Prismata: Confining cross-site prompt injection in web agents

Prismata 研究 Web agents 在访问多个站点、读取页面内容并调用工具时遭遇的跨站 prompt injection，贡献点是把不同来源的信息和指令放进受约束的执行边界中。论文的具体事实是攻击面发生在“网页内容进入 agent 上下文后影响后续站点或工具动作”的链路上，因此防护目标从单次输入过滤扩展到跨来源信息流控制。它值得读的地方在于把 Web security 的 origin/confine 思路迁移到 LLM agent，而不是把问题简化成提示词安全。