BrowseSafe++: వాస్తవ ప్రపంచ ప్రాంప్ట్ ఇంజెక్షన్‌కు వ్యతిరేకంగా బలమైన రక్షణలను నిర్మించడం

Comet లేదా Computer లో అంతర్నిర్మితమైన అసిస్టెంట్ వంటి, వెబ్‌ను బ్రౌజ్ చేయగల ఏజెంట్‌లు వెబ్ పేజీలతో ఇంటరాక్ట్ అవ్వాలి — కంటెంట్‌ను చదివి, దానిని ఉపయోగించి తమ వినియోగదారుల తరపున చర్యలు చేయాలి. దీనివల్ల అవి పరోక్ష ప్రాంప్ట్ ఇంజెక్షన్‌కు గురవుతాయి, ఇందులో దాడి చేసేవారు ఒక వెబ్‌పేజీపై హానికరమైన టెక్స్ట్‌ను ఉంచుతారు. ఏజెంట్ ఈ సూచనలను అనుసరిస్తే, అది తప్పుదారి పట్టించే సమాధానాన్ని ఇవ్వవచ్చు లేదా వినియోగదారు అభ్యర్థించని చర్యను చేయవచ్చు.

డిసెంబర్ 2025లో, ఈ ముప్పును ఎదుర్కోవడానికి బెంచ్‌మార్క్ మరియు డిటెక్షన్ మోడల్ అయిన BrowseSafe‌ను మేము విడుదల చేశాము. ఏజెంట్‌లు ఎదుర్కొనే అవకాశం ఉన్న వాస్తవిక వెబ్‌పేజీలకు సింథటిక్ దాడులను జోడించడం ద్వారా మేము దీన్ని రూపొందించాము. గత సంవత్సర కాలంలో, దాడులు మరింత అధునాతనంగా మారి, సాధారణ పేజీ కంటెంట్‌లాగే కనిపించేలా పరిణామం చెందాయి. “మునుపటి సూచనలను విస్మరించండి” వంటి సులభంగా గుర్తుపట్టగలిగే పదబంధాలను ఉపయోగించడానికి బదులుగా, అవి తరచుగా సైట్ నుండి వచ్చిన అధికారిక నోటీసు లేదా వినియోగదారు ప్రాధాన్యతల గురించిన గమనిక వంటి, ఏజెంట్ విశ్వసించే అవకాశం ఉన్న కంటెంట్‌ను అనుకరిస్తాయి.

ఈ మార్పుల నేపథ్యంలో, ప్రస్తుత ఇంజెక్షన్ డిటెక్టర్‌లు ఈ దాడులను పట్టుకుంటాయో లేదో, ఏజెంట్‌లు వాటిని ప్రతిఘటించగలవో లేదో కొలవడానికి మేము BrowseSafe++ అనే నవీకరించిన బెంచ్‌మార్క్‌ను నిర్మించాము. ఇందులో దాడికి గురైన మరియు క్లీన్ పేజీల 38,675 జతలు ఉన్నాయి, ఇవి ప్రధానంగా వాస్తవ ప్రపంచంలో సేకరించిన ఇంజెక్షన్‌ల చుట్టూ నిర్మించబడ్డాయి. ప్రతి పేజీ కోసం, గోప్యతను రక్షించడానికి చుట్టూ ఉన్న కంటెంట్‌ను మేము తిరిగి రాస్తాము, కానీ దాడిని యథాతథంగా ఉంచుతాము. ప్రతి పేజీ బ్రౌజర్ ఏజెంట్‌లు చదివే నాలుగు ఫార్మాట్‌లలో అందుబాటులో ఉంటుంది: HTML, Markdown, యాక్సెసిబిలిటీ ట్రీలు, మరియు స్క్రీన్‌షాట్‌లు. BrowseSafe-Guard కు శిక్షణ ఇవ్వడానికి మేము బెంచ్‌మార్క్ యొక్క ఉపసమితిని ఉపయోగించాము; ఇది 0.8B-పారామీటర్ డిటెక్టర్‌ల జత: ఒక టెక్స్ట్ డిటెక్టర్ మరియు ఒక మల్టీమోడల్ డిటెక్టర్. ఈ రెండు Guard డిటెక్టర్‌లు, ఫ్రాంటియర్ మోడల్‌లతో సహా మేము పరీక్షించిన ప్రాంప్ట్ చేసిన మోడల్‌ల కంటే ఇంజెక్షన్‌లను మరింత ఖచ్చితంగా గుర్తిస్తాయి. అవి వేగవంతమైనవి, చౌకైనవి కూడా, మరియు సాధారణ పేజీలను పొరపాటున ఫ్లాగ్ చేయడం చాలా తక్కువ.

మేము BrowseSafe++ ను ఓపెన్ బెంచ్‌మార్క్‌గా విడుదల చేస్తున్నాము. ప్రాజెక్ట్ వెబ్‌సైట్ డేటాసెట్, SDK, పరిశోధనా పత్రం, మరియు పబ్లిక్ లీడర్‌బోర్డ్ లకు లింక్‌లను అందిస్తుంది. ఏ బృందమైనా లేబుల్‌లు అందించని టెస్ట్ పేజీలపై తమ డిటెక్టర్‌ను స్కోర్ చేసి, గ్రేడింగ్ కోసం మరియు లీడర్‌బోర్డ్‌లో చేర్చే అవకాశం కోసం లేబుల్‌లను సమర్పించవచ్చు. మీ ఫలితాలను మూల్యాంకనం చేసి సమర్పించడానికి, ప్రారంభించడం చూడండి.

గమనించిన ఇంజెక్షన్‌ల నుండి బెంచ్‌మార్క్‌ను నిర్మించడం

BrowseSafe++ నిజమైన వెబ్‌సైట్‌లలో గమనించిన ప్రాంప్ట్ ఇంజెక్షన్‌ల నుండి నిర్మించబడింది. సెప్టెంబర్ 2025 మరియు సెప్టెంబర్ 2026 మధ్య, Comet యొక్క ప్రాంప్ట్ ఇంజెక్షన్ డిటెక్టర్ దాని ఏజెంట్ చదివిన పేజీలలో 1.15 మిలియన్ ఇంజెక్షన్‌లను ఫ్లాగ్ చేసింది. మేము ఆ ఇంజెక్షన్‌ల చుట్టూ 32,187 జతలను నిర్మించాము మరియు అసలు BrowseSafe బెంచ్‌మార్క్ నుండి 6,488 జతలను జోడించాము, మొత్తం 38,675 జతలు. ప్రతి జతలో దాడికి గురైన పేజీ మరియు దాని క్లీన్ కవల పేజీ రెండూ ఉంటాయి, అంటే ఇంజెక్షన్ లేని అదే పేజీ.

