重點摘要：Perplexity 於 2026 年 11 月 2 日（美國時間）在官方部落格發表 BrowseSafe++，這是專門測試「瀏覽器 AI 代理」能否識破網頁中藏著的提示注入（prompt injection）的開放基準，同時推出兩個 0.8B 參數的小型偵測模型 BrowseSafe-Guard。相關論文早在 10 月 12 日就以預印本形式上架 arXiv。Perplexity 自己公布的結果顯示，小模型偵測準確度勝過受測的前沿大模型；但論文也指出，只要攻擊者根據代理的反應反覆改寫注入內容，攻擊成功率最高可從個位數拉高到約 95%。以下數字除特別註明外，皆為 Perplexity 研究團隊自行測得、尚無第三方複測。
新聞摘要
- 發布者：Perplexity Secure Intelligence Institute，論文作者來自 Perplexity，並與美國普渡大學、羅格斯大學研究人員合作。
- 時間：arXiv 論文 v1 為 2026/10/12；官方部落格正式介紹為 2026/11/2。
- 內容：基準資料集（38,675 組網頁配對）、Python SDK、公開排行榜，以及偵測模型 BrowseSafe-Guard。
- 授權：SDK 以 MIT 授權放在 GitHub；29,500 組訓練資料放在 Hugging Face（需申請存取、CC BY 4.0）；9,175 組測試資料的答案不公開，由排行榜評分。
- 台灣與香港媒體截至發稿前尚未見到相關報導，本文細節以 Perplexity 官方資料與論文為主，並以第三方整理網站 theinjection.dev 核對數字。
BrowseSafe++ 是什麼？怎麼測提示注入
瀏覽器 AI 代理（例如 Perplexity 自家 Comet 瀏覽器內建的助理）會替使用者讀網頁、點按鈕、填表單。攻擊者只要在網頁、留言或文件裡藏一段「給 AI 看的指令」，代理就可能被帶去回答錯誤內容，甚至做出使用者沒要求的動作，這就是「間接提示注入」。
Perplexity 在 2025 年 12 月推出第一代 BrowseSafe，當時用的是人工合成的攻擊。官方表示，過去一年攻擊變得更像正常內容，不再出現「忽略先前指令」這類明顯字眼，而是假裝成網站官方公告或使用者偏好設定。BrowseSafe++ 因此改以真實世界蒐集到的注入為主：
- 真實攻擊：2025/9/1 至 2026/9/21 共 386 天，從實際部署的偵測器與規則比對中取得約 115 萬個候選頁面，篩選後有 32,187 組配對使用真實注入，另 6,488 組沿用第一代 BrowseSafe 的攻擊，總計 38,675 組（77,350 頁）。
- 配對設計：每組都有「被注入的頁面」和「完全相同、只少了注入的乾淨頁面」，用來同時檢驗有沒有抓到攻擊、會不會誤判正常頁面。注入原文保留，周圍內容則改寫以保護隱私。
- 四種視角：每頁都提供 HTML、Markdown、無障礙樹（accessibility tree）和整頁截圖，對應代理實際「看網頁」的不同方式。
- 涵蓋範圍：12 類網站（新聞、部落格、論壇、共享文件到結帳頁）、24 種攻擊類型、18 種藏匿位置、6 種攻擊目標，橫跨 80 種語言；約 24.4% 的配對中，注入語言和頁面語言完全不同。
- 適應性攻擊：另有 BrowseSafe-Adapt 工具，會依代理的反應反覆改寫注入，模擬真正會「試錯」的攻擊者。
主要結果（Perplexity 自行公布）
- 小模型勝過大模型：BrowseSafe-Guard 以 Qwen3.5-0.8B 微調，文字偵測器在 HTML 視角的 F1 為 98.29，Markdown 與無障礙樹為 92.98–93.26，誤判率 1.35%–7.40%；截圖偵測器 F1 為 93.32、誤判率 6.08%。
- 前沿模型誤判偏高：研究共測 16 個模型。表現最好的 GPT-6 Astra F1 約 91.3–91.6，但會把 13.8%–15.1% 的正常頁面誤判為攻擊；GPT-5.5 在 HTML 上 F1 為 89.32、誤判率約 21%。
- 「看得出來」不等於「不會照做」：論文指出，模型在執行任務時跟著注入走的案例中，有 74.15% 在另一次單純偵測測試裡其實有被同一模型標為攻擊。
- 改寫攻擊後成功率大增：針對 7 個代理（Claude Sonnet 5、Claude Haiku 4.5、GPT-5.5、Gemini 3.1 Pro、Gemini 3.5 Flash-Lite、DeepSeek V3.1、Kimi K2），每個任務最多嘗試 64 次。原始注入成功率只有 0.49%–4.00%，改寫後升到 30.66%（Sonnet 5）到 95.41%（Kimi K2）。
