なぜWeb AIエージェントはスタンドアロンLLMよりも脆弱なのか？セキュリティ分析

Why Are Web AI Agents More Vulnerable Than Standalone LLMs? A Security Analysis

February 27, 2025

著者: Jeffrey Yang Fan Chiang, Seungjae Lee, Jia-Bin Huang, Furong Huang, Yizheng Chen

cs.AI

要旨

Web AIエージェントの最近の進展は、複雑なWebナビゲーションタスクに対処する際に顕著な能力を発揮しています。しかし、新たな研究によると、これらのエージェントは、同じ安全性に配慮したモデルを基に構築されているにもかかわらず、スタンドアロンの大規模言語モデル（LLM）と比較して脆弱性が高いことが示されています。この乖離は、Web AIエージェントがスタンドアロンLLMよりも柔軟性が高いことを考えると特に懸念されます。なぜなら、それらはより広範な敵対的なユーザー入力にさらされる可能性があるからです。これらの懸念に対処するための枠組みを構築するため、本研究では、Web AIエージェントの脆弱性が増大する要因を調査します。特に、この差異は、Web AIエージェントとスタンドアロンLLMの間の多面的な違い、および成功率のような単純な評価指標では捉えきれない複雑なシグナル（ニュアンス）に起因しています。これらの課題に取り組むため、我々はコンポーネントレベルの分析と、より細分化された体系的な評価フレームワークを提案します。この詳細な調査を通じて、Web AIエージェントの脆弱性を増幅する3つの重要な要因を特定しました：(1) システムプロンプトへのユーザー目標の埋め込み、(2) 多段階のアクション生成、(3) 観察能力。我々の研究結果は、AIエージェント設計におけるセキュリティと堅牢性の向上が急務であることを強調し、ターゲットを絞った防御戦略に対する実践的な洞察を提供します。

English

Recent advancements in Web AI agents have demonstrated remarkable capabilities in addressing complex web navigation tasks. However, emerging research shows that these agents exhibit greater vulnerability compared to standalone Large Language Models (LLMs), despite both being built upon the same safety-aligned models. This discrepancy is particularly concerning given the greater flexibility of Web AI Agent compared to standalone LLMs, which may expose them to a wider range of adversarial user inputs. To build a scaffold that addresses these concerns, this study investigates the underlying factors that contribute to the increased vulnerability of Web AI agents. Notably, this disparity stems from the multifaceted differences between Web AI agents and standalone LLMs, as well as the complex signals - nuances that simple evaluation metrics, such as success rate, often fail to capture. To tackle these challenges, we propose a component-level analysis and a more granular, systematic evaluation framework. Through this fine-grained investigation, we identify three critical factors that amplify the vulnerability of Web AI agents; (1) embedding user goals into the system prompt, (2) multi-step action generation, and (3) observational capabilities. Our findings highlights the pressing need to enhance security and robustness in AI agent design and provide actionable insights for targeted defense strategies.