seega on kõrgem väärtus parem.
• Valepositiivsete määr (FPR) on nende puhaste lehtede osakaal, mida tuvasti ekslikult märgistab; see näitab, kui sageli tekitab see valehäireid, seega on madalam väärtus parem.
• Täpsus (precision) on nende märgistatud lehtede osakaal, mis tõesti sisaldavad süsti; see näitab, kui sageli on hoiatus õige, seega on kõrgem väärtus parem.
• F1 on saagise ja täpsuse harmooniline keskmine; see on kõrge ainult siis, kui tuvasti tabab enamiku rünnakutest ja vähesed selle märgistustest on valehäired.

Peamise mõõdikuna kasutame F1-skoori, sest heal tuvastil peaksid olema nii kõrge täpsus kui ka kõrge saagis. Kõigi nelja mõõdiku väärtused on keskmistatud üle kolme tekstivaate.

Suurenda

Suurenda

Mudelite võrdlus

Testitud väikesed avatud kaaludega mudelid jäid viimaseks. Mistral NeMo ja Qwen3 30B-A3B märgistavad kumbki umbes pooled puhastest lehtedest, samas kui Llama 3.1 8B märgistab harva midagi ja jätab enamiku rünnakutest tabamata. Isegi rühma tugevaim mudel GPT-OSS 20B saavutab vaid 70,97% F1-skoori. Palju suurem avatud kaaludega mudel DeepSeek V3.1 saab veidi paremini hakkama, F1-skooriga 75,23%.

Kerged API-mudelid, sealhulgas GPT-5.4 nano, Gemini 3.1 Flash-Lite ja Claude Haiku 4.5, tabavad rohkem rünnakuid, saavutades saagise 85% ja 97% vahel. Hinnaks on aga suur valehäirete osakaal: Gemini 3.1 Flash-Lite’il on rühma madalaim FPR, 35,2%, ja Haiku FPR on peaaegu 69%. Seetõttu on rühma maksimaalne F1-skoor 80,9%, mille saavutas Gemini 3.1 Flash-Lite.

Ülejäänud mudelid on tugevamad üldotstarbelised mudelid, mille F1-skoor jääb vahemikku 85–92%. Siiski peavad nad endiselt leidma tasakaalu saagise ja FPR-i vahel: ettevaatlikkuse poole kalduvad mudelid blokeerivad õiguspäraseid lehti ja harvemini märgistavad mudelid jätavad rünnakuid tabamata. Claude Sonnet 5 saagis on kõigist tuvastitest kõrgeim, 98,73%, kuid tema FPR on 24,65%. Gemini 3.1 Pro ja GPT-5.5 saagis on vastavalt 97,78% ja 97,19% ning FPR vastavalt 19,80% ja 20,44%. GPT-6 Astra üldine täpsus on kõrgeim: saagis 96,42% ja FPR 14,41%. Teisel kohal on Decider, mille saagis on 96,02% ja FPR 17,44%. Claude Opus 5.5 FPR on madalaim, vaid 4,21%, kuid tema 77,71% saagis tähendab, et ta jätab tabamata rohkem kui ühe rünnaku viiest. Claude Fable 5.1 näib tugev nendel lehtedel, millele ta vastab – saagis 89,31% ja FPR 7,92% –, kuid ta keeldub vastamast ligikaudu 30% lehtedest, mida rida „(all)“ loeb märgistusteks.

Suurenda

Guard nihutab Pareto piiri edasi, saavutades parema tasakaalu tabamata rünnakute ja valehäirete vahel. Selle F1-skoor on ligikaudu 95% ja see on igas tekstivaates esikohal. See märgistab vaid umbes ühe puhta lehe 20-st, mis on ligikaudu kolmandik kõige täpsema viibaga juhitud mudeli Astra määrast. See erinevus tuleneb meie treenimisest: muutmata Qwen3.5-0.8B, millel Guard põhineb, saavutab teiste mudelitega samamoodi viibaga juhituna vaid 64% F1-skoori ja märgistab peaaegu kolm puhast lehte neljast. Kuvatõmmise vaate stsenaariumis võrdleme Guardi multimodaalset tuvastit nelja pilte töötleva mudeliga. Täislehe kuvatõmmiste puhul on Guardi F1-skoor ligikaudu 93%, samas kui parim teistest hinnatud mudelitest saavutab ligikaudu 79%.

Rünnaku äratundmine ei tähenda sellele vastupanemist

Intuitiivselt peaks mudel, mis suudab süsti õigesti tuvastada, seda süsti ka eirama, kui ta kasutaja ülesandeid täites lehega kokku puutub. Meie katsed aga näitavad, et head tuvastustulemused ei garanteeri, et mudel rünnakule vastu peab. Andsime igale mudelile sama rünnatud lehe kaks korda: üks kord, et hinnata, kas see sisaldab süsti, ja teine kord, et täita kasutaja ülesanne ilma eelmist otsust nägemata. Eraldi hindaja kontrollis, kas mudel süsti järgis. Iga testitud mudel järgis endiselt mõnda süsti, mille ta oli märgistanud – alates 1,64%-st märgistatud lehtedest GPT-6 Astra puhul kuni 24,73%-ni Llama 3.1 8B puhul.

