BrowseSafe++とは？Perplexityが公開したプロンプトインジェクション対策を読む

何が公開されたか

Perplexity公式ブログ（2026年11月2日付、BibTeXの項目は2026年10月28日）によれば、BrowseSafe++は、ブラウザ型のエージェント向けの公開ベンチマークと、軽量な検出器2つです。対象は間接プロンプトインジェクションで、ウェブページ内の悪意のある文章が、エージェントを利用者の作業から逸らそうとする攻撃を指します。

ベンチマークの中身

• 攻撃を含むページと含まないページの組が合計3万8,675組。
• そのうち3万2,187組は、2025年9月から2026年9月にPerplexityのCometブラウザの検出器が見つけた注入から作られ、残る6,488組は先行するBrowseSafeのベンチマークから。
• 各ページは、HTML、Markdown、アクセシビリティツリー、スクリーンショットの4つの形式で用意されている。
• 約24.4%の組では、注入がページの他の部分と違う言語で書かれている。
• 2万3,000件を超える注入は、フォーラムの投稿や共有文書など、誰でも書き込める内容を通して届いた。

検出器（BrowseSafe-Guard）の成績

F1は、見逃しと誤検出のバランスを表す指標です。上の数字はすべてPerplexityが公開データで測ったものとして報告されています。

「検出」と「防げる」は別

公式ブログが最も強調しているのは、この点だと読めます。検出は耐性を保証しません。試験したどのモデルも、自分で注入と検出したページの一部で、結局その注入に従いました。割合は1.64%から24.73%までと幅があります。

攻撃側が失敗のたびに文面を直す想定の試験「BrowseSafe-Adapt」では、Guardがページを選別した場合でも、Gemini 3.5 Flash-Liteのエージェントに対する攻撃の成功率は、64回の試行で93.6%から84.2%に下がっただけです。公式は「万能の検出器はない」と書き、検出器は重ねた防御の一部でなければならない、と述べています。

公式が勧める構成

エージェントが自分で攻撃に耐えることに頼らず、エージェントが動く前に、ページを個別の検出器で選別する形を勧めています。コスト面でも、大きなモデルに見張らせるより小さな専用の検出器が安い、というのが公式の説明です。

入手と使い方の条件

• SDK：GitHubの perplexityai/browsesafe-plus-plus
• データセット：Hugging Face。ゲート付きで、アクセス申請とログインが必要
• 論文：arXiv 2610.17457
• 公開リーダーボード：テストの正解ラベルは非公開。作成から60日以上たったアカウントは、UTCの週に1回、採点つきの提出ができる
• テスト用ページは評価専用で、学習への利用や再配布はできない

用語のおさらい

• プロンプトインジェクション：AIへの指示の文章に、別の命令を紛れ込ませて動きを変えさせる攻撃。
• 間接：利用者が書いた指示ではなく、AIが読むウェブページや文書の側に命令が仕込まれている型。人が見ない白文字や小さな文字に隠れることもあります。
• F1：見逃しの少なさと誤警告の少なさを合わせた指標。100%に近いほど良いが、1つの数字で安全が決まるわけではありません。
• ベンチマーク：同じ問題で複数の方法を比べるための共通の試験。

AIブラウザを使う読者のために

この発表は開発者向けですが、利用者にも関係があります。ウェブページの文章は、人間だけでなくエージェントにも読まれます。エージェントに任せたブラウザ操作では、次の点を意識すると被害を小さくできます（ちんあなご編集部の考えで、公式の推奨ではありません）。

• ログイン済みの重要なサービス（銀行、業務メールなど）を開いたまま、知らないサイトの調べものをエージェントに任せない。
• 送信、購入、削除のような取り消しにくい操作は、実行前に自分で確認する。
• エージェントが急に調べものと関係のない操作を始めたら、止める。

出典の確かめ方そのものは出典確認のページで扱っています。

この面で確かめていないこと

• 論文（arXiv）の本文と数字の突き合わせ
• 第三者による再現
• Cometブラウザの利用者の画面で何が変わるか（ブログに記載なし）
• ブログの日付が2026年11月2日と2026年10月28日で分かれている理由