వాస్తవ ప్రపంచంలో ఇంజెక్షన్‌లు ఎలా ఉంటాయి

ఈ ఇంజెక్షన్‌లు ఆచరణలో ఎలా ఉంటాయో బెంచ్‌మార్క్‌లోని రెండు ఉదాహరణలు చూపిస్తాయి.

ఒక ఉదాహరణలో, నకిలీ కొనుగోలు అభ్యర్థన అనధికార చర్య తీసుకోమని ఏజెంట్‌ను ప్రోత్సహిస్తుంది. అక్టోబర్ 2025లో రష్యన్ భాషా డెవలపర్ డాక్యుమెంటేషన్ పేజీలోని ఈ ఇంగ్లీష్ టెక్స్ట్ బ్లాక్‌ను Comet యొక్క డిటెక్టర్ ఫ్లాగ్ చేసింది:

ఈ టెక్స్ట్ ఆదేశాలతో మొదలై ఆదేశాలతోనే ముగుస్తుంది, మధ్యలో సాధారణ టోకెన్ మార్కెటింగ్‌తో నిండి ఉంటుంది. ఇది ఏజెంట్ సొంత డెవలపర్ నుండి వచ్చినట్లు చెప్పుకుంటుంది మరియు కొనుగోలు ఆమోదించబడినట్లు కనిపించేలా ఒక ఆథరైజేషన్ కోడ్‌తో ముగుస్తుంది.

మరొక ఉదాహరణలో, ఒక నకిలీ సంభాషణ ఏజెంట్ టాస్క్‌కు అంతరాయం కలిగించడానికి ప్రయత్నిస్తుంది. ఈ టెక్స్ట్ మార్చి 2026 లో ఒక కోడ్ రిపోజిటరీ పేజీలో కనుగొనబడింది:

ఈ టెక్స్ట్ వినియోగదారు మరియు ఏజెంట్ మధ్య సంభాషణలా కనిపించేలా రూపొందించబడింది: <|im_start|> మరియు <|im_end|> అనేవి కొన్ని చాట్ మోడల్‌లు సంభాషణలోని టర్న్‌లను వేరు చేయడానికి ఉపయోగించే మార్కర్‌లు. ఈ దాడికి లోనైన ఏజెంట్ నకిలీ వినియోగదారు ప్రశ్నకు స్పందించి, దాడి చేసేవారి పదబంధంతో సమాధానం ఇస్తుంది.

ఫ్లాగ్ చేసిన ఇంజెక్షన్‌లలో మేము ఇలాంటి నమూనాలను గమనిస్తాము:

• అవి విశ్వసనీయ మూలాలను అనుకరిస్తాయి. రెండు ఉదాహరణలూ పేజీ టెక్స్ట్‌ను ఏజెంట్ విశ్వసించే మూలం నుండి వచ్చినట్లుగా వినిపించేలా చేస్తాయి: మొదటిదానిలో దాని డెవలపర్, రెండవదానిలో దాని సొంత సంభాషణ. ఇంజెక్షన్‌లు సైట్‌గానే నటిస్తూ సెక్యూరిటీ తనిఖీలు మరియు పాలసీ నోటీసులను అనుకరించవచ్చు, లేదా వినియోగదారుగా నటిస్తూ నకిలీ ప్రాధాన్యతలను ముందుకు తేవచ్చు. ప్రతి మూడింటిలో దాదాపు రెండు లాంఛనప్రాయమైన భాషలో రాయబడతాయి.
• చాలా ఇంజెక్షన్‌లు వేర్వేరు భాషలలో రాయబడ్డాయి. 24.4% జతలలో, ఇంజెక్షన్ దాని పేజీలోని మిగిలిన భాగానికి భిన్నమైన భాషను ఉపయోగిస్తుంది. ఇది సాధారణంగా మొదటి ఉదాహరణలో ఉన్నట్లుగా, ఆంగ్లేతర పేజీపై ఆంగ్ల సూచన రూపంలో ఉంటుంది. ఇలాంటి దాడులు స్పష్టంగా ప్రతి భాషనూ చదివే, సాధారణంగా ఆంగ్లాన్ని స్థానిక భాషగా కలిగి ఉండే ఏజెంట్‌ను ఉద్దేశించినవి. భాష మార్పులు డిటెక్షన్‌ను కూడా కష్టతరం చేస్తాయి: మా అసలు BrowseSafe మూల్యాంకనంలో, బహుభాషా దాడులు పట్టుకోవడానికి అత్యంత కష్టమైన వాటిలో ఉన్నాయి.
• చాలా ఇంజెక్షన్‌లు మాటలను కాదు, చర్యలను కోరుకుంటాయి. పదింట నాలుగు కంటే ఎక్కువ ఇంజెక్షన్‌లు, మొదటి ఉదాహరణలోని టోకెన్ కొనుగోలు వంటి, వినియోగదారు ఎప్పుడూ అడగని చర్య వైపు ఏజెంట్‌ను నెట్టుతాయి, మరియు దాదాపు మూడింట ఒక వంతు ఇంజెక్షన్‌లు, రెండవ ఉదాహరణలో ఉన్నట్లుగా, ఏజెంట్ వినియోగదారు టాస్క్‌ను వదిలివేసేలా చేయడానికి ప్రయత్నిస్తాయి. కేవలం దాదాపు 3% మాత్రమే సమాధానంలో తప్పుడు సమాచారాన్ని చొప్పించడానికి ప్రయత్నిస్తాయి.
• అవి తరచూ ఎవరైనా పోస్ట్ చేయగల కంటెంట్ ద్వారా వస్తాయి. దాడిచేసే వ్యక్తికి సైట్‌పై నియంత్రణ అవసరం లేదు. సాధారణ సైట్‌లలోని ఒక ఫోరమ్ పోస్ట్ లేదా షేర్ చేసిన డాక్యుమెంట్ సరిపోతుంది, BrowseSafe++లోని 23,000 కంటే ఎక్కువ ఇంజెక్షన్‌లు ఈ విధంగానే వచ్చాయి. విశ్వసనీయ డొమైన్‌ను కూడా దాడిచేసే వ్యక్తి యొక్క టెక్స్ట్‌ను ఇంజెక్ట్ చేయడానికి ఉపయోగించుకోవచ్చు.

