# Granica zaufania SA-CUA dla agentów komputerowych

EN: **SA-CUA trust boundary for computer-use agents** · id `sacua` · aliases: SA-CUA, safe autonomy for computer use, dual-LLM trust boundary

Path: [AI Atlas](https://aiatlasgraph.com/llms.txt) › [Aplikacje LLM i agenci](https://aiatlasgraph.com/t/applications.md) › [Agenci i orkiestracja](https://aiatlasgraph.com/t/agentