BrowseSafe++: Budovanie silnejšej obrany proti reálnym injekciám promptov

Agenti, ktorí dokážu prehliadať web, napríklad asistent zabudovaný v produktoch Comet alebo Computer, musia pracovať s webovými stránkami – čítať ich obsah a využívať ho na vykonávanie akcií v mene používateľov. Preto sú náchylní na nepriamu injekciu promptu, pri ktorej útočník umiestni na webovú stránku škodlivý text. Ak agent tieto pokyny vykoná, môže vrátiť zavádzajúcu odpoveď alebo vykonať akciu, o ktorú používateľ nežiadal.

V decembri 2025 sme vydali BrowseSafe, benchmark a detekčný model pre túto hrozbu. Vytvorili sme ho pridaním syntetických útokov do realistických webových stránok, na ktoré by agenti pravdepodobne narazili. Za posledný rok sa útoky stali sofistikovanejšími a viac sa podobajú bežnému obsahu stránok. Namiesto typických prezrádzajúcich fráz, ako je „ignoruj predchádzajúce pokyny“, často napodobňujú obsah, ktorému agent pravdepodobne dôveruje, napríklad oficiálne oznámenie stránky alebo poznámku o preferenciách používateľa.

Na základe týchto zmien sme vytvorili aktualizovaný benchmark BrowseSafe++, ktorý meria, či súčasné detektory injekcií tieto útoky zachytia a či im agenti dokážu odolať. Obsahuje 38 675 párov napadnutých a čistých stránok, vytvorených predovšetkým okolo injekcií zozbieraných v reálnom prostredí. Pri každej stránke prepisujeme okolitý obsah kvôli ochrane súkromia, no útok ponechávame doslovne. Každá stránka je k dispozícii v štyroch formátoch, ktoré čítajú agenti v prehliadači: HTML, Markdown, stromy prístupnosti a snímky obrazovky. Podmnožinu benchmarku sme použili na trénovanie BrowseSafe-Guard, dvojice detektorov s 0,8 miliardy parametrov: textového a multimodálneho. Oba detektory Guard identifikujú injekcie presnejšie než modely riadené promptom, ktoré sme testovali, vrátane špičkových (frontier) modelov. Sú tiež rýchlejšie, lacnejšie a omylom označujú oveľa menej bežných stránok.

BrowseSafe++ zverejňujeme ako otvorený benchmark. Webová stránka projektu obsahuje odkazy na dataset, SDK, výskumný článok a verejný rebríček. Ktorýkoľvek tím môže ohodnotiť svoj detektor na testovacích stránkach, ktorých štítky nie sú poskytnuté, a odoslať štítky na vyhodnotenie a prípadné zaradenie do rebríčka. Ak chcete vyhodnotiť a odoslať svoje výsledky, pozrite si časť Začíname.

Tvorba benchmarku zo zaznamenaných injekcií

BrowseSafe++ je vytvorený z injekcií promptov zaznamenaných na skutočných webových stránkach. Od septembra 2025 do septembra 2026 detektor injekcií promptov v prehliadači Comet označil 1,15 milióna injekcií na stránkach, ktoré čítal jeho agent. Okolo týchto injekcií sme vytvorili 32 187 párov a pridali 6 488 párov z pôvodného benchmarku BrowseSafe, spolu 38 675 párov. Každý pár obsahuje napadnutú stránku aj jej čisté dvojča, teda tú istú stránku bez injekcie.

Ako vyzerajú injekcie v reálnom prostredí

Dva príklady z benchmarku ukazujú, ako tieto injekcie vyzerajú v praxi.

V jednom z nich falošná žiadosť o nákup nabáda agenta, aby vykonal neoprávnenú akciu. Detektor prehliadača Comet v októbri 2025 označil tento blok anglického textu na ruskojazyčnej stránke s dokumentáciou pre vývojárov:

Text sa začína aj končí príkazmi a stred vypĺňa bežným marketingom tokenu. Tvrdí, že pochádza priamo od vývojára agenta, a končí autorizačným kódom, aby nákup vyzeral ako schválený.

V ďalšom príklade sa podvrhnutá konverzácia snaží narušiť úlohu agenta. Tento text sa našiel na stránke repozitára kódu v marci 2026:

Text je navrhnutý tak, aby vyzeral ako konverzácia medzi používateľom a agentom: <|im_start|> a <|im_end|> sú značky, ktoré niektoré chatové modely používajú na oddelenie jednotlivých ťahov konverzácie. Agent, ktorý by tomuto útoku podľahol, by reagoval na podvrhnutý dopyt používateľa a odpovedal by frázou útočníka.