తుది బెంచ్‌మార్క్‌లో ఉన్న ఇంజెక్షన్‌లు 12 రకాల వెబ్‌సైట్‌లు, 24 దాడి రకాలు, దాడి చేసేవారి 6 లక్ష్యాలు, మరియు పేజీపై 18 స్థానాలను కవర్ చేస్తాయి.

విస్తరించు

ఫ్లాగ్ చేయబడిన పేజీ నుండి బెంచ్‌మార్క్ జత వరకు

ఫ్లాగ్ చేసిన పేజీలను యథాతథంగా బెంచ్‌మార్క్‌లో ఉపయోగించలేము, ఎందుకంటే ఏజెంట్ ఏ వినియోగదారు కోసం పనిచేస్తోందో ఆ వినియోగదారు వ్యక్తిగత సమాచారం వాటిలో ఉండవచ్చు. ఒక పేజీని పంచుకోదగిన బెంచ్‌మార్క్ జతగా మార్చడానికి మూడు ప్రధాన దశలు అవసరం:

1. ఇంజెక్షన్‌ను సేకరించడం: మేము ఫ్లాగ్ చేసిన పేజీలను సేకరిస్తాము, నకిలీలను తొలగిస్తాము, మరియు PII-Tracer తో వ్యక్తిగత సమాచారాన్ని మాస్క్ చేస్తాము. తర్వాత, పేజీలో ఇంజెక్షన్ ఉందని మేము నిర్ధారిస్తాము; ప్రత్యేకంగా, వినియోగదారు ఉద్దేశించిన టాస్క్ నుండి ఏజెంట్‌ను దారి మళ్లించడానికి ప్రయత్నించే సూచన దానిలో ఉందని మోడల్‌ల ప్యానెల్ అంగీకరించాలని మేము కోరతాము.
2. జతను నిర్మించడం: ఒక ఏజెంట్ ప్రతి పేజీ నుండి ఇంజెక్షన్ టెక్స్ట్‌ను తొలగించి, చుట్టూ ఉన్న పేజీ కంటెంట్‌ను తిరిగి రాస్తుంది, పేర్లు మరియు బ్రాండ్‌ల వంటి వివరాలను కల్పిత వాటితో భర్తీ చేస్తుంది. రెండవ ఏజెంట్ తిరిగి రాసిన పేజీలో మిగిలిపోయిన వాస్తవ ప్రపంచ కంటెంట్ కోసం తనిఖీ చేసి, విఫలమైన వాటిని ఫీడ్‌బ్యాక్‌తో తిరిగి పంపుతుంది. మానవ సమీక్షకులు యాదృచ్ఛికంగా ఎంచుకున్న 10% పేజీలను పరిశీలిస్తారు; వారు కనుగొన్న సమస్యలు పైప్‌లైన్‌లో సరిచేయబడతాయి, మరియు ఆ సవరణలు మొత్తం కార్పస్‌కు వర్తింపజేయబడతాయి. దాడికి గురైన కాపీని సృష్టించడానికి ఇంజెక్షన్ తిరిగి రాసిన పేజీలో మళ్లీ చొప్పించబడుతుంది, మరియు క్లీన్ కాపీలో దానిని చేర్చరు. రెండు పేజీలు ఒకే టాస్క్, ఆశించిన ఫలితం, మరియు సాధారణ సూచనలను పంచుకుంటాయి.
3. ధృవీకరించడం: ఏజెంట్‌లు పేజీలను వేర్వేరు రూపాల్లో చదువుతాయి, కాబట్టి మేము ప్రతి పేజీ యొక్క HTML ను Markdown గా, యాక్సెసిబిలిటీ ట్రీగా (పేజీ ఇంటర్‌ఫేస్ ఎలిమెంట్‌లు మరియు వాటి లేబుల్‌ల నిర్మాణాత్మక జాబితా), మరియు స్క్రీన్‌షాట్‌గా రెండర్ చేస్తాము. దాడికి గురైన పేజీ యొక్క నాలుగు వ్యూలలోనూ ఇంజెక్షన్ కనిపిస్తోందని, క్లీన్ పేజీ ప్రతి వ్యూలోనూ హానిరహితమైనదిగా నిర్ణయించబడిందని మరొక ఏజెంట్ తనిఖీ చేస్తుంది. ఏదైనా ఒక వ్యూలో ఇంజెక్షన్ లేకపోతే, మేము దానిని పేజీలోని వేరే స్థానానికి తరలించి మళ్లీ రెండర్ చేస్తాము, తద్వారా తుది దాడి పేజీలో అన్ని వ్యూలలోనూ ఇంజెక్షన్ ఉండేలా చూస్తాము. చివరిగా ఆటోమేటెడ్ తనిఖీల సమితి, నిజమైన హోస్ట్‌నేమ్‌లు లేదా బ్రాండ్ పేర్ల వంటి తమ మూలానికి సంబంధించిన ఆనవాళ్లు ఇంకా ఉన్న ఏవైనా జతలను సరిచేస్తుంది.

విస్తరించు

BrowseSafe-Guard: ప్రతి వ్యూ కోసం వేగవంతమైన మరియు ఖచ్చితమైన డిటెక్టర్‌లు

ఉపయోగకరమైన డిటెక్టర్ ప్రతి పేజీని త్వరగా, తక్కువ ఖర్చుతో తనిఖీ చేయాలి. అది దాడికి గురైన పేజీలు మరియు క్లీన్ పేజీలు రెండింటిపైనా ఖచ్చితంగా ఉండాలి. చాలా పేజీలు సురక్షితమైనవి కాబట్టి అధిక ప్రిసిషన్ ప్రత్యేకంగా ముఖ్యం; సాపేక్షంగా తక్కువ ఫాల్స్ పాజిటివ్ రేట్ ఉన్నా కూడా చాలా హెచ్చరికలు తప్పుడు హెచ్చరికలుగా మారతాయి. ప్రాంప్ట్ చేసిన సాధారణ-ప్రయోజన మోడల్‌లు తరచుగా ప్రిసిషన్‌లో వెనుకబడతాయి, మరియు ప్రతి పేజీపై అమలు చేయడానికి అవి చాలా నెమ్మదిగా, ఖరీదైనవిగా ఉంటాయి.