- 偵測器能拖慢、擋不住：論文附錄顯示，替 Gemini 3.5 Flash-Lite 加上 BrowseSafe-Guard 後，64 次嘗試的攻擊成功率從 93.55% 降到 84.18%，有幫助但仍偏高（此項僅見於論文，未核實）。
Perplexity 也在 GitHub 上提醒：這是研究用工具，不是 Perplexity 產品，基準分數「不等於安全保證」；資料集裡是真實攻擊，不要拿給有工具、帳密或連著真實帳號的代理開啟。官方說明也承認英文頁面占大多數（約 3 萬組），許多語言樣本很少。
為什麼對 AI 瀏覽器代理很重要
AI 瀏覽器代理用的是使用者已登入的身分，一旦被網頁裡的指令帶走，傳統的同源政策等防護未必擋得住。2025 年 8 月，Brave 就示範過在 Reddit 留言藏指令，讓 Comet 在使用者按下「總結此頁」後讀取 Gmail 裡的一次性密碼並貼出去；iThome 當時也有報導。同年 10 月 LayerX 揭露「CometJacking」，只要點一個特製網址，就可能讓 Comet 把郵件、行事曆資料編碼後送到攻擊者伺服器。另外，資安公司 Lasso 曾宣稱用編碼等手法繞過第一代 BrowseSafe，成功率約 36%（未核實）。
BrowseSafe++ 的結果把重點說得很清楚：用固定的攻擊樣本測試會嚴重低估風險，偵測器只是其中一層，真正的防線還是權限控管和關鍵動作的人工確認。
建議做法
企業／IT 管理者
- 盤點公司內是否有人使用 Comet、ChatGPT Atlas 等 AI 瀏覽器或瀏覽器代理外掛，訂出可用範圍。
- 代理不要使用具管理權限或連著公司信箱、雲端硬碟、金流系統的帳號；採最小權限並與一般瀏覽分開。
- 寄信、付款、改設定、下載檔案等會改變狀態的動作，一律要求人工最後確認。
- 自建代理時，把所有網頁內容視為不可信輸入，偵測器放在讀取網頁之前，並同時檢查多種視角（HTML、Markdown、截圖）。
- 評估偵測方案時，要求供應商提供適應性攻擊（反覆改寫）的測試結果，不要只看單次固定樣本的分數；也要看誤判率。
- BrowseSafe++ 資料含真實惡意注入，只能在隔離、無憑證的測試環境使用。
一般用戶
- 不要讓 AI 代理在已登入網銀、主要信箱的瀏覽器裡處理來路不明的網頁或留言。
- 代理要求下單、寄信、填驗證碼或一次性密碼時，先停下來自己確認。
- 別點不明來源、要你「用 AI 開啟」的連結。
- 看到 AI 摘要出現奇怪的「官方通知」、要你登入或改設定，先到官方網站自己查證。
- AI 瀏覽器保持更新，並關閉用不到的連結服務（信箱、行事曆等）。
資料來源
- Perplexity 官方部落格：BrowseSafe++: Building stronger defenses against real-world prompt injection（2026/11/2）
- arXiv 論文：BrowseSafe++: Benchmarking Prompt Injection Detection Across Web Contexts, Languages, and Browser Views（v1 2026/10/12）
- BrowseSafe++ 專案網站（About）
- GitHub：perplexityai/browsesafe-plus-plus
- Hugging Face 資料集：perplexity-ai/browsesafe-plus-plus
- theinjection.dev：BrowseSafe++: a small detector beats frontier models, adaptive attacks win
- Perplexity 官方部落格：第一代 BrowseSafe（2025/12）
- iThome：Brave示警Perplexity Comet瀏覽器AI助理可被隱藏指令操控（2025/8/25）
- Brave：Agentic Browser Security: Indirect Prompt Injection in Perplexity Comet
- The Hacker News：CometJacking: One Click Can Turn Perplexity’s Comet AI Browser Into a Data Thief
- BleepingComputer：CometJacking attack tricks Comet browser into stealing emails
- Lasso Security：Red Teaming BrowseSafe
發表留言