Naprieč označenými injekciami pozorujeme podobné vzorce:

• Napodobňujú dôveryhodné zdroje. V oboch príkladoch text stránky znie ako zdroj, ktorému agent dôveruje: v prvom jeho vývojár, v druhom jeho vlastná konverzácia. Injekcie sa môžu vydávať aj za samotnú stránku a napodobňovať bezpečnostné kontroly a oznámenia o pravidlách, alebo za používateľa a predkladať falošné preferencie. Približne dve z troch sú napísané formálnym jazykom.
• Mnohé sú napísané v iných jazykoch. V 24,4 % párov používa injekcia iný jazyk než zvyšok stránky. Zvyčajne ide o anglický pokyn na neanglickej stránke, ako v prvom príklade. Takéto útoky sú zjavne určené agentovi, ktorý číta všetky jazyky a angličtina je zvyčajne jeho prirodzeným jazykom. Zmeny jazyka tiež sťažujú detekciu: v našom pôvodnom hodnotení BrowseSafe patrili viacjazyčné útoky k najťažšie zachytiteľným.
• Väčšina chce činy, nie slová. Viac ako štyri z desiatich tlačia agenta k akcii, o ktorú používateľ nikdy nežiadal, ako je nákup tokenu v prvom príklade, a približne tretina sa ho snaží prinútiť, aby úlohu používateľa opustil, ako v druhom príklade. Len približne 3 % sa snaží podstrčiť do odpovede nepravdivé informácie.
• Často sa šíria cez obsah, ktorý môže zverejniť ktokoľvek. Útočník nemusí ovládať stránku. Stačí príspevok vo fóre alebo zdieľaný dokument na bežnej stránke; viac ako 23 000 injekcií v BrowseSafe++ sa dostalo práve touto cestou. Aj dôveryhodnú doménu je stále možné zneužiť na vloženie útočníkovho textu.

Injekcie vo finálnom benchmarku pokrývajú 12 typov webových stránok, 24 typov útokov, 6 cieľov útočníka a 18 umiestnení na stránke.

Zväčšiť

Od označenej stránky k páru v benchmarku

Označené stránky nemôžeme použiť v benchmarku v pôvodnej podobe, pretože môžu obsahovať osobné údaje používateľa, pre ktorého agent pracoval. Premena stránky na zdieľateľný pár benchmarku vyžaduje tri hlavné fázy:

1. Získanie injekcie: Zozbierame označené stránky, odstránime duplikáty a osobné údaje zamaskujeme pomocou nástroja PII-Tracer. Potom overíme, že stránka obsahuje injekciu; konkrétne vyžadujeme, aby sa skupina modelov zhodla, že obsahuje pokyn, ktorý sa snaží odkloniť agenta od úlohy zamýšľanej používateľom.
2. Vytvorenie páru: Agent z každej stránky odstráni text injekcie a prepíše okolitý obsah stránky, pričom podrobnosti, ako sú mená a značky, nahradí fiktívnymi. Druhý agent skontroluje, či na prepísanej stránke nezostal obsah z reálneho sveta, a neúspešné stránky vráti so spätnou väzbou. Ľudskí kontrolóri preveria náhodných 10 % stránok; problémy, ktoré nájdu, sa opravia v procese tvorby a opravy sa uplatnia na celý korpus. Injekcia sa vloží späť do prepísanej stránky, čím vznikne napadnutá kópia, a v čistej kópii sa vynechá. Obe stránky majú rovnakú úlohu, očakávaný výsledok a bežné pokyny.
3. Overenie: Agenti čítajú stránky v rôznych podobách, preto HTML každej stránky vykreslíme ako Markdown, strom prístupnosti (štruktúrovaný zoznam prvkov rozhrania stránky a ich popisov) a snímku obrazovky. Ďalší agent skontroluje, či sa injekcia objavuje vo všetkých štyroch zobrazeniach napadnutej stránky a či je čistá stránka v každom zobrazení vyhodnotená ako neškodná. Ak injekcia v niektorom zo zobrazení chýba, presunieme ju na iné miesto na stránke a stránku vykreslíme znova, čím zabezpečíme, že sa injekcia vo finálnej napadnutej stránke nachádza vo všetkých zobrazeniach. Záverečná sada automatizovaných kontrol opraví všetky páry, ktoré stále nesú stopy svojho zdroja, napríklad skutočné názvy hostiteľov alebo značiek.