Suurenda

Tuvastustulemused ei ennusta mudelitevahelisi erinevusi usaldusväärselt. Claude Sonnet 5 ja GPT-5.5 tuvastavad süste umbes võrdselt hästi, vastavalt ligikaudu 88% ja 89% F1-skooriga. Ometi järgis Sonnet 5 süsti, mille ta oli märgistanud, 19,74% lehtedest – kümme korda sagedamini kui GPT-5.5 (1,97%).

Juurutatav süsteem süstimisrünnakute tõrjumiseks

Need tulemused viitavad sellele, et lehe blokeerimise otsust tasub usaldada spetsiaalsele mudelile, selle asemel et tugineda mudelile, mis täidab kasutaja ülesannet. Eraldi tuvasti, mis kontrollib iga lehte enne agendi tegutsemist, pakub täiendavat kaitsekihti ning sellel pole ülesannet, mida kaaperdada, ega tööriistu, mida väärkasutada.

Guard on loodud just selleks detektoriks. Lisaks sellele, et tal on kõigist testitud mudelitest kõrgeim F1-skoor ja täpsus, muudab väike suurus selle piisavalt odavaks, et käitada seda igal lehel. Keskmiselt kulus Guardil ühe tekstilehe kohta umbes 0,15 sekundit GPU-aega. Renditud H200 puhul hindame kuluks 0,18 dollarit 1000 lehe kohta, võrreldes tipptasemel API-mudelite 18,95–180,61 dollariga hinnakirja hindade järgi. Meie võrdluses muudab see sagedase sõelumise palju odavamaks, säilitades samal ajal kõrged tuvastustulemused.

Alloleval joonisel on iga tuvasti täpsus esitatud võrrelduna ajaga lehe kohta ja kuluga 1000 lehe kohta, mõlemad logaritmskaalal. Guard paikneb mõlemal paneelil üksinda vasakus ülanurgas: see on parim nii täpsuse, kiiruse kui ka kulu poolest. Iga viibaga juhitud mudel kulutab lehe kohta umbes sekundi või rohkem ning kaks kõige täpsemat, GPT-6 Astra ja Claude Fable 5.1, maksavad üle 100 dollari 1000 lehe kohta.

Suurenda

Kaitsemeetmete testimine adaptiivsete rünnakute vastu

BrowseSafe++ võrdlusaluses on piiratud hulk süste. Päris ründaja saab aga korraldada adaptiivse rünnaku: kui süst ebaõnnestub, saab ründaja selle ümber kirjutada ja uuesti proovida. Seetõttu võib agent, mis peab algsele süstile vastu, olla siiski haavatav tulevaste rünnakute suhtes. Lisaks treenitakse mudeleid internetist kogutud andmetel, mistõttu nad võivad õppida enamikule selle süstidest vastu panema; kuna avaldame oma võrdlusaluse avalikult, küllastub see tõenäoliselt ega erista enam mudeleid hästi. Mõlema probleemi lahendamiseks lõime BrowseSafe-Adapti – testimiskeskkonna, kus ründajamudel saab süste ümber kirjutada. Igal testil on kolm etappi:

1. Juhtumi seadistamine. Juhtum seob BrowseSafe++ kirje sihtagendiga. BrowseSafe++ kirje sisaldab stsenaariumi kasutaja päringu ja ülesandega, rünnatud lehte ning ründaja soovitud tulemust. Agent töötab liivakastis, mis pakub ülesande täitmiseks vajalikke tööriistu ja sünteetilisi andmeid. Eraldi kontrollimudel hindab, kas rünnak saavutas oma eesmärgi.
2. Katse käivitamine: Lisame praeguse süsti lehele ja laseme agendil ülesande täita. Verifitseerija kontrollib agendi vastust ja kõiki muudatusi, mida see liivakastis tegi, et teha kindlaks, kas rünnak õnnestus. Esimene katse kasutab algse BrowseSafe++ kirje süsti.
3. Parandamine ja kordamine: Kui rünnak ebaõnnestub, arhiveerime katse ja kriitikumudel analüüsib, mis läks valesti. Ründajamudel kasutab seda tagasisidet süsti ümberkirjutamiseks: see võib muuta rünnaku sõnastust, vormingut või asukohta lehel. Rünnaku eesmärk, edukriteeriumid ja ümbritsev lehe sisu jäävad samaks. Järgmine katse kasutab uuendatud rünnakut. Seda protsessi korratakse, kuni rünnak õnnestub või ründaja jõuab kindlaksmääratud katsete limiidini.

