BrowseSafe로 더 안전한 AI 브라우저 구축하기

오늘, 저희는 사용자가 에이전트형 웹을 탐색할 때 안전을 유지하도록 돕는 오픈 연구 벤치마크이자 콘텐츠 탐지 모델인 BrowseSafe를 출시합니다.

AI 어시스턴트가 검색창을 넘어 브라우저로 이동함에 따라, 차세대 웹은 단순한 페이지 탐색에서 에이전트 중심으로 전환될 것으로 예상됩니다. 이는 정보가 어디에 있는지보다 누가 정보를 검색하고 이를 바탕으로 행동하는지가 더 중요해짐을 의미합니다. Comet은 브라우저를 어시스턴트가 단순히 질문에 답하는 것을 넘어 업무를 완수할 수 있는 공간으로 탈바꿈시키며, 따라서 '항상 사용자 편에 서야 한다'는 원칙은 타협할 수 없는 핵심 요소입니다.

BrowseSafe는 '페이지의 HTML에 에이전트를 겨냥한 악성 지시가 포함되어 있는가?'라는 단 하나의 핵심 질문에 답하기 위해 미세 조정된 탐지 모델입니다. 대규모 범용 모델은 이러한 상황을 잘 추론할 수 있지만, 모든 페이지에서 실행하기에는 너무 느리고 비용이 많이 듭니다. BrowseSafe는 브라우저 속도를 저하시키지 않으면서 실시간으로 전체 웹 페이지를 스캔합니다. 또한, 방어 효율성을 평가하고 개선하기 위한 리소스로 BrowseSafe-Bench 평가 제품군도 함께 공개합니다.

하지만 새로운 세대의 AI 브라우징은 사용자의 안전을 유지하기 위한 혁신적인 접근 방식이 필요한 새로운 세대의 사이버 보안 위협을 의미하기도 합니다. 이전 게시물에서, 저희는 Comet이 웹사이트가 프롬프트 주입을 통해 어시스턴트를 탈취하려 할 때 다중 방어 계층을 사용하여 사용자가 요청한 작업을 유지하는 방법을 설명했습니다. 오늘은 이러한 문제를 어떻게 해결하는지, 즉 위협이 어떻게 정의되고, 실제 공격을 통해 테스트되며, 브라우저에서 안전하게 실행될 만큼 빠르게 악성 지시를 식별하고 차단할 수 있는 전문 모델을 학습시키는 데 어떻게 사용되는지에 대해 자세히 살펴봅니다.

프롬프트 주입은 AI가 읽는 텍스트에 포함된 악성 언어로, 원래 의도를 재정의하도록 설계되었습니다. 브라우저에서 에이전트는 전체 페이지를 읽기 때문에, 공격자는 댓글, 템플릿 또는 긴 바닥글과 같은 곳에 숨어 공격을 시도할 수 있습니다.

공격자들은 이러한 지점을 활용하여 에이전트를 은밀하게 리디렉션하는 지시를 삽입합니다. 에이전트는 대부분의 사람이 주의를 기울이지 않는 콘텐츠를 포함한 모든 정보를 읽기 때문에, 강력한 보호 장치가 없다면 이러한 메시지로 인해 기능이 탈취될 수 있습니다.

이러한 공격은 종종 명백한 문구를 피하고 세련되거나 다국어 텍스트로 작성되기도 하며, 또는 브라우저가 화면에 표시하지는 않지만 에이전트는 분석하는 데이터 속성이나 폼 필드와 같은 HTML 요소에 배치되기도 합니다.

실제 웹과 유사한 환경에서 이러한 공격을 연구하기 위해, 저희는 학습 및 오픈 소스화한 탐지 모델인 BrowseSafe와 프로덕션 페이지를 모방한 14,719개의 공개 벤치마크 데이터셋인 BrowseSafe-Bench를 구축했습니다. 여기에는 복잡한 HTML, 노이즈가 많은 콘텐츠, 그리고 공격자가 의도하는 목적, 페이지 내 지시 사항의 위치, 언어적 스타일 등 세 가지 변수에 따라 달라지는 다양한 악성 및 무해한 샘플이 포함되어 있습니다.