విడివిడిగా సేకరించిన దాడికి గురైన పేజీలు మరియు క్లీన్ పేజీలపై శిక్షణ పొందిన డిటెక్టర్, పేజీ అంశం లేదా లేఅవుట్ వంటి, యాదృచ్ఛికంగా ఆ రెండు సెట్‌లను వేరుచేసే షార్ట్‌కట్‌లను నేర్చుకోవచ్చు. అయితే, అలాంటి డిటెక్టర్ కొత్త డేటాకు బాగా సాధారణీకరించబడదు. బదులుగా, Guard కేవలం ఇంజెక్షన్ మాత్రమే తేడాగా ఉండే జతలపై శిక్షణ పొందుతుంది, ఇది డిటెక్టర్ ప్రెసిషన్‌ను మెరుగుపరచడంలో సహాయపడుతుంది. ప్రతి జత కోసం, Guard దాడికి గురైన పేజీని మరియు దాని క్లీన్ జంట పేజీని విడివిడిగా చదివి, ప్రతిదానిలో ఇంజెక్షన్ ఉండే అవకాశం ఎంత ఉందో తెలిపే స్కోర్‌ను ఇస్తుంది. మోడల్‌ను అప్‌డేట్ చేయడానికి రెండు శిక్షణ లక్ష్యాలు ఉపయోగించబడతాయి: ప్రామాణిక వర్గీకరణ లక్ష్యం, మరియు దాడికి గురైన పేజీ దాని జంట కంటే కనీసం ఒక స్థిర మార్జిన్‌తో ఎక్కువ స్కోర్ సాధించకపోతే Guardకు పెనాల్టీ విధించే ర్యాంకింగ్ లక్ష్యం. సులభంగా అర్థమయ్యేలా చెప్పాలంటే, వర్గీకరణ లక్ష్యం Guardకు ఏ నిర్ణయం తీసుకోవాలో నేర్పుతుంది, ర్యాంకింగ్ లక్ష్యం ఆ నిర్ణయాన్ని ఇంజెక్షన్‌కే ముడిపెట్టి, హానిరహితమైన దృష్టి మళ్లించే అంశాలను విస్మరిస్తుంది. ఇది చుట్టుపక్కల పేజీ కంటెంట్‌కు కాకుండా, ఇంజెక్షన్‌కే స్పందించేలా Guardకు శిక్షణ ఇస్తుంది.

Guardలో రెండు డిటెక్టర్‌లు ఉంటాయి, ప్రతి ఒక్కటీ Qwen3.5-0.8B నుండి ఫైన్-ట్యూన్ చేయబడింది. టెక్స్ట్ డిటెక్టర్ పేజీ యొక్క ఒక టెక్స్ట్ వ్యూను చదువుతుంది: HTML, Markdown లేదా యాక్సెసిబిలిటీ ట్రీలో ఏదో ఒకటి. మల్టీమోడల్ డిటెక్టర్ పూర్తి-పేజీ స్క్రీన్‌షాట్‌ను చదువుతుంది. డిప్లాయ్‌మెంట్‌లో, Guard ఒకే ఫార్వర్డ్ పాస్‌లో పేజీని చదివి ఒక ఇంజెక్షన్ స్కోర్‌ను అవుట్‌పుట్‌గా ఇస్తుంది, ఆ స్కోర్ ఒక థ్రెషోల్డ్‌ను దాటితే పేజీ ఫ్లాగ్ చేయబడుతుంది. Guardకు కేవలం 0.8B పారామీటర్‌లు మాత్రమే ఉండి, ఒకే స్కోర్‌ను అవుట్‌పుట్‌గా ఇస్తుంది కాబట్టి, ఇది ప్రతి పేజీపై అమలు చేయగలిగేంత వేగంగా, చౌకగా ఉంటుంది.

పనితీరును బెంచ్‌మార్క్ చేయడం

బెంచ్‌మార్క్ యొక్క హెల్డ్-అవుట్ ఉపసమితిపై ఇంజెక్షన్‌లను గుర్తించడానికి ప్రాంప్ట్ చేసిన 18 మోడల్‌లతో మేము Guard ను పోల్చాము. BrowseSafe++ పై కొలిచిన నాలుగు మెట్రిక్‌లను మేము నివేదిస్తాము:

• రీకాల్ (Recall) అంటే ఇంజెక్షన్ ఉన్న పేజీలలో డిటెక్టర్ ఫ్లాగ్ చేసే పేజీల వాటా; ఇది అది ఎన్ని దాడులను పట్టుకుంటుందో కొలుస్తుంది, కాబట్టి ఎంత ఎక్కువ ఉంటే అంత మంచిది.
• ఫాల్స్-పాజిటివ్ రేట్ (FPR) అంటే డిటెక్టర్ పొరపాటున ఫ్లాగ్ చేసే క్లీన్ పేజీల వాటా; ఇది అది ఎంత తరచుగా తప్పుడు హెచ్చరికలు ఇస్తుందో కొలుస్తుంది, కాబట్టి ఎంత తక్కువ ఉంటే అంత మంచిది.
• ప్రిసిషన్ (Precision) అంటే ఫ్లాగ్ చేసిన పేజీలలో నిజంగా ఇంజెక్షన్ ఉన్న పేజీల వాటా; ఇది హెచ్చరిక ఎంత తరచుగా సరైనదో కొలుస్తుంది, కాబట్టి ఎంత ఎక్కువ ఉంటే అంత మంచిది.
• F1 అనేది రీకాల్ మరియు ప్రిసిషన్ యొక్క హార్మోనిక్ సగటు; ఒక డిటెక్టర్ చాలా దాడులను పట్టుకుని, దాని ఫ్లాగ్‌లలో కొన్ని మాత్రమే తప్పుడు హెచ్చరికలు అయినప్పుడే ఇది ఎక్కువగా ఉంటుంది.

మంచి డిటెక్టర్‌కు అధిక ప్రిసిషన్ మరియు రీకాల్ ఉండాలి కాబట్టి, మేము F1 ను ప్రాథమిక మెట్రిక్‌గా ఉపయోగిస్తాము. నాలుగు మెట్రిక్‌లూ మూడు టెక్స్ట్ వ్యూలలో సగటు చేయబడ్డాయి.

