StakeBench: Tidak Ada Agen Web Produksi yang Secara Konsisten Memblokir Prompt Injection — Serangan Langsung Berhasil 79%+ di GPT-5 dan Gemini dalam 3.168 Simulasi

Peneliti dari Nanyang Technological University, ST Engineering, IBM Research, dan University of Illinois Urbana-Champaign mempublikasikan StakeBench (arXiv 2606.13385) pada 12 Juni 2026 — benchmark prompt injection pertama yang berpusat pada pemangku kepentingan. Menguji agen NanoBrowser dan BrowserUse dengan GPT-5 dan Gemini 2.5-Flash di 3.168 simulasi serangan, mereka menemukan nol tujuan serangan yang ditahan secara andal. Injeksi langsung berhasil dalam lebih dari 79% konfigurasi; serangan tidak langsung berhasil 41,67–68,16%. Studi mendokumentasikan mode kegagalan 'parasitisme tersembunyi' di mana agen menyelesaikan tugas pengguna sambil secara bersamaan menjalankan tujuan penyerang — tidak terlihat oleh deteksi konvensional.

Instruksi yang bersifat adversarial yang tertanam dalam konten halaman web (ulasan produk, komentar, teks halaman) yang dihadapi oleh agen web AI selama eksekusi tugas. Serangan parasitisme tersembunyi sangat berbahaya karena pengguna melihat output yang benar sementara tujuan penyerang (misalnya, rekomendasi produk yang bias, pemanenan kredensial) secara bersamaan tercapai.

Semua agen web produksi yang diuji — yang didukung oleh GPT-5 dan Gemini 2.5-Flash menggunakan kerangka kerja NanoBrowser dan BrowserUse. Temuan makalah berlaku secara luas untuk agen LLM apa pun yang menjelajahi web untuk menyelesaikan tugas atas nama pengguna.

Tidak ada mitigasi lengkap. Kontrol yang direkomendasikan: implementasikan pemantauan kerugian yang menyadari pemangku kepentingan yang melacak dampak multi-pihak (bukan hanya kesuksesan tugas); perlakukan prompt injection sebagai distribusi kerugian yang memerlukan penilaian kontekstual; terapkan pemantauan output agen untuk pola perilaku asimetris yang menunjukkan parasitisme tersembunyi.