이 벤치마크에는 11가지 공격 유형, 숨겨진 필드에서부터 가시적인 단락 및 바닥글에 이르는 9가지 주입 전략, 그리고 명시적 명령부터 간접적이고 위장된 텍스트에 이르는 3가지 언어 스타일이 포함되어 있습니다.

저희의 위협 모델에서 어시스턴트 자체는 신뢰할 수 있는 환경에서 작동하지만, 웹에서 가져오는 모든 것은 신뢰할 수 없는 것으로 간주합니다. 공격자는 전체 사이트를 제어하거나 제품 설명, 댓글, 게시물과 같이 어시스턴트가 방문하는 양성 페이지에 콘텐츠를 주입할 수 있습니다. 이러한 위험을 관리하기 위해 웹 페이지, 이메일, 파일 등 신뢰할 수 없는 콘텐츠를 반환할 수 있는 도구는 별도로 표시되며, 에이전트가 이를 읽거나 행동하기 전에 원본 출력값은 항상 BrowseSafe를 통해 스캔됩니다.

BrowseSafe는 더 광범위한 방어 체계의 한 계층입니다. 원시 콘텐츠는 사용 전 스캔되고, 도구 권한은 기본적으로 제한되며, 민감한 작업은 기존 브라우저 보안 기능 위에 사용자 명시적 확인이 필요할 수 있습니다. 심층 방어는 사용자가 안전을 담보로 기능을 포기하지 않고도 강력한 브라우저 어시스턴트를 사용할 수 있도록 지원합니다.

BrowseSafe-Bench의 평가 결과는 뚜렷한 패턴을 보여줍니다. 에이전트에게 시스템 프롬프트를 공개하거나 URL 세그먼트를 통해 정보를 유출하도록 요구하는 것과 같은 직접적인 공격은 모델이 가장 쉽게 감지할 수 있는 유형에 속합니다. 반면, 다국어 공격이나 간접적/가설적 지시로 작성된 공격은 많은 탐지기가 암묵적으로 의존하는 명백한 키워드를 피하기 때문에 감지하기가 훨씬 어렵습니다.

배치 위치 또한 중요합니다. 댓글에 숨겨진 공격은 비교적 잘 감지되는 반면, 가시적인 바닥글, 표 셀 또는 인라인 단락으로 재작성된 공격은 훨씬 더 어렵다는 것이 증명되었으며, 이는 '숨겨진' 주입에 대한 구조적 편향을 드러냅니다. 잘 설계된 예제를 활용한 세심한 학습은 모델이 이러한 패턴을 감지하는 능력을 크게 향상할 수 있습니다.

BrowseSafe와 BrowseSafe-Bench는 완전 오픈 소스입니다. 자율 에이전트를 구축하는 모든 개발자는 처음부터 안전 레일을 구축할 필요 없이 즉시 프롬프트 주입으로부터 시스템을 강화할 수 있습니다. 오픈 웨이트 탐지 모델은 로컬에서 실행되며 에이전트의 핵심 로직에 도달하기 전에 악성 지시를 차단하여, 사용자 속도를 저하시키지 않고 모든 페이지를 스캔할 수 있을 만큼 빠릅니다.

BrowseSafe-Bench의 14,000개 이상의 실제 공격 시나리오를 사용하여 표준 LLM을 손상시키는 복잡한 HTML 함정에 대해 모델을 스트레스 테스트해 보세요. 저희의 청킹 및 병렬 스캔 기술을 통해 에이전트는 방대하고 신뢰할 수 없는 페이지를 효율적으로 처리할 수 있으며, 사용자에게 위험을 노출하지 않고도 강력한 브라우징 기능을 제공할 수 있습니다. BrowseSafe와 BrowseSafe-Bench를 구축한 방법에 대해 자세히 알아보려면 Perplexity 연구 블로그를 확인하세요.

BrowseSafe: 실시간 콘텐츠 스캔을 통한 에이전트 및 사용자 보호

신뢰 경계 및 계층적 방어

브라우저 프롬프트 주입의 작동 원리

BrowseSafe-Bench: 실제 환경에서의 에이전트 보안 강화

심층 방어 접근 방식

공격 효과에 영향을 미치는 요소는 무엇인가?

BrowseSafe로 더 안전한 에이전트 구축하기