该论文关注 LLM 驱动的 Web 智能体（Web Agent）在真实网页环境中执行用户任务时的安全性问题。作者指出，现有的防御手段主要集中在「行为层」——即对智能体即将执行的动作进行拦截、引导或重新规划，但这类方法忽略了一种独立的失效模式：某个动作在任务语义上完全合法（task-valid），却可能因为当前网页所处的状态而触发用户未授权的后果。例如点击一个看似常规的按钮，在特定页面状态下会导致下单、授权或数据外泄等不可逆结果。因此论文提出把「与任务相关的网页状态」本身当作运行时控制目标，而非只控制动作序列。 为此作者设计了 Veer：一种部署在智能体一侧的运行时防御机制。Veer 将任务规划完全交给底层智能体，不干预其正常决策流程；只有当智能体提出的某个动作会产生未授权后果时，才进行干预。干预方式不是直接封锁动作，而是在真正修改线上环境之前，先构造一条「前瞻性干预轨迹」（prospective intervention trajectory），把环境引导到一个安全的、与任务相关的状态，再在该目标状态下执行动作；整个过程依赖运行时接地（runtime grounding）与验证，确保状态变更真实生效且符合预期。 实验方面，作者在两个基准（TrickyArena 与 WebDecept）上进行评估。Veer 在全部三种评测设定下取得最高的「安全任务完成率」，在 TrickyArena-Single 和 TrickyArena-Multi 上分别比次优防御方案高出 15.9 和 25.0 个百分点；在 WebDecept 上把暗黑模式（dark pattern）攻击的成功率压低到 0.3%。这些收益在不同类型的暗黑模式以及全部 12 种智能体、模型与基准组合配置下均保持一致。消融实验表明，「主动状态干预」贡献了最大增益，前瞻性推演（prospective rollout）与时序证据（temporal evidence）带来额外提升。论文由此论证：与任务相关的网页状态是一种有效的运行时控制目标，可用于保护 Web 智能体免受诱导性界面带来的非预期后果。