知识卡片：AdvSim2Real：在 Web 世界模型中训练 Web 代理抵御自适应提示注入

一句话结论

AdvSim2Real 通过在冻结的 Web 世界模型中协同演化任务课程、注入攻击者和 Web 代理，使 4B 代理在任务完成能力与对抗自适应提示注入方面同时提升；在 150 个 Web 任务上，面对未见过的前沿模型攻击者，其完成率相对基础代理提高 33.6%。

事件概述或研究问题

Web 代理通过阅读并操作第三方撰写的页面来完成用户请求，因此页面中植入的指令可能把代理引导偏离用户目标。代理又不能简单忽略页面，因为页面同时包含任务所需的值和控件。现有防御通常在训练前固定的注入样本上微调代理，而会适应已训练模型的自适应攻击者可绕过这类防御。另一类对抗训练允许攻击者适应，但任务固定，任务一旦被代理解决就不再提供教学信号。本条研究问题是：如何在模拟 Web 环境中训练代理，使其既能提升任务能力，又能对抗会随模型变化而适应的提示注入。

方法/产品要点

• AdvSim2Real 在 frozen web world model 内共同演化三部分：task curriculum、injection adversary、agent。
• 任务课程被奖励给代理约一半时间能解决的任务，即保持约 50% 成功率的难度区间。
• 攻击者只在造成 success flip 时获得奖励：注入把原本判定为成功的任务变成失败。
• 训练在模拟器中进行，目标是同时提升代理能力与鲁棒性。
• 待核实：世界模型的具体结构、注入生成方式、优化算法、训练成本、4B 代理的具体模型身份。

主要结果或产业意义

• 摘要称，在模拟器中训练使 4B 代理在有攻击和无攻击时完成率都上升。
• 该代理面对训练中未见过的 frontier-model adversary 仍能保持表现。
• 其能力增益迁移到真实浏览器。
• 在 150 个 Web 任务上，面对该未见攻击者，AdvSim2Real 相对基础代理将完成率提高 33.6%。
• 产业意义：材料显示，在模拟器中利用动态对抗课程训练较小 Web 代理，可能同时改善能力与安全性，并可能向真实浏览器迁移。具体产品可用性、安全保证和部署条件待核实。

为什么重要

Web 代理必须依赖第三方页面内容，这使提示注入成为其执行用户任务时的核心安全风险。固定注入防御和固定任务的对抗训练都可能失效：前者被自适应攻击绕过，后者在任务被解决后不再提供学习信号。AdvSim2Real 的增量在于把任务难度、攻击者适应和代理训练放进同一个世界模型中共同演化，并用 success flip 定义攻击者目标。

与既有卡片的关系：已有卡片中包括临床世界模型等世界模型应用；本条同属世界模型/代理训练话题，但聚焦 Web 代理对抗自适应提示注入，并非对既有卡片同一事实的重复或更新。

局限与不确定性

• 本条仅依据 arXiv 摘要与元数据，全文方法细节、实验设置和附录未核实。
• 33.6% 是相对基础代理的提升；绝对完成率、置信区间和统计显著性待核实。
• frontier-model adversary 的具体身份、攻击类型、评测基准、150 个 Web 任务的构成待核实。
• 摘要称能力增益迁移到真实浏览器；真实浏览器中的攻击鲁棒性是否同样迁移，待核实。
• 是否与其他防御或对抗训练方法比较、是否开源、作者机构等信息待核实。
• 模拟 Web 世界与真实 Web 的分布差异、长期自适应攻击风险、训练成本与可复现性待核实。

可用于图书/PPT/简报的角度

• 第三方内容即攻击面：Web 代理不能简单忽略页面，因为任务需要页面中的值和控制。
• 自适应对抗训练：攻击者随模型演化，可避免固定注入防御快速失效。
• 课程学习信号：把约 50% 成功率的任务作为可学习难度区间。
• 成功翻转作为攻击者奖励：只有注入改变判定结果时才奖励攻击者。
• Sim-to-real：在模拟器中训练，观察能力增益是否迁移到真实浏览器。
• 小模型安全与能力共同提升的可能性。
• 世界模型作为安全训练场：可与临床世界模型等其他世界模型应用形成对照。

原始材料

• 英文标题：AdvSim2Real : Training Web Agents Against Adaptive Prompt Injection in a Web World Model
• 英文关键词（据摘要/标题提取，非官方列表）：web agents; prompt injection; adaptive prompt injection; adaptive adversary; adversarial training; web world model; task curriculum; success flip; sim-to-real
• 作者：Sarim Hashmi, Mukul Ranjan, Kshitij Mishra, Mikhail Kuznetsov, Praneeth Vepakomma, Nils Lukas
• arXiv ID：2610.08773v1
• Published：2026-10-06T17:56:43Z
• Updated：2026-10-06T17:56:43Z
• Primary category：cs.CL
• Categories：cs.CL, cs.AI, cs.LG
• Abstract URL：https://arxiv.org/abs/2610.08773v1
• PDF URL：https://arxiv.org/pdf/2610.08773v1