该论文研究的是计算机使用代理（Computer-Use Agents, CUA）在图形界面环境下面临的一类新型间接提示注入风险——分支引导攻击（branch steering attack），并提出相应的防御架构 COBRA。背景方面：现代 CUA 需要直接操作图形用户界面（GUI）并调用第三方 Web 工具，因此每一条渲染页面、每一个工具返回结果都可能成为不可信输入的注入通道。系统级防御的主流方案是「双 LLM 模式」（Dual-LLM pattern）：用一个隔离的规划器 LLM（P-LLM）在处理任何不可信输入之前就固定好执行路径，再由被隔离的 Q-LLM 去接触不可信数据，从而获得形式化的安全保证。论文指出，这一保证在图形化环境中会失效：由于 CUA 的交互本质上是动态的，规划不可能保持与数据无关；计划必须根据运行时可能出现的网页内容进行分叉，以覆盖代理可能遇到的所有情形。这就产生了新的攻击面——攻击者不需要显式注入指令，只需精心构造不可信数据，就能把代理「引导」到某条已被预批准、但对当前上下文而言具有危害性的分支上。作者系统性地研究了这一攻击类别，并构建了 STEER-Bench 基准（覆盖 9 个领域、共 101 个任务），实验显示标准 CUA 的攻击成功率达 94.4%，而朴素 Dual-LLM 架构仍有 89.5% 的攻击成功率，说明仅靠「先规划后隔离」并不足以抵御分支层面的操纵。针对该问题，论文提出 COBRA 架构：将可信的分支计划与「事前能力约束」（ahead-of-time capability constraints）相结合，对每个分支可执行的参数取值范围与目标地址/目的地做出严格界定，使分支即使被触发也无法越界执行危险动作。在 STEER-Bench 上，COBRA 将攻击成功率降至 0%，同时保持 97% 的正常任务效用，表明安全性与可用性可以同时兼顾。该工作适合从事 LLM 代理安全、代理架构设计、GUI 自动化与 AI 红队评测的研究者和工程师阅读。