Guillem Alsina Gonzàlez
Con los riesgos que pueden suponer los agentes de IA integrados en el navegador web (recordemos que un agente de IA no solamente crea contenidos; a diferencia de la IA Generativa, puede llevar a cabo acciones de forma autónoma) por tretas como la inyección de prompts, Google ha querido dotar a su navegador web Chrome de una capa de seguridad adicional, ahora que este browser también se ha abierto a la IA de Gemini.
Y es que el asunto no es para menos, puesto que entre los posibles impactos de la inyección de prompts en agentes de IA, Google cita la iniciación de transacciones financieras no autorizadas, o la extracción de datos sensibles durante la navegación.
Para contrarrestar este tipo de amenazas, lo que hace Google es incorporar en Chrome un enfoque de defensa por capas que combina mecanismos deterministas con controles basados en modelos de IA, con la intención de aumentar el coste y la dificultad de los ataques contra los agentes integrados en el navegador. Este diseño se apoya en protecciones existentes de Gemini y en principios previos de seguridad para agentes, y ha sido desarrollado de manera coordinada por especialistas de seguridad de distintas áreas de Google.
El equipo de Chrome explica que el planificador principal de Gemini utiliza el contenido de las páginas que el usuario comparte con el navegador para decidir qué acción ejecutar a continuación. Dado que esa información procede de la web, el sistema es intrínsecamente vulnerable a la inyección indirecta de instrucciones. Para mitigar este riesgo, se recurre a técnicas como el denominado “spotlighting”, que orienta al modelo a priorizar las instrucciones del usuario y del sistema frente a lo que aparece en la página, además de haber incorporado ataques conocidos en el entrenamiento del modelo para reducir su probabilidad de éxito.
Como refuerzo adicional, Chrome también introduce un componente específico denominado User Alignment Criti, consistente en un segundo modelo, también basado en Gemini, que actúa como elemento de alta confianza y cuya función es revisar las acciones propuestas por el planificador antes de que se materialicen en el navegador. Este se ejecuta una vez completado el plan y se centra en verificar si cada acción propuesta está alineada con el objetivo declarado por el usuario, pudiendo vetar aquellas que considere desviadas de la tarea.
Este componente se ha diseñado para que solo reciba metadatos sobre la acción propuesta, sin acceso directo a contenido web no fiable, con el fin de reducir la superficie de ataque y evitar que pueda ser manipulado desde la propia página. Su misión es más acotada que la del planificador (aprobar o rechazar acciones), y cuando rechaza una propuesta, devuelve información al modelo de planificación para que reformule el plan. En caso de errores repetidos, el planificador puede devolver el control al usuario.
La necesidad de que un agente pueda operar en varios sitios (por ejemplo, leyendo información en una página y añadiendo artículos a un carrito de compra en otra) abre la posibilidad de que, si es comprometido y tiene acceso sin restricciones, acabe funcionando en la práctica como un bypass de las barreras de aislamiento entre sitios. Por ello, el equipo de Chrome ha extendido los principios clásicos de seguridad del navegador, como el aislamiento entre páginas cargadas, al nuevo contexto de agentes.
Otro pilar del diseño se centra en la transparencia y el control del usuario sobre las acciones del agente. Mientras el agente trabaja en una pestaña, Chrome muestra un registro de actividad que detalla cada paso, de modo que el usuario puede observar el comportamiento del sistema en tiempo real y, si lo considera necesario, pausar la ejecución, tomar el control o detener la tarea. Este nivel de visibilidad se combina con varias capas de comprobaciones, basadas tanto en reglas como en modelos, para exigir confirmaciones explícitas antes de que el agente lleve a cabo acciones consideradas de impacto.
En paralelo a estos elementos estructurales, Chrome incorpora procesos para detectar y responder a amenazas durante la ejecución del agente. Mientras este se encuentra activo, se analiza cada página que procesa en busca de intentos de inyección indirecta de prompts mediante un clasificador específico, que opera además de los mecanismos de protección ya presentes en el navegador, como el escaneo en tiempo real de Safe Browsing y el uso de IA en el dispositivo para detectar estafas tradicionales.
Este clasificador de inyección de prompts se ejecuta en paralelo a la inferencia del modelo de planificación y puede impedir que se ejecuten acciones basadas en contenido que considere diseñado para desviar al agente del objetivo del usuario. Aunque no puede identificar todos los posibles intentos de influencia maliciosa, se presenta como una capa adicional dentro de la estrategia de defensa en profundidad.
