Külön jóváhagyáshoz kötné az MI-ügynökök vásárlásait a W3C stratégiai csoportja

Az MI-ügynökök már nemcsak információt keresnek: a felhasználó megbízásából weboldalakat kezelnek, személyes adatokhoz férhetnek hozzá, és oldalakon át továbbíthatnak információkat. Közben olyan tartalmakat is feldolgoznak, amelyekben nem bízhatnak meg.

Ezt használhatja ki a prompt injection: egy oldal, dokumentum vagy eszközválasz szövegébe rejtett utasítás nem kívánt műveletre veheti rá az ügynököt. Ehhez nem feltétlenül szükséges futtatható támadókód.

A vitaanyag példájában egy nyilvános honlap arra utasítja a belső dokumentumokhoz is hozzáférő segédet, hogy bizalmas tartalmat küldjön külső szolgáltatásnak. A siker a kapott jogosultságoktól és az idegen tartalom kezelésétől függ. A stratégiai csoport ezért először a működési felépítést és a bizalmi határokat tisztázná.

A javaslat szerint a komoly következményekkel járó lépések előtt a rendszernek engedélyt kellene kérnie. Repülőjegynél a megerősítésnek egyértelművé kellene tennie, pontosan melyik foglalást hagyja jóvá az ember.

Fizetésekhez költési korlátokat, visszavonható felhatalmazást, világos bizonylatokat és követhető reklamációs utat is szorgalmaznak. Fontos lenne az elvégzett műveletek áttekinthetősége, lehetőség szerint visszafordíthatósága, valamint az eljáró ügynök szabad megválasztása.

A dokumentum ugyanakkor figyelmeztet: a túl sok visszakérdezés megszokássá teheti az ellenőrzés nélküli jóváhagyást. A tervezett munkacsoport ezért az engedélykérés és az embernek történő átadás mintáival is foglalkozna.

Külön vizsgálnák, hogyan bizonyíthatja egy ügynök a ráruházott jogokat anélkül, hogy maga birtokolná a hozzáférési adatokat. Az azonosítással és hitelesítéssel foglalkozó W3C-csoportok feladata lenne megállapítani, elegendők-e ehhez a meglévő adatmodellek.

A biztonsági vizsgálatok a hamis eszközökre és a saját műveleteiket jóváhagyó rendszerekre is kiterjednének. Eltérő kockázatokat kellene kezelni a böngésző MI-funkcióját használó fejlesztésnél és a felhasználó jogaival böngésző ügynöknél.

Az ügynökök HTML-elemekből és akadálymentességi információkból is értelmezik a kezelőfelületeket. A stratégiai csoport mégis ellenzi, hogy az ARIA akadálymentességi jelöléseit az emberek rovására hozzájuk igazítsák.

Kifejezetten útmutatást javasolnak az aria-label mezőbe tett ügynökutasítások és az ezen keresztüli manipuláció ellen. Egy gomb hozzáférhető felirata továbbra is annak funkcióját közvetítse. Az automatikus alternatív szövegek pedig ne helyettesítsék teljesen a szerző leírását és szándékát. Ütköző igényeknél az emberi szükségletek élveznének elsőbbséget.

A vizsgálat a honlapok, munkamenetek és az ügynök saját memóriája közötti adatmozgásra is kiterjedne. A hibakeresést segítő utasítás- és eszközhívás-naplók bizalmas információkat tartalmazhatnak, ezért hozzáférésüket is tisztáznák.

A felvetések között memória nélküli inkognitómód is szerepel. Ez szabványosítási munkajavaslat, nem bejelentett böngészőfunkció: a helyi előzmények mellőzése mellett egy kísérő ügynök még tartósan megőrizheti a tartalmakat.