Suurenda

Testisime seitset agenti, millest igaüks põhines erineval mudelil: Claude Sonnet 5, Claude Haiku 4.5, GPT-5.5, Gemini 3.1 Pro, Gemini 3.5 Flash-Lite ning avatud kaaludega mudelid DeepSeek V3.1 ja Kimi K2. Iga agent sai samad 1024 ülesannet ja kuni 64 katset ülesande kohta. Esimesel katsel oli rünnakute edukus kõigi seitsme agendi puhul madal. Algsed süstid õnnestusid ükskõik millise agendi vastu kõige rohkem 4% hinnatud ülesannetest. Adaptiivses raamistikus kasvas rünnakute edukus järsult. Viie agendi vastu seitsmest õnnestus ründajal vähemalt 79% ülesannetest. Isegi kõige tugevamad agendid olid haavatavad: GPT-5.5 vastu õnnestusid rünnakud endiselt ligikaudu kahes ülesandes kolmest ja Claude Sonnet 5 vastu ligikaudu ühes kolmest.

Agentidevaheline erinevus on suurim siis, kui ründaja eesmärk on panna agent tegema kindlat tööriistakutset. Sellise eesmärgiga ülesannetes andis Sonnet 5 järele ligikaudu 8% ja GPT-5.5 ligikaudu 29% ülesannetest. Ülejäänud viis täitsid ründaja eesmärgi enam kui pooltes oma ülesannetest.

Samuti käivitasime BrowseSafe-Adapti Gemini 3.5 Flash-Lite'i agendi vastu nii, et Guard kontrollis iga lehte eelnevalt. Guard blokeeris 94,5% algsetest süstidest ja peaaegu kahekordistas ründajate keskmiselt vajatud katsete arvu: 9,7-lt 17,0-le. Kui ründajal oli aga kasutada kõik 64 katset, õnnestus tal siiski 84,2% ülesannetest (ilma Guardita 93,6%), peaaegu alati süstiga, mida Guard ei märgistanud. See kattub seisukohaga, mille esitasime BrowseSafe'i avaldamisel: ükski tuvastusmudel pole imerohi, seega peab tuvasti olema osa mitmekihilisest kaitsest.

Suurenda

Kokkuvõte

Brauseriagendid on sageli haavatavad kaudse viibasüsti suhtes, mille puhul tavalistele lehtedele peidetud rünnakud püüavad takistada agentidel kasutaja ülesandeid täitmast. Ohud aja jooksul üha kasvavad – nii seetõttu, et agendid saavad juurdepääsu üha rohkematele andmetele ja tööriistadele, mis suurendab rünnakute võimalikku kahju, kui ka seetõttu, et ründajad saavad oma süste tõhusamaks muuta.

Meie BrowseSafe'i komplekt aitab nende ohtudega toime tulla. BrowseSafe++ võrdlusalus sisaldab 38 675 veebilehepaari, mis on loodud peamiselt päris süstide põhjal, võimaldades tuvasteid usaldusväärsemalt treenida ja hinnata. Nendel paaridel treenitud BrowseSafe-Guardi tuvastid võimaldavad väga täpset, kiiret ja odavat tuvastamist, nii et lehti saab kontrollida enne, kui agent nende põhjal tegutseb. BrowseSafe-Adapti raamistik võimaldab testida mudeleid muudetud süstide vastu, tuues esile haavatavusi, mis ei pruugi fikseeritud süstidega tehtud üksikkatsetest ilmneda.

Loodame, et need tööriistad aitavad üheskoos teadlastel ja inseneridel hõlpsamini vigu leida ning parandada kaitset veebipõhiste viibasüstirünnakute vastu. Samuti hindame ja täiustame pidevalt Cometi ja Computeri sisseehitatud kaitsemeetmeid, et hoida meie kasutajaid turvalisena.

Alustamine

1. Paigalda SDK ja hangi juurdepääs andmetele. SDK paigaldatakse GitHubist:

Andmestikule on juurdepääs piiratud. Taotle juurdepääsu üks kord selle Hugging Face'i lehel ja logi seejärel sisse käsuga hf auth login.

2. Esita tulemused edetabelisse. Hinda oma tuvastit BrowseSafe++ testijaotisel:

See kirjutab iga loetletud vaate jaoks ühe otsuse lehe kohta; teksti edetabelis keskmise saamiseks loetlege kõik kolm tekstivaadet. Logige oma Hugging Face’i kontoga sisse edetabeli Space’i ja laadige üles predictions.jsonl. Space tagastab iga vaate kohta F1-skoori, täpsuse, valepositiivsete määra ja muud mõõdikud ning soovi korral avaldab tulemuse edetabelis. Iga konto (vähemalt 60 päeva vana) saab ühe hinnatava esituse UTC-nädala kohta. Testlehed on mõeldud ainult hindamiseks: ärge kasutage neid treenimiseks ega levitage neid edasi. Esitamise juhend kirjeldab failivormingut ja avaldamisreegleid.

Viitamine

@online{perplexity2026BrowseSafePlusPlus,
  author = {{Perplexity} and Yuetian Chen and Kaiyuan Zhang and Yuntao Du and Thomas Li and Mark Tenenholtz and Kyle Polley and Jerry Ma and Denis Yarats and Ninghui Li and Jarrod Bryan and Claire Beamer and Jeremy Yang},
  title = {{BrowseSafe++: Building stronger defenses against real-world prompt injection}},
  date = {2026-10-28},
  url = {https://www.perplexity.ai/hub/blog/browsesafe-plus-plus}
}