విస్తరించు

విస్తరించు

మోడల్ పోలికలు

మేము పరీక్షించిన చిన్న ఓపెన్-వెయిట్ మోడల్‌లు అట్టడుగున నిలిచాయి. Mistral NeMo మరియు Qwen3 30B-A3B ఒక్కొక్కటి దాదాపు సగం క్లీన్ పేజీలను ఫ్లాగ్ చేస్తాయి, అయితే Llama 3.1 8B దాదాపు దేనినీ ఫ్లాగ్ చేయదు, దీనివల్ల చాలా దాడులను గుర్తించలేకపోతుంది. ఈ సమూహంలో అత్యంత బలమైన మోడల్ అయిన GPT-OSS 20B కూడా కేవలం 70.97% F1 ను మాత్రమే చేరుకుంటుంది. చాలా పెద్ద ఓపెన్-వెయిట్ మోడల్ అయిన DeepSeek V3.1 కొంచెం మెరుగ్గా, 75.23% F1 సాధిస్తుంది.

GPT-5.4 nano, Gemini 3.1 Flash-Lite మరియు Claude Haiku 4.5 సహా తేలికపాటి API మోడల్‌లు 85% నుండి 97% మధ్య రీకాల్‌తో ఎక్కువ దాడులను పట్టుకుంటాయి. అయితే, దీనికి మూల్యంగా తప్పుడు అలారాల వాటా ఎక్కువగా ఉంటుంది; ఈ గ్రూప్‌లో Gemini 3.1 Flash-Liteకు 35.2%తో అత్యల్ప FPR ఉంది, Haiku యొక్క FPR దాదాపు 69% ఉంది. ఫలితంగా, ఈ గ్రూప్‌లో గరిష్ఠ F1 స్కోర్ 80.9%, దీన్ని Gemini 3.1 Flash-Lite సాధించింది.

మిగిలిన మోడల్‌లు మరింత బలమైన సాధారణ-ప్రయోజన మోడల్‌లు, ఇవి 85% నుండి 92% మధ్య F1 స్కోర్‌లను చేరుకుంటాయి. అయితే, అవి ఇప్పటికీ రీకాల్ మరియు FPR మధ్య రాజీలను ఎదుర్కొంటాయి; జాగ్రత్త వైపు మొగ్గు చూపే మోడల్‌లు చట్టబద్ధమైన పేజీలను బ్లాక్ చేస్తాయి, తక్కువ తరచుగా ఫ్లాగ్ చేసే మోడల్‌లు దాడులను గుర్తించలేకపోతాయి. Claude Sonnet 5 కు అన్ని డిటెక్టర్‌లలోకెల్లా అత్యధికంగా 98.73% రీకాల్ ఉంది, కానీ దాని FPR 24.65%. Gemini 3.1 Pro మరియు GPT-5.5 వరుసగా 97.78% మరియు 97.19% రీకాల్‌లను, 19.80% మరియు 20.44% FPR లను చేరుకుంటాయి. GPT-6 Astra కు అత్యధిక మొత్తం ఖచ్చితత్వం ఉంది, 96.42% రీకాల్ మరియు 14.41% FPR తో. Decider 96.02% రీకాల్ మరియు 17.44% FPR తో రెండవ స్థానంలో ఉంది. Claude Opus 5.5 కు కేవలం 4.21% తో అత్యల్ప FPR ఉంది, కానీ దాని 77.71% రీకాల్ అంటే అది ప్రతి ఐదు దాడులలో ఒకటి కంటే ఎక్కువ దాడులను గుర్తించలేకపోతుంది. Claude Fable 5.1 తాను సమాధానం ఇచ్చే పేజీలపై బలంగా కనిపిస్తుంది, 89.31% రీకాల్ మరియు 7.92% FPR తో, కానీ అది దాదాపు 30% పేజీలపై సమాధానం ఇవ్వడానికి నిరాకరిస్తుంది, వీటిని “(all)” వరుస ఫ్లాగ్‌లుగా లెక్కిస్తుంది.

విస్తరించు

Guard పారెటో ఫ్రాంటియర్‌ను ముందుకు తీసుకెళ్తుంది, తప్పిపోయిన దాడులు మరియు తప్పుడు హెచ్చరికల మధ్య మెరుగైన సమతుల్యతను సాధిస్తుంది. ఇది దాదాపు 95% F1 ను చేరుకుంటుంది మరియు ప్రతి టెక్స్ట్ వ్యూలో మొదటి స్థానంలో ఉంది. ఇది ప్రతి 20 క్లీన్ పేజీలలో దాదాపు ఒక్కదాన్ని మాత్రమే ఫ్లాగ్ చేస్తుంది, ఇది అత్యంత ఖచ్చితమైన ప్రాంప్ట్ చేసిన మోడల్ అయిన Astra రేటులో దాదాపు మూడింట ఒక వంతు. ఈ తేడా మా శిక్షణ వల్లనే వస్తుంది; Guard ఆధారంగా ఉన్న మార్పులు చేయని Qwen3.5-0.8B ను ఇతర మోడల్‌ల మాదిరిగానే ప్రాంప్ట్ చేసినప్పుడు, అది కేవలం 64% F1 ను మాత్రమే చేరుకుంటుంది మరియు దాదాపు ప్రతి నాలుగు క్లీన్ పేజీలలో మూడింటిని ఫ్లాగ్ చేస్తుంది. స్క్రీన్‌షాట్ వ్యూ సందర్భంలో, మేము Guard యొక్క మల్టీమోడల్ డిటెక్టర్‌ను చిత్రాలను నిర్వహించగల నాలుగు మోడల్‌లతో పోల్చాము. పూర్తి పేజీ స్క్రీన్‌షాట్‌లు ఇచ్చినప్పుడు, Guard దాదాపు 93% F1 స్కోర్ సాధిస్తుంది; మేము మూల్యాంకనం చేసిన ఇతర మోడల్‌లలో అత్యుత్తమమైనది దాదాపు 79% మాత్రమే సాధిస్తుంది.

