Как защитить ваши данные, когда AI-агент переходит по ссылке

OpenAI рассказала, как ChatGPT и другие агентные сервисы защищают пользовательские данные, когда сами открывают ссылки. Автоматически загружаются только адреса, которые уже были замечены в независимом индексе публичных страниц; остальные считаются непроверенными.

В чём риск

Когда агент открывает страницу, сайту передаётся запрошенный адрес, а сайты обычно записывают такие адреса в логи. Злоумышленник может с помощью prompt injection — скрытых инструкций в веб-контенте — заставить модель запросить URL вида attacker.example/collect?data=..., в который подставлены приватные данные: адрес почты, название документа или другая информация из диалога. Пользователь может ничего не заметить: запрос уходит в фоне, например при загрузке встроенной картинки или предпросмотре ссылки.

Почему не хватает списка доверенных сайтов

Белый список известных сайтов защищает не полностью. Многие легальные ресурсы поддерживают редиректы, и ссылка с доверенного домена может перенаправить на сайт злоумышленника. Слишком строгие правила, кроме того, дают частые предупреждения и ложные тревоги, из-за чего люди привыкают нажимать «продолжить», не читая.

Как работает защита

OpenAI проверяет не репутацию домена, а конкретный адрес. Если URL уже существует в открытом вебе независимо от чьих-либо диалогов, в нём вряд ли есть данные конкретного пользователя. Для проверки используется независимый веб-индекс: краулер собирает публичные адреса, как поисковая система, и не имеет доступа к разговорам, аккаунтам и личным данным.

• Если адрес найден в индексе, агент открывает его автоматически, например статью или публичное изображение.
• Если не найден, ссылка считается непроверенной: агент пробует другой сайт или пользователь видит предупреждение, что ссылка не проверена и может содержать информацию из диалога.

Чего защита не гарантирует

Механизм предотвращает только скрытую утечку данных через сам URL. Он не гарантирует, что содержимое страницы заслуживает доверия, что сайт не попытается обмануть пользователя или что на странице нет вредных инструкций. Поэтому это один из слоёв защиты наряду с мерами против prompt injection на уровне модели, настройками продукта, мониторингом и red-teaming. Исследователей, которые изучают prompt injection и безопасность агентов, OpenAI приглашает к ответственному раскрытию уязвимостей.

Источник: https://openai.com/index/ai-agent-link-safety