通过 HTML 可访问性树利用间接提示注入攻击操纵 LLM Web 智能体
Manipulating LLM Web Agents with Indirect Prompt Injection Attack via HTML Accessibility Tree
AI总结：
本文提出在 HTML 中嵌入 GCG 生成的通用对抗触发器，经可访问性树劫持 Llama-3.1 驱动的 Browser Gym 智能体，并在真实网站验证其凭据窃取和强制点击等 IPI 攻击风险。
摘要：
本研究表明，基于 LLM 的 Web 导航智能体虽具备强大的自动化能力，但容易受到间接提示注入（IPI）攻击。研究显示，攻击者可在网页 HTML 中嵌入通用对抗触发器，以劫持利用可访问性树解析 HTML 的智能体行为，从而引发非预期或恶意操作。借助 Greedy Coordinate Gradient（GCG，贪婪坐标梯度）算法和由 Llama-3.1 驱动的 Browser Gym 智能体，本系统在真实网站上的定向攻击与通用攻击中均展现出高成功率，攻击包括登录凭据窃取和强制广告点击。实验结果凸显了严重的安全风险，并表明随着 LLM 驱动的自主 Web 智能体被更广泛采用，需要更强的防御措施。系统软件（https://github.com/sej2020/manipulating-web-agents）以 MIT 许可证发布，并附带公开可用的演示网站（http://lethaiq.github.io/attack-web-llm-agent）。
英文摘要：
This work demonstrates that LLM-based web navigation agents offer powerful automation capabilities but are vulnerable to Indirect Prompt Injection (IPI) attacks. We show that adversaries can embed universal adversarial triggers in webpage HTML to hijack agent behavior that utilizes the accessibility tree to parse HTML, causing unintended or malicious actions. Using the Greedy Coordinate Gradient (GCG) algorithm and a Browser Gym agent powered by Llama-3.1, our system demonstrates high success rates across real websites in both targeted and general attacks, including login credential exfiltration and forced ad clicks. Our empirical results highlight critical security risks and the need for stronger defenses as LLM-driven autonomous web agents become more widely adopted. The system software (https://github.com/sej2020/manipulating-web-agents) is released under the MIT License, with an accompanying publicly available demo website (http://lethaiq.github.io/attack-web-llm-agent).
机构、总结、中文摘要均由AI分析而来，可能存在错误，请以论文正文为准。
