Web-based IDPI 真實網頁案例：網頁如何把指令送進 agent

在可控制的工具派送位置，取呼叫者、工作負載、工具登錄資料與另行核准任務權限的交集，並檢查具簽章的權限範圍、期限與不可被並行呼叫繞過的動作次數上限；須包含 G002 的可信登錄資料與外部稽核驗證。不可信內容只能縮小權限，不能新增工具。這能拒絕範圍外的呼叫，但不會自動阻止既有允許工具遭到濫用，或任務範圍內的惡意回答。其他執行路徑也須實測涵蓋；列出此技術不代表代管平台已落實。

Unit 42 的樣本裡，有人把指令藏在 URL fragment、付款連結，或模型輸出後可能被點開的連結裡。agent 要點開、預覽或把資料送到某個網址前，系統應先把網址解析成標準格式，確認目的地在允許清單內。

網頁文字真正變危險，是它被組進推論請求的那一刻。系統應該驗證最後送進模型的提示詞內容，並把擷取來的網頁內容標成不可信資料。從網頁抓來的內容只能當資料；如果裡面出現「請忽略前面規則」這類像指令的文字，系統要把它擋下來。頁面如果試圖改寫開發者指令或角色優先順序，也應該預設拒絕。

已公開的限量 HTML 處理流程會移除可執行／內嵌元素與標記，附上閘道指定的來源資訊，再放進不可信資料通道。它不計算 CSS 可見性、不執行 OCR，也不是通用 SVG 清理器；隱藏或畫面外的自然語言指令仍可能留在擷取文字中。來源標記不代表模型一定會忽略指令，仍需獨立的輸入放行、工具與目的地控制落實邊界。

在營運者可控制的入口，依 G001 使用鎖定版本、經校準的次要分類器，檢查 agent 實際讀入的網頁擷取文字中的任務轉向、權限宣稱或提權意圖，並產生與確切內容綁定的發現。G001 不會解析 DOM、執行 OCR、比對網頁呈現結果，或解碼文中列出的所有隱藏手法。目前無法初始化的 G002 範例，也不能算作可用的通用解碼器。分類結果提供證據，是否拒絕輸入由獨立放行政策決定；看似合理或被隱藏的指令仍可能漏判。放行前須另行驗證完整分類結果與必要類別的涵蓋範圍。目前 G001 範例會把空結果、缺少必要類別或NaN 分數回報為 PASS／NO_FINDING；整合端必須把這些情況視為錯誤並拒絕放行。這是額外需要實作的檢查，不是已公開範例原本就具備的行為。

高影響案例通常不是模型多說了一句話，而是資料或動作流到不該去的地方，例如付款網址、外部網頁目的地、後端資料庫，或會洩漏提示詞的輸出。凡是從網頁內容算出來、抽出來或組出來的值，都要保留「來自不可信網頁」這個來源標記。除非政策明確允許，這些高機敏資料不應該被送到對外 HTTP、付款流程、資料庫寫入，或任何可能把內容揭露出去的輸出位置。 這需要可控的執行環境，為每個衍生值維持可驗證的來源及內容綁定，涵蓋所有出口；標記不明時須拒絕。只在入口加標籤，無法追蹤模型任意改寫。本機程序、瀏覽器請求及允許的目的地須另行驗證涵蓋範圍，不能假定原版 SaaS 已落實。

只有獨立部署、沒有高權限的 Q 解析器能讀原始網頁；中介驗證程序以可信來源、模型與結構綁定，把特定任務需要的受限欄位交給 P 規劃器。已公開的價格觀測範例，用於其他任務時須另行實作與驗證。符合型別的文字仍可能含有惡意指令或錯誤事實。必須實測程序、憑證與網路隔離、拒絕繞過中介程序，並獨立授權每個最終動作；代管平台需要供應商支援。

像是未授權交易、刪除資料、發出阻斷服務命令，或讓惡意廣告通過審核，這些結果最後都會在 agent 準備執行動作時露出來。工具使用監控應該在執行前比對原始使用者意圖、網頁信任等級、工具風險類別，以及最近是否出現提示詞注入訊號。

顯示、寫入紀錄或交給工具前，掃描確切輸出欄位中已設定並驗證的格式，以及租戶專用文字或模式。已公開的一般格式範例涵蓋卡號、美國社會安全號碼與 AWS 存取金鑰識別碼；任意系統提示詞需要另行設定組織規則或偵測器。編碼、改寫或新型秘密仍可能漏判。這項技術只產生發現；實際保留、遮蔽或拒絕輸出，由另一個出口關卡負責，且須涵蓋連結與工具請求。