Quan una pàgina web intenta donar ordres al teu agent d’IA

Un agent rep l’encàrrec de comparar proveïdors i visita una web. La pàgina conté informació útil, però també un text que intenta canviar-li la feina. El risc no és que la pàgina tingui una opinió: és que el sistema tracti aquell contingut extern com una ordre amb autoritat.

Això és una forma d’injecció indirecta de prompts. OWASP la diferencia de les instruccions introduïdes directament per qui utilitza el sistema: aquí el missatge arriba a través d’un document, una web o una altra font que l’agent consulta. [OWASP]

Llegir una instrucció no és rebre autorització

Per entendre el límit, proposem un exemple senzill. Un assistent que resumeix una factura ha de poder llegir-hi una adreça de cobrament. Això no significa que la factura pugui autoritzar una transferència. El document aporta dades a la tasca; l’autorització ha de venir del procés i de la persona corresponent.

Aquest exemple és conceptual, no un incident que hàgim observat. Serveix per separar dues preguntes: què diu el material i què té permís per fer el sistema. Si totes dues respostes provenen del mateix text extern, la frontera queda mal definida.

La defensa no depèn només del model

Anthropic va explicar el novembre de 2025 millores de resistència per a agents de navegador, però també va advertir que la injecció de prompts continuava sent un problema obert. El resultat d’una prova del fabricant no equival a immunitat en tots els entorns. [Anthropic]

OWASP planteja defenses com restringir privilegis, separar contingut extern i requerir control humà en operacions sensibles. No presenta una única mesura com una solució completa. La qüestió pràctica és reduir el que pot passar si el model interpreta malament un contingut. [OWASP]

En una revisió de disseny, preguntaríem si l’agent que compara preus necessita també enviar correus o modificar dades de clients. Si no ho necessita, aquella capacitat no aporta res a la feina concreta. Separar operacions facilita entendre l’abast d’un error i decidir on revisar el resultat.

Què convé observar en una prova

Un exercici útil seria comprovar que el sistema continua respectant l’encàrrec original quan els documents inclouen instruccions alienes a la tasca. La prova s’hauria de fer amb dades fictícies i eines sense efectes reals. L’objectiu seria observar les fronteres del sistema, no exposar informació de clients.

També caldria registrar quina informació ha motivat una acció i qui l’ha autoritzada. Si una proposta d’enviament apareix sense que l’usuari l’hagi demanat, el procés hauria de permetre detectar aquesta desviació abans de convertir-la en una comunicació real.

La nostra lectura és que un agent útil necessita accés, però aquest accés ha de correspondre a una feina definida. La pregunta decisiva no és només si sap navegar. És si pot llegir un entorn que no controla sense deixar que aquell entorn decideixi, per ell, què està autoritzat a fer.