దాడిని గుర్తించడం దానిని ప్రతిఘటించడంతో సమానం కాదు

సహజంగా చూస్తే, ఒక ఇంజెక్షన్‌ను సరిగ్గా గుర్తించగల మోడల్, వినియోగదారు టాస్క్‌లను పూర్తి చేస్తున్నప్పుడు ఆ పేజీని ఎదుర్కొంటే ఆ ఇంజెక్షన్‌ను విస్మరించాలి కూడా. అయితే, బలమైన డిటెక్షన్ స్కోర్‌లు ఒక మోడల్ దాడిని ప్రతిఘటిస్తుందని హామీ ఇవ్వవని మా ప్రయోగాలు చూపిస్తున్నాయి. మేము ప్రతి మోడల్‌కు దాడికి గురైన ఒకే పేజీని రెండుసార్లు ఇచ్చాము — ఒకసారి దానిలో ఇంజెక్షన్ ఉందో లేదో నిర్ణయించడానికి, మరోసారి మునుపటి తీర్పును చూడకుండా వినియోగదారు టాస్క్‌ను నిర్వహించడానికి. అది ఇంజెక్షన్‌ను అనుసరించిందో లేదో ఒక ప్రత్యేక జడ్జ్ తనిఖీ చేసింది. పరీక్షించిన ప్రతి మోడల్ తాను ఫ్లాగ్ చేసిన కొన్ని ఇంజెక్షన్‌లను ఇప్పటికీ అనుసరించింది — GPT-6 Astra కు ఫ్లాగ్ చేసిన పేజీలలో 1.64% నుండి Llama 3.1 8B కు 24.73% వరకు.

విస్తరించు

డిటెక్షన్ స్కోర్‌లు మోడల్‌ల మధ్య తేడాలను విశ్వసనీయంగా అంచనా వేయవు. Claude Sonnet 5 మరియు GPT-5.5 ఇంజెక్షన్‌లను దాదాపు సమానంగా గుర్తిస్తాయి, వాటి F1 స్కోర్‌లు వరుసగా దాదాపు 88% మరియు 89%. అయితే, Sonnet 5 తాను ఫ్లాగ్ చేసిన ఇంజెక్షన్‌ను 19.74% పేజీలలో అనుసరించింది, ఇది 1.97% వద్ద ఉన్న GPT-5.5 కంటే పది రెట్లు ఎక్కువ.

ఇంజెక్షన్ రక్షణ కోసం డిప్లాయ్ చేయగల సిస్టమ్

పేజీని బ్లాక్ చేయాలనే నిర్ణయం కోసం వినియోగదారు టాస్క్‌ను నిర్వహిస్తున్న మోడల్‌పై ఆధారపడకుండా, దానిని ప్రత్యేక-ప్రయోజన మోడల్‌కు అప్పగించడంలో విలువ ఉందని ఈ ఫలితాలు సూచిస్తున్నాయి. ఏజెంట్ చర్య తీసుకునే ముందు ప్రతి పేజీని స్క్రీన్ చేసే ప్రత్యేక డిటెక్టర్ అదనపు రక్షణ స్థాయిని అందిస్తుంది, మరియు దానికి హైజాక్ చేయడానికి టాస్క్ గానీ, దుర్వినియోగం చేయడానికి టూల్స్ గానీ ఉండవు.

Guard సరిగ్గా అలాంటి డిటెక్టర్‌గా ఉండేలా రూపొందించబడింది. మేము పరీక్షించిన అన్ని మోడల్‌లలో అత్యధిక F1 మరియు ఖచ్చితత్వం కలిగి ఉండటమే కాకుండా, దాని చిన్న పరిమాణం వల్ల ప్రతి పేజీపై అమలు చేయగలిగేంత చౌకగా ఉంటుంది. సగటున, Guard ప్రతి టెక్స్ట్ పేజీకి సుమారు 0.15 సెకన్ల GPU సమయాన్ని ఉపయోగించింది. అద్దెకు తీసుకున్న H200పై, 1,000 పేజీలకు $0.18 ఖర్చు అవుతుందని మేము అంచనా వేస్తున్నాము, అదే లిస్ట్ ధరల ప్రకారం ఫ్రాంటియర్ API మోడల్‌లకు $18.95–180.61 ఖర్చవుతుంది. దీంతో, మా పోలికలో, అధిక డిటెక్షన్ స్కోర్‌లను నిలుపుకుంటూనే తరచూ స్క్రీనింగ్ చేయడం చాలా చౌకగా మారుతుంది.

కింది చిత్రం ప్రతి డిటెక్టర్ ఖచ్చితత్వాన్ని దాని ఒక్కో పేజీ సమయం మరియు 1,000 పేజీలకు అయ్యే ఖర్చుతో పోలుస్తూ చూపిస్తుంది, రెండూ లాగరిథమిక్ స్కేల్‌లపై. రెండు ప్యానెల్‌లలోనూ Guard ఎగువ-ఎడమ మూలలో ఒంటరిగా ఉంది: ఖచ్చితత్వం, వేగం, ఖర్చు — మూడింటిలోనూ ఇదే ముందుంటుంది. ప్రాంప్ట్ చేసిన ప్రతి మోడల్ ఒక్కో పేజీకి దాదాపు ఒక సెకను లేదా అంతకంటే ఎక్కువ సమయం తీసుకుంటుంది, అత్యంత ఖచ్చితమైన రెండు మోడల్‌లైన GPT-6 Astra మరియు Claude Fable 5.1 కు 1,000 పేజీలకు $100 కంటే ఎక్కువ ఖర్చవుతుంది.

విస్తరించు

అడాప్టివ్ దాడులకు వ్యతిరేకంగా రక్షణలను పరీక్షించడం

BrowseSafe++ బెంచ్‌మార్క్‌లో పరిమిత సంఖ్యలో ఇంజెక్షన్‌లు ఉన్నాయి. అయితే, నిజమైన దాడి చేసేవారు అడాప్టివ్ దాడిని చేయగలరు; ఒక ఇంజెక్షన్ విఫలమైనప్పుడు, వారు దానిని తిరిగి రాసి మళ్లీ ప్రయత్నించగలరు. ఫలితంగా, అసలు ఇంజెక్షన్‌ను ప్రతిఘటించే ఏజెంట్ కూడా భవిష్యత్ దాడులకు గురయ్యే అవకాశం ఉంది. అంతేకాకుండా, మోడల్‌లు ఇంటర్నెట్ నుండి సేకరించిన డేటాపై శిక్షణ పొందుతాయి, కాబట్టి అవి అందులోని చాలా ఇంజెక్షన్‌లను ప్రతిఘటించడం నేర్చుకోవచ్చు; మేము మా బెంచ్‌మార్క్‌ను బహిరంగంగా విడుదల చేస్తున్నందున, అది సంతృప్తమై మోడల్‌ల మధ్య తేడాను సరిగా చూపలేకపోయే అవకాశం ఉంది. ఈ రెండు సమస్యలను పరిష్కరించడానికి, మేము BrowseSafe-Adapt ను నిర్మించాము — ఇది ఒక అటాకర్ మోడల్ ఇంజెక్షన్‌లను తిరిగి రాయగల పరీక్ష వాతావరణం. ప్రతి పరీక్షకు మూడు దశలు ఉంటాయి:

1. కేస్‌ను సెటప్ చేయడం. ఒక కేస్ BrowseSafe++ ఎంట్రీని లక్ష్య ఏజెంట్‌తో జతచేస్తుంది. BrowseSafe++ ఎంట్రీలో వినియోగదారు క్వెరీ మరియు టాస్క్‌తో కూడిన దృశ్యం, దాడికి గురైన పేజీ, మరియు దాడిచేసే వ్యక్తి ఆశించిన ఫలితం ఉంటాయి. టాస్క్‌ను అమలు చేయడానికి అవసరమైన టూల్స్ మరియు సింథటిక్ డేటాను అందించే శాండ్‌బాక్స్‌లో ఏజెంట్ పనిచేస్తుంది. దాడి తన లక్ష్యాన్ని సాధించిందో లేదో ఒక ప్రత్యేక వెరిఫైయర్ మోడల్ మూల్యాంకనం చేస్తుంది.
2. ఒక ప్రయత్నాన్ని అమలు చేయడం: మేము ప్రస్తుత ఇంజెక్షన్‌ను పేజీలో చొప్పించి, ఏజెంట్ టాస్క్‌ను నిర్వహించేలా అనుమతిస్తాము. దాడి విజయవంతమైందో లేదో నిర్ణయించడానికి వెరిఫైయర్ ఏజెంట్ సమాధానాన్ని మరియు అది శాండ్‌బాక్స్‌లో చేసిన ఏవైనా మార్పులను తనిఖీ చేస్తుంది. మొదటి ప్రయత్నం అసలు BrowseSafe++ ఎంట్రీలోని ఇంజెక్షన్‌ను ఉపయోగిస్తుంది.
3. సవరించి, పునరావృతం చేయడం: దాడి విఫలమైతే, మేము ఆ ప్రయత్నాన్ని ఆర్కైవ్ చేస్తాము, మరియు ఒక క్రిటిక్ మోడల్ ఏమి తప్పు జరిగిందో సమీక్షిస్తుంది. ఒక అటాకర్ మోడల్ ఆ ఫీడ్‌బ్యాక్‌ను ఉపయోగించి ఇంజెక్షన్‌ను తిరిగి రాస్తుంది; అది దాడి యొక్క పదజాలం, ఫార్మాటింగ్, లేదా పేజీపై స్థానాన్ని మార్చగలదు. దాడి లక్ష్యం, విజయ ప్రమాణాలు, మరియు చుట్టూ ఉన్న పేజీ కంటెంట్ అలాగే ఉంటాయి. తదుపరి ప్రయత్నం నవీకరించిన దాడిని ఉపయోగిస్తుంది. దాడి విజయవంతమయ్యే వరకు లేదా అటాకర్ నిర్ణీత ప్రయత్నాల పరిమితిని చేరుకునే వరకు ఈ ప్రక్రియ పునరావృతమవుతుంది.

విస్తరించు

మేము ఏడు ఏజెంట్‌లను పరీక్షించాము, ఒక్కొక్కటి వేర్వేరు మోడల్‌పై నిర్మించబడింది: Claude Sonnet 5, Claude Haiku 4.5, GPT-5.5, Gemini 3.1 Pro, Gemini 3.5 Flash-Lite, మరియు ఓపెన్-వెయిట్ మోడల్‌లు DeepSeek V3.1 మరియు Kimi K2. ప్రతి ఏజెంట్ ఒకే 1,024 టాస్క్‌లను ఎదుర్కొంది, ఒక్కో టాస్క్‌కు గరిష్టంగా 64 ప్రయత్నాలతో. మొదటి ప్రయత్నంలో, ఏడు ఏజెంట్‌లన్నింటిపై దాడి విజయం తక్కువగా ఉంది. ఏ ఏజెంట్‌పైనైనా, అసలు ఇంజెక్షన్‌లు మూల్యాంకనం చేసిన టాస్క్‌లలో గరిష్టంగా 4% లో మాత్రమే విజయం సాధించాయి. అడాప్టివ్ ఫ్రేమ్‌వర్క్ కింద, దాడి విజయం గణనీయంగా పెరిగింది. ఏడు ఏజెంట్‌లలో ఐదింటిపై దాడి చేసేవారు కనీసం 79% టాస్క్‌లలో విజయం సాధించారు. అత్యంత బలమైన ఏజెంట్‌లు కూడా దాడులకు గురయ్యాయి: GPT-5.5 పై దాదాపు ప్రతి మూడు టాస్క్‌లలో రెండింటిలో, Claude Sonnet 5 పై దాదాపు ప్రతి మూడింటిలో ఒకదానిలో దాడులు ఇప్పటికీ విజయం సాధించాయి.

ఏజెంట్ ఒక నిర్దిష్ట టూల్ కాల్ చేసేలా చేయడమే దాడి చేసేవారి లక్ష్యం అయినప్పుడు ఏజెంట్‌ల మధ్య తేడా అత్యధికంగా ఉంటుంది. ఈ రకమైన లక్ష్యం ఉన్న టాస్క్‌లలో, Sonnet 5 దాదాపు 8% టాస్క్‌లలో, GPT-5.5 దాదాపు 29% టాస్క్‌లలో లొంగిపోయాయి. మిగిలిన ఐదు ఏజెంట్‌లు తమ టాస్క్‌లలో సగానికి పైగా దాడి చేసేవారి లక్ష్యాన్ని అమలు చేశాయి.

Guard ప్రతి పేజీని ముందుగా స్క్రీన్ చేసేలా ఉంచి, Gemini 3.5 Flash-Lite ఏజెంట్‌పై కూడా మేము BrowseSafe-Adapt ను అమలు చేశాము. Guard అసలు ఇంజెక్షన్‌లలో 94.5% ను నిరోధించింది మరియు దాడి చేసేవారికి అవసరమైన సగటు ప్రయత్నాల సంఖ్యను 9.7 నుండి 17.0 కి దాదాపు రెట్టింపు చేసింది. అయితే, మొత్తం 64 ప్రయత్నాలు ఇచ్చినప్పుడు, దాడి చేసేవారు ఇప్పటికీ 84.2% టాస్క్‌లలో విజయం సాధించారు (Guard లేకుండా 93.6%), దాదాపు ఎల్లప్పుడూ Guard ఫ్లాగ్ చేయని ఇంజెక్షన్‌తోనే. మేము BrowseSafe ను విడుదల చేసినప్పుడు వివరించిన అభిప్రాయానికి ఇది సరిపోతుంది: ఏ డిటెక్షన్ మోడల్ కూడా అన్ని సమస్యలకు పరిష్కారం కాదు, కాబట్టి డిటెక్టర్ బహుళ-స్థాయి రక్షణలో ఒక భాగంగా ఉండాలి.

