原文標題：BrowseSafe++: Building stronger defenses against real-world prompt injection

Perplexity 在 11 月 2 日介紹 BrowseSafe++，針對瀏覽器 AI 代理在讀取外部網頁時可能受到的間接提示注入攻擊，發布研究基準、偵測工具與測試框架。目標是讓研究團隊能在更接近真實網站的資料中評估攻擊與防護，而非只靠少量人工構造指令。

官方指出，團隊從瀏覽器代理所接觸的網頁中整理出 32,187 組攻擊與乾淨頁面配對，再合併既有基準的 6,488 組，總計 38,675 組。每組資料包含有注入內容的網頁與對應清理版本，可用於比較防護模型如何辨識異常指令。

研究另提供 BrowseSafe-Adapt 測試方式：當攻擊第一次失敗時，攻擊模型可依回饋修改注入的文字與位置，再次測試目標代理。官方報告顯示，面對多輪自適應攻擊，部分模型被誘使執行攻擊者目標的比率會明顯高於單次固定測試，顯示評估方法需要納入攻擊者反覆調整的情境。

Perplexity 也公布 BrowseSafe-Guard 等輕量化偵測器及評估流程，並提醒防禦工具並非萬能。實際部署仍需配合網頁內容信任邊界、工具權限、敏感資料隔離及行動審批，不能把偵測器準確率直接等同企業整體防護能力。

發生了什麼事

Perplexity於11 月 2 日宣布上述事項，涉及的產品或服務規格、功能與適用情境以官方原文為準。

為什麼重要

此研究明確指出外部文件和網頁內容並非可信指令來源，對會使用工具、操作網頁的代理系統特別重要。

影響哪些人

AI 代理產品開發者、紅隊及企業資安人員可利用基準測試安全設計；所有測試應限定在受控或已授權環境。

已確認與未確認

已確認資料集組成與研究方向；攻擊成功率依測試模型及情境不同，不能據此推論所有商用代理都有相同風險比例。