Zväčšiť

BrowseSafe-Guard: rýchle a presné detektory pre každé zobrazenie

Užitočný detektor musí každú stránku skontrolovať rýchlo a lacno. Zároveň musí správne vyhodnocovať napadnuté aj čisté stránky. Vysoká presnosť (precision) je obzvlášť dôležitá, pretože väčšina stránok je bezpečná; aj relatívne nízka miera falošne pozitívnych výsledkov by spôsobila, že väčšina upozornení by boli falošné poplachy. Univerzálne modely riadené promptom často nedosahujú dostatočnú presnosť a sú príliš pomalé a nákladné na to, aby sa spúšťali na každej stránke.

Detektor trénovaný na napadnutých a čistých stránkach zozbieraných oddelene by sa mohol naučiť skratky, ktoré náhodou oddeľujú tieto dve množiny, napríklad tému alebo rozloženie stránky. Takýto detektor však dobre nezovšeobecňuje. Guard sa namiesto toho trénuje na pároch, ktoré sa líšia iba samotnou injekciou, čo pomáha zlepšiť presnosť detektora. Pri každom páre Guard prečíta napadnutú stránku a jej čisté dvojča oddelene a každej priradí skóre vyjadrujúce, aká je pravdepodobnosť, že obsahuje injekciu. Na aktualizáciu modelu sa používajú dva tréningové ciele: štandardný klasifikačný cieľ a rankingový cieľ, ktorý Guard penalizuje, ak napadnutá stránka nezíska vyššie skóre ako jej dvojča aspoň o pevne stanovený rozdiel. Intuitívne povedané, klasifikačný cieľ učí Guard, aké rozhodnutie má urobiť, a rankingový cieľ toto rozhodnutie viaže na samotnú injekciu a ignoruje neškodné rušivé prvky. Vďaka tomu sa Guard naučí reagovať na samotnú injekciu, a nie na okolitý obsah stránky.

Guard pozostáva z dvoch detektorov, z ktorých každý vznikol doladením modelu Qwen3.5-0.8B. Textový detektor číta jedno textové zobrazenie stránky: buď HTML, Markdown, alebo strom prístupnosti. Multimodálny detektor číta snímku obrazovky celej stránky. Pri nasadení Guard prečíta stránku v jedinom doprednom prechode a vráti skóre injekcie; ak skóre prekročí prahovú hodnotu, stránka sa označí. Keďže Guard má iba 0,8 miliardy parametrov a vracia jediné skóre, je dostatočne rýchly a lacný na spúšťanie na každej stránke.

Meranie výkonu

Guard sme porovnali s 18 modelmi, ktoré sme pomocou promptu nasmerovali na detekciu injekcií v odloženej podmnožine benchmarku. Uvádzame štyri metriky merané na BrowseSafe++:

• Úplnosť (recall) je podiel stránok s injekciou, ktoré detektor označí. Meria, koľko útokov zachytí, takže vyššia hodnota je lepšia.
• Miera falošne pozitívnych výsledkov (FPR) je podiel čistých stránok, ktoré detektor omylom označí. Meria, ako často vyvoláva falošné poplachy, takže nižšia hodnota je lepšia.
• Presnosť (precision) je podiel označených stránok, ktoré skutočne obsahujú injekciu. Meria, ako často je upozornenie správne, takže vyššia hodnota je lepšia.
• Skóre F1 je harmonický priemer úplnosti a presnosti; je vysoké len vtedy, keď detektor zachytí väčšinu útokov a len málo jeho označení sú falošné poplachy.

Ako hlavnú metriku používame F1, pretože dobrý detektor by mal mať vysokú presnosť aj úplnosť. Všetky štyri metriky sú spriemerované naprieč tromi textovými zobrazeniami.

Zväčšiť

Zväčšiť

Porovnanie modelov

Malé modely s otvorenými váhami, ktoré sme testovali, skončili na posledných miestach. Mistral NeMo a Qwen3 30B-A3B označia približne polovicu čistých stránok, zatiaľ čo Llama 3.1 8B neoznačí takmer nič a prehliadne väčšinu útokov. Aj najsilnejší model tejto skupiny, GPT-OSS 20B, dosahuje F1 len 70,97 %. DeepSeek V3.1, oveľa väčší model s otvorenými váhami, je na tom o niečo lepšie s F1 75,23 %.