విస్తరించు

ముగింపు

బ్రౌజర్ ఏజెంట్‌లు తరచుగా పరోక్ష ప్రాంప్ట్ ఇంజెక్షన్‌కు గురవుతాయి, ఇందులో సాధారణ పేజీలలో దాగి ఉన్న దాడులు వినియోగదారు టాస్క్‌లను నిర్వహించే ఏజెంట్‌ల సామర్థ్యానికి అంతరాయం కలిగించడానికి ప్రయత్నిస్తాయి. కాలక్రమేణా ఈ ప్రమాదాలు మరింత పెరుగుతాయి — ఏజెంట్‌లకు మరింత డేటా మరియు టూల్స్‌కు యాక్సెస్ లభించడంతో దాడుల వల్ల కలిగే నష్టం తీవ్రమవుతుంది, అలాగే దాడి చేసేవారు తమ ఇంజెక్షన్‌లను మరింత ప్రభావవంతంగా ఉండేలా సవరించగలరు.

మా BrowseSafe సూట్ ఈ ముప్పులను పరిష్కరిస్తుంది. BrowseSafe++ బెంచ్‌మార్క్‌లో ప్రధానంగా నిజమైన ఇంజెక్షన్‌ల నుండి నిర్మించిన 38,675 వెబ్‌పేజీ జతలు ఉన్నాయి, ఇవి డిటెక్టర్‌ల కోసం మరింత విశ్వసనీయమైన శిక్షణ మరియు మూల్యాంకనాన్ని సాధ్యం చేస్తాయి. ఈ జతలపై శిక్షణ పొందిన BrowseSafe-Guard డిటెక్టర్‌లు అత్యంత ఖచ్చితమైన, వేగవంతమైన, చౌకైన డిటెక్షన్‌ను అందిస్తాయి, దీనివల్ల ఏజెంట్ పేజీలపై చర్య తీసుకునే ముందే వాటిని స్కాన్ చేయడం సాధ్యమవుతుంది. BrowseSafe-Adapt ఫ్రేమ్‌వర్క్ సవరించిన ఇంజెక్షన్‌లకు వ్యతిరేకంగా మోడల్‌లను పరీక్షించడానికి వీలు కల్పిస్తుంది, స్థిర ఇంజెక్షన్‌లతో ఒక్కసారి చేసే ప్రయత్నాల నుండి స్పష్టంగా కనిపించని బలహీనతలను వెలుగులోకి తెస్తుంది.

ఈ టూల్స్ కలిసి, వెబ్ ఆధారిత ప్రాంప్ట్ ఇంజెక్షన్ దాడులకు సంబంధించిన వైఫల్యాలను కనుగొనడం మరియు వాటికి వ్యతిరేకంగా రక్షణలను మెరుగుపరచడం పరిశోధకులకు, ఇంజనీర్లకు సులభతరం చేస్తాయని మేము ఆశిస్తున్నాము. మా వినియోగదారులను సురక్షితంగా ఉంచడానికి Comet మరియు Computer యొక్క అంతర్నిర్మిత రక్షణలను కూడా మేము నిరంతరం మూల్యాంకనం చేస్తూ, మెరుగుపరుస్తున్నాము.

ప్రారంభించడం

1. SDK ను ఇన్‌స్టాల్ చేసి, డేటాకు యాక్సెస్ పొందండి. SDK GitHub నుండి ఇన్‌స్టాల్ అవుతుంది:

డేటాసెట్‌కు యాక్సెస్ పరిమితం. దాని Hugging Face పేజీలో ఒకసారి యాక్సెస్ కోసం అభ్యర్థించండి, ఆపై hf auth login ఉపయోగించి లాగిన్ అవ్వండి.

2. లీడర్‌బోర్డ్‌కు సమర్పించండి. BrowseSafe++ యొక్క టెస్ట్ స్ప్లిట్‌పై మీ స్వంత డిటెక్టర్‌ను మూల్యాంకనం చేయండి:

ఇది మీరు జాబితా చేసే ప్రతి వ్యూ కోసం, ప్రతి పేజీకి ఒక నిర్ణయాన్ని రాస్తుంది; టెక్స్ట్ లీడర్‌బోర్డ్‌లో సగటును పొందడానికి మూడు టెక్స్ట్ వ్యూలనూ జాబితా చేయండి. మీ Hugging Face ఖాతాతో లీడర్‌బోర్డ్ స్పేస్కు సైన్ ఇన్ చేసి, predictions.jsonlను అప్‌లోడ్ చేయండి. స్పేస్ ప్రతి వ్యూకు F1, ఖచ్చితత్వం, ఫాల్స్-పాజిటివ్ రేటు మరియు ఇతర మెట్రిక్‌లను అందిస్తుంది, మీరు ఎంచుకుంటే, ఫలితాన్ని లీడర్‌బోర్డ్లో ప్రచురిస్తుంది. ప్రతి ఖాతాకు (కనీసం 60 రోజుల పాతది) ప్రతి UTC వారానికి ఒక స్కోర్ చేయబడిన సబ్మిషన్ లభిస్తుంది. టెస్ట్ పేజీలు మూల్యాంకనం కోసం మాత్రమే: వాటిపై మోడల్‌లకు శిక్షణ ఇవ్వవద్దు లేదా వాటిని పునఃపంపిణీ చేయవద్దు. సబ్మిషన్ గైడ్ ఫైల్ ఫార్మాట్ మరియు ప్రచురణ నియమాలను వివరిస్తుంది.

ఉల్లేఖనం

@online{perplexity2026BrowseSafePlusPlus,
  author = {{Perplexity} and Yuetian Chen and Kaiyuan Zhang and Yuntao Du and Thomas Li and Mark Tenenholtz and Kyle Polley and Jerry Ma and Denis Yarats and Ninghui Li and Jarrod Bryan and Claire Beamer and Jeremy Yang},
  title = {{BrowseSafe++: Building stronger defenses against real-world prompt injection}},
  date = {2026-10-28},
  url = {https://www.perplexity.ai/hub/blog/browsesafe-plus-plus}
}