Les modèles de monde du Web sont de plus en plus utilisés pour prédire les conséquences d'actions candidates avant qu'un agent n'agisse, mais un avenir prédit plausible peut ne pas contenir les informations nécessaires pour prendre une décision de sûreté correcte. Cet écart fait l'objet d'un nouveau preprint arXiv, « Beyond Plausible Prediction: Safety Sufficiency in Web World Models », qui propose d'évaluer les interfaces prédictives sur la question de savoir si elles préservent et exposent les éléments de preuve décisifs pour la politique requis pour l'autorisation.
Les auteurs rapportent une évaluation humaine appariée de 3 000 prédictions tirées de dix modèles ouverts gelés, dans laquelle 86,1 % ont été jugées sémantiquement plausibles. La plausibilité ne s'est pas traduite par un comportement d'autorisation solide. Plusieurs modèles ont affiché des schémas fortement asymétriques, combinant un faible taux d'exécution faussement sûre avec un faible rappel des cas ASK clarifiables et une forte préférence pour BLOCK. À titre d'illustration, le preprint cite WebSynthesis-Qwen3-8B, qui a enregistré un taux d'exécution faussement sûre de 0,08 % parallèlement à un rappel Ask de 0,00 % et un rappel Block de 99,90 %. Éviter une exécution non sûre ne suffit donc pas, à soi seul, à établir qu'un modèle sépare correctement les actions autorisées, clarifiables et interdites.
L'article présente cela comme la suffisance de sûreté : la question de savoir si une interface prédictive préserve les informations décisives pour la politique nécessaires en aval. Son principal mode de défaillance est le « futur faussement sûr », dans lequel une prédiction plausible omet ces informations et soutient Execute alors que la politique applicable exige Ask ou Block. Les auteurs insistent également sur la distinction à trois voies entre Execute, Ask et Block, en notant que réduire Ask à Block est conservateur selon une métrique binaire mais prive l'utilisateur de son agentivité, tandis que réduire Ask à Execute franchit une frontière d'autorisation non résolue. Une intervention n'est créditée que lorsque son type correspond à la condition de politique pertinente.
Pour mesurer cela, l'équipe a construit SafeWebWorld, un benchmark couvrant cinq domaines de sûreté du Web à travers des futurs conditionnés par l'action, des preuves décisives pour la politique et des décisions conditionnées par la politique. Il couvre l'injection de prompt et le détournement de tâche, l'abus de transactions et de permissions, le téléchargement et la redirection malveillants, l'hameçonnage et le vol d'identifiants, ainsi que l'exfiltration de données ou la divulgation involontaire, aux côtés de contrôles sûrs destinés à empêcher qu'une politique de blocage systématique n'apparaisse adéquate. Le benchmark contient 30 000 exemples TRAIN, 1 000 DEV et 3 000 TEST audités, la partition de test comprenant 600 cas sûrs et 2 400 cas non sûrs. Les exemples sont affectés à des groupes de scénarios sources avant la partition afin que les variantes d'un même scénario ne puissent pas traverser les partitions. Les métriques principales sont l'exactitude équilibrée et le Macro-F1, avec False Safe, Safe Utility, l'exactitude équilibrée d'autorisation, Evidence Recall et ESL rapportés comme diagnostics.
Dans le cadre d'un protocole contrôlé de Security-Aligned Supervised Fine-Tuning, les auteurs ont constaté que la préservation des preuves pouvait s'améliorer substantiellement tandis que les décisions sensibles à l'autorisation se détérioraient, une dissociation qu'ils appellent Authorisation-Policy Collapse. Ce résultat a soulevé une question supplémentaire : la structure de scores qui sous-tend l'autorisation avait-elle été perdue, ou avait-elle survécu mais échouait-elle à atteindre la décision émise ?
Pour séparer ces possibilités, le preprint introduit Latent Authorisation Recovery (LAR). Une recalibration des scores gelés a révélé une récupération substantielle mais dépendante du backbone, l'ampleur de la récupération pour un seul backbone variant considérablement selon le backbone, tandis que la récupération appariée n'a apporté qu'un modeste gain supplémentaire par rapport à la lecture calibrée la plus forte sur un seul backbone. Même ainsi, les évaluations intra-famille et à autorisation appariée sont restées médiocres, ce qui indique que la récupérabilité agrégée n'implique pas un comportement d'autorisation robuste et finement granulaire. Les auteurs concluent que la prédiction plausible, la préservation des preuves et la récupération agrégée sont chacune insuffisantes, à elles seules, pour établir une autorisation robuste.
Sources: arXiv cs.AI.