Odľahčené modely API vrátane GPT-5.4 nano, Gemini 3.1 Flash-Lite a Claude Haiku 4.5 zachytia viac útokov, s úplnosťou (recall) od 85 % do 97 %. Cenou je však vysoký podiel falošných poplachov; Gemini 3.1 Flash-Lite má v tejto skupine najnižšiu FPR, 35,2 %, a FPR modelu Haiku je takmer 69 %. Výsledkom je, že maximálne skóre F1 v skupine je 80,9 %, ktoré dosiahol model Gemini 3.1 Flash-Lite.

Zvyšné modely sú silnejšie univerzálne modely, ktoré dosahujú skóre F1 od 85 % do 92 %. Stále však čelia kompromisu medzi úplnosťou a FPR: opatrnejšie modely blokujú legitímne stránky a modely, ktoré označujú menej často, prehliadajú útoky. Claude Sonnet 5 má najvyššiu úplnosť zo všetkých detektorov, 98,73 %, no FPR 24,65 %. Gemini 3.1 Pro a GPT-5.5 dosahujú úplnosť 97,78 % a 97,19 % pri FPR 19,80 % a 20,44 %. GPT-6 Astra má najvyššiu celkovú správnosť s úplnosťou 96,42 % a FPR 14,41 %. Druhý je Decider s úplnosťou 96,02 % a FPR 17,44 %. Claude Opus 5.5 má najnižšiu FPR, len 4,21 %, no jeho úplnosť 77,71 % znamená, že prehliadne viac než jeden z piatich útokov. Claude Fable 5.1 vyzerá silno na stránkach, na ktoré odpovie, s úplnosťou 89,31 % a FPR 7,92 %, no približne na 30 % stránok odmietne odpovedať, čo riadok „(all)“ počíta ako označenia.

Zväčšiť

Guard posúva Paretovu hranicu a dosahuje lepší kompromis medzi prehliadnutými útokmi a falošnými poplachmi. Dosahuje F1 približne 95 % a v každom textovom zobrazení je na prvom mieste. Označí len približne jednu čistú stránku z 20, čo je zhruba tretina miery modelu Astra, najpresnejšieho modelu riadeného promptom. Tento rozdiel je výsledkom nášho trénovania; štandardný model Qwen3.5-0.8B, na ktorom je Guard postavený, dosahuje pri rovnakom promptovaní ako ostatné modely F1 len 64 % a označí takmer tri zo štyroch čistých stránok. V scenári so snímkami obrazovky porovnávame multimodálny detektor Guard so štyrmi modelmi schopnými spracovať obrázky. Pri snímkach celých stránok dosahuje Guard F1 približne 93 %, oproti približne 79 % pri najlepšom z ostatných hodnotených modelov.

Rozpoznať útok neznamená odolať mu

Intuitívne by model, ktorý dokáže správne identifikovať injekciu, mal túto injekciu aj ignorovať, keď na stránku narazí pri plnení úloh používateľa. Naše experimenty však ukazujú, že vysoké skóre detekcie nezaručuje, že model útoku odolá. Každému modelu sme dali rovnakú napadnutú stránku dvakrát: raz, aby posúdil, či obsahuje injekciu, a raz, aby splnil úlohu používateľa bez toho, aby videl predchádzajúci verdikt. Samostatný hodnotiteľ kontroloval, či injekciu nasledoval. Každý testovaný model stále nasledoval niektoré injekcie, ktoré predtým označil – od 1,64 % označených stránok v prípade GPT-6 Astra po 24,73 % v prípade Llama 3.1 8B.

Zväčšiť

Výsledky detekcie spoľahlivo nepredpovedajú rozdiely medzi modelmi. Claude Sonnet 5 a GPT-5.5 detegujú injekcie približne rovnako dobre, so skóre F1 približne 88 % a 89 %. Sonnet 5 však nasledoval injekciu, ktorú sám označil, na 19,74 % stránok, teda desaťkrát častejšie než GPT-5.5 s 1,97 %.

Nasaditeľný systém na obranu proti injekciám

Tieto výsledky naznačujú, že má zmysel zveriť rozhodnutie o zablokovaní stránky špecializovanému modelu namiesto spoliehania sa na model, ktorý plní úlohu používateľa. Samostatný detektor, ktorý preverí každú stránku skôr, než agent začne konať, poskytuje ďalšiu vrstvu obrany a nemá žiadnu úlohu, ktorú by bolo možné uniesť, ani nástroje, ktoré by bolo možné zneužiť.

