StakeBench: Tidak Ada Agen Web Produksi yang Secara Konsisten Memblokir Prompt Injection — Serangan Langsung Berhasil 79%+ di Seluruh GPT-5 dan Gemini dalam 3.168 Simulasi

Peneliti dari Nanyang Technological University, ST Engineering, IBM Research, dan University of Illinois Urbana-Champaign menerbitkan StakeBench (arXiv 2606.13385) pada 12 Juni 2026 — benchmark prompt injection pertama yang berpusat pada stakeholder. Menguji agen NanoBrowser dan BrowserUse dengan GPT-5 dan Gemini 2.5-Flash di seluruh 3.168 simulasi serangan, mereka menemukan tidak ada objektif serangan yang ditahan secara andal. Injeksi langsung berhasil dalam lebih dari 79% konfigurasi; serangan tidak langsung berhasil 41,67–68,16%. Studi ini mendokumentasikan mode kegagalan 'parasitisme diam-diam' di mana agen menyelesaikan tugas pengguna sambil secara bersamaan menjalankan objektif penyerang — tidak terlihat oleh deteksi konvensional.

Instruksi adversarial yang tertanam dalam konten halaman web (ulasan produk, komentar, teks halaman) yang dihadapi agen web AI selama eksekusi tugas. Serangan parasitisme diam-diam sangat berbahaya karena pengguna melihat output yang benar sementara objektif penyerang (misalnya, rekomendasi produk yang bias, pemanenan kredensial) secara bersamaan dicapai.

Semua agen web produksi yang diuji — yang didukung oleh GPT-5 dan Gemini 2.5-Flash menggunakan kerangka kerja NanoBrowser dan BrowserUse. Temuan makalah berlaku secara luas pada setiap agen LLM yang menjelajahi web untuk menyelesaikan tugas atas nama pengguna.

Tidak ada mitigasi lengkap yang ada. Kontrol yang direkomendasikan: terapkan monitoring harm yang menyadari stakeholder yang melacak dampak multi-pihak (bukan hanya kesuksesan tugas); perlakukan prompt injection sebagai distribusi harm yang memerlukan penilaian kontekstual; terapkan monitoring output agen untuk pola perilaku asimetris yang menunjukkan parasitisme diam-diam.