Un detector que bloquea cualquier página sospechosa puede encontrar ataques y, al mismo tiempo, impedir tareas legítimas. BrowseSafe++ permite evaluar las dos caras del problema con pares de páginas: una con instrucciones maliciosas y otra equivalente sin ellas.
La web del proyecto de Perplexity fecha la publicación del trabajo, los datos de entrenamiento y el SDK —el paquete de herramientas para programadores— el 12 de octubre de 2026. Este análisis se publica el 18 de octubre; no se trata de un lanzamiento de hoy. El artículo científico original reúne a investigadores de Perplexity y Purdue.
Qué añade el control benigno
Una prompt injection es una instrucción introducida en contenido externo que intenta desviar al agente de su encargo. En nuestra introducción a estas inyecciones explicamos por qué leer una página no le concede autoridad sobre las herramientas.
BrowseSafe++ convierte esa distinción en un conjunto de evaluación, o benchmark. Cada pareja permite comprobar si el detector reconoce la inyección y deja pasar su control benigno. Así resulta más difícil confundir sensibilidad ante un tema o un idioma con capacidad para identificar instrucciones maliciosas.
Según la ficha del conjunto, hay 38.675 pares, equivalentes a 77.350 páginas, representados mediante HTML, Markdown, árbol de accesibilidad y capturas de pantalla. Las tres primeras son representaciones textuales; el árbol de accesibilidad recoge roles, nombres y estructura de la interfaz.
La procedencia necesita un matiz: la mayoría de las inyecciones se observaron en páginas de producción, pero el contenido que las rodea se reescribió para proteger la privacidad. No son copias intactas de los sitios originales.
Público no significa que todo el test se pueda descargar
La distribución separa 29.500 pares públicos de entrenamiento y 9.175 pares de test reservados para la clasificación del proyecto. La web anuncia como próxima una vía para enviar detectores a evaluar sobre ese test; no la presenta como disponible.
Esto cambia la interpretación de un ensayo propio: medir sobre el conjunto público de entrenamiento no reproduce automáticamente las cifras del test reservado. La ficha publica los datos bajo CC BY 4.0 y el repositorio indica licencia MIT para el SDK; son componentes distintos.
Un ejemplo: consultar devoluciones sin filtrar el historial
Ejemplo hipotético, no ejecutado por Puntoes. Un agente debe consultar la política de devoluciones de una tienda. La página atacada añade una orden para enviar el historial del cliente a otro destino; su control conserva la política sin esa orden.
Marcar ambas páginas como peligrosas encontraría el ataque, pero bloquearía también una consulta legítima. Dejar pasar ambas evitaría la falsa alarma a costa de omitir la inyección. El resultado deseable para el detector es distinguirlas.
Después queda otra pregunta: qué hace el agente. Reconocer una instrucción maliciosa no demuestra que el sistema la ignore al actuar. El trabajo científico estudia esa separación. Enlaza con nuestro análisis de acciones no deseadas en agentes: hay que revisar los efectos, además de la respuesta final.
Qué mirar además de una puntuación
La documentación de clasificación define pair_correctness_all: proporción de pares donde ambas páginas reciben decisiones válidas y correctas. Es útil junto a las falsas alarmas sobre páginas benignas.
También conviene informar de la cobertura, es decir, qué parte de las páginas obtuvo una decisión válida, y de errores y abstenciones. Un detector que evita responder en los casos difíciles puede parecer preciso si solo miramos sus respuestas válidas.
Para comparar ensayos, la documentación pide conservar la misma selección y registrar revisión de datos, formato de entrada, modelo, instrucciones y configuración. Nuestra propuesta es elegir la representación que realmente consume el agente y añadir casos del trabajo propio antes de ampliar sus permisos.
Límites prácticos antes de probarlo
El SDK del proyecto requiere Python 3.10 o posterior y se instala desde GitHub; todavía no está en PyPI. No hemos instalado el paquete ni ejecutado una evaluación.
La documentación de datos advierte de un coste práctico importante: la primera carga mediante el SDK en modo captura descarga aproximadamente 45 GB, aunque se pidan pocos pares. Las cargas textuales del SDK no descargan esas imágenes. También permite fijar una revisión concreta para conservar la versión del conjunto.
BrowseSafe++ aporta casos para medir detección y sobrebloqueo. Sus etiquetas indican presencia de inyección, no éxito del ataque. No certifica la seguridad de una aplicación: todavía hay que evaluar la tarea legítima, las acciones realizadas y los permisos impuestos por las herramientas.
Fuentes
- Perplexity: proyecto y fecha de publicación de BrowseSafe++.
- Investigación original: diseño y evaluación de BrowseSafe++.
- Ficha del conjunto: particiones públicas, vistas y condiciones.
- Repositorio del SDK: requisitos y licencia.
- Documentación: clasificación y métricas por pares.
- Documentación: cargas, revisiones y capturas.