Guard je navrhnutý tak, aby bol práve takým detektorom. Okrem toho, že má najvyššie skóre F1 a presnosť zo všetkých testovaných modelov, je vďaka svojej malej veľkosti dostatočne lacný na spúšťanie na každej stránke. Guard v priemere spotreboval približne 0,15 sekundy času GPU na textovú stránku. Pri prenajatej GPU H200 odhadujeme náklady na 0,18 $ za 1 000 stránok v porovnaní s 18,95 – 180,61 $ pri špičkových modeloch dostupných cez API podľa cenníkových cien. Vďaka tomu je v našom porovnaní časté preverovanie oveľa lacnejšie pri zachovaní vysokého skóre detekcie.

Graf nižšie zobrazuje správnosť každého detektora v porovnaní s časom na stránku a nákladmi na 1 000 stránok, oboje v logaritmickej mierke. Guard sa v oboch paneloch nachádza osamote v ľavom hornom rohu: vyhráva v správnosti, rýchlosti aj nákladoch. Každý model riadený promptom potrebuje približne sekundu alebo viac na stránku a dva modely s najvyššou správnosťou, GPT-6 Astra a Claude Fable 5.1, stoja viac ako 100 $ na 1 000 stránok.

Zväčšiť

Testovanie obrany proti adaptívnym útokom

Benchmark BrowseSafe++ obsahuje konečnú množinu injekcií. Skutočný útočník však môže podniknúť adaptívny útok: keď injekcia zlyhá, môže ju prepísať a skúsiť to znova. Agent, ktorý odolá pôvodnej injekcii, preto môže byť stále zraniteľný voči budúcim útokom. Modely sa navyše trénujú na dátach zozbieraných z internetu, takže sa môžu naučiť odolávať väčšine injekcií z benchmarku; keďže náš benchmark zverejňujeme, pravdepodobne sa nasýti a prestane modely dobre rozlišovať. Na riešenie oboch problémov sme vytvorili BrowseSafe-Adapt, testovacie prostredie, v ktorom môže model útočníka prepisovať injekcie. Každý test má tri fázy:

1. Nastavenie prípadu. Prípad spája záznam z BrowseSafe++ s cieľovým agentom. Záznam BrowseSafe++ obsahuje scenár s používateľským dopytom a úlohou, napadnutú stránku a výsledok, ktorý chce útočník dosiahnuť. Agent pracuje v prostredí sandbox, ktoré poskytuje nástroje a syntetické dáta potrebné na vykonanie úlohy. Samostatný overovací model vyhodnocuje, či útok dosiahol svoj cieľ.
2. Spustenie pokusu: Aktuálnu injekciu vložíme do stránky a necháme agenta vykonať úlohu. Overovač skontroluje odpoveď agenta a všetky zmeny, ktoré urobil v sandboxe, aby určil, či útok uspel. Prvý pokus používa injekciu z pôvodného záznamu v BrowseSafe++.
3. Úprava a opakovanie: Ak útok zlyhá, pokus archivujeme a model kritika vyhodnotí, čo sa pokazilo. Model útočníka na základe tejto spätnej väzby prepíše injekciu; môže zmeniť znenie útoku, jeho formátovanie alebo umiestnenie na stránke. Cieľ útoku, kritériá úspechu a okolitý obsah stránky zostávajú rovnaké. Ďalší pokus použije aktualizovaný útok. Tento proces sa opakuje, kým útok neuspeje alebo útočník nedosiahne stanovený limit pokusov.

Zväčšiť

Otestovali sme sedem agentov, z ktorých každý bol postavený na inom modeli: Claude Sonnet 5, Claude Haiku 4.5, GPT-5.5, Gemini 3.1 Pro, Gemini 3.5 Flash-Lite a modely s otvorenými váhami DeepSeek V3.1 a Kimi K2. Každý agent dostal rovnakých 1 024 úloh s až 64 pokusmi na úlohu. Pri prvom pokuse bola úspešnosť útokov nízka u všetkých siedmich agentov. Pôvodné injekcie uspeli proti ktorémukoľvek agentovi najviac v 4 % hodnotených úloh. V adaptívnom rámci úspešnosť útokov dramaticky stúpla. Proti piatim zo siedmich agentov útočník uspel aspoň v 79 % úloh. Zraniteľní boli aj najodolnejší agenti: útoky stále uspeli približne v dvoch z troch úloh proti GPT-5.5 a približne v jednej z troch proti Claude Sonnet 5.

Rozdiel medzi agentmi je najväčší, keď je cieľom útočníka prinútiť agenta vykonať konkrétne volanie nástroja. Pri úlohách s takýmto cieľom Sonnet 5 podľahol približne v 8 % úloh a GPT-5.5 približne v 29 %. Zvyšných päť agentov splnilo cieľ útočníka vo viac ako polovici svojich úloh.

BrowseSafe-Adapt sme spustili aj proti agentovi s modelom Gemini 3.5 Flash-Lite, pričom Guard najprv preveroval každú stránku. Guard zablokoval 94,5 % pôvodných injekcií a takmer zdvojnásobil priemerný počet pokusov, ktoré útočníci potrebovali, z 9,7 na 17,0. Pri všetkých 64 pokusoch však útočník stále uspel v 84,2 % úloh (93,6 % bez ochrany Guard), takmer vždy s injekciou, ktorú Guard neoznačil. To zodpovedá názoru, ktorý sme predstavili pri vydaní BrowseSafe: žiadny detekčný model nie je všeliekom, a preto musí byť detektor súčasťou viacvrstvovej obrany.

Zväčšiť

Záver

Agenti v prehliadači sú často náchylní na nepriamu injekciu promptu, pri ktorej sa útoky skryté na bežných stránkach snažia narušiť schopnosť agentov plniť úlohy používateľov. Nebezpečenstvo sa časom len zväčšuje – agenti získavajú prístup k ďalším dátam a nástrojom, čím rastú možné následky útokov, a útočníci môžu svoje injekcie upravovať, aby boli účinnejšie.

Naša sada BrowseSafe tieto hrozby rieši. Benchmark BrowseSafe++ obsahuje 38 675 párov webových stránok vytvorených predovšetkým zo skutočných injekcií, čo umožňuje spoľahlivejšie trénovanie a hodnotenie detektorov. Detektory BrowseSafe-Guard, trénované na týchto pároch, umožňujú vysoko presnú, rýchlu a lacnú detekciu, vďaka čomu je možné stránky skontrolovať skôr, než na ich základe agent začne konať. Rámec BrowseSafe-Adapt umožňuje testovať modely proti upraveným injekciám a odhaľuje zraniteľnosti, ktoré by pri jednotlivých pokusoch s pevnými injekciami nemuseli byť zrejmé.

Dúfame, že tieto nástroje spoločne uľahčia výskumníkom a inžinierom hľadanie zlyhaní a zlepšovanie obrany proti webovým útokom pomocou injekcie promptu. Zároveň priebežne vyhodnocujeme a zlepšujeme vstavanú ochranu v produktoch Comet a Computer, aby sme našich používateľov udržali v bezpečí.

Začíname

1. Nainštalujte SDK a získajte prístup k dátam. SDK je možné nainštalovať z platformy GitHub:

Prístup k datasetu je obmedzený. Raz oň požiadajte na jeho stránke na Hugging Face a potom sa prihláste príkazom hf auth login.

2. Odošlite výsledky do rebríčka. Vyhodnoťte vlastný detektor na testovacej časti BrowseSafe++:

Tým sa zapíše jedno rozhodnutie na stránku pre každé zobrazenie, ktoré uvediete; ak chcete získať priemer v textovom rebríčku, uveďte všetky tri textové zobrazenia. Prihláste sa do Space s rebríčkom pomocou svojho účtu Hugging Face a nahrajte predictions.jsonl. Space vráti F1, presnosť, mieru falošne pozitívnych výsledkov a ďalšie metriky pre každé zobrazenie a, ak sa tak rozhodnete, zverejní výsledok v rebríčku. Každý účet (starý aspoň 60 dní) môže odoslať jeden hodnotený príspevok za týždeň UTC. Testovacie stránky slúžia iba na vyhodnotenie: netrénujte na nich ani ich ďalej nešírte. Príručka k odosielaniu popisuje formát súboru a pravidlá zverejňovania.

Citácia

@online{perplexity2026BrowseSafePlusPlus,
  author = {{Perplexity} and Yuetian Chen and Kaiyuan Zhang and Yuntao Du and Thomas Li and Mark Tenenholtz and Kyle Polley and Jerry Ma and Denis Yarats and Ninghui Li and Jarrod Bryan and Claire Beamer and Jeremy Yang},
  title = {{BrowseSafe++: Building stronger defenses against real-world prompt injection}},
  date = {2026-10-28},
  url = {https://www.perplexity.ai/hub/blog/browsesafe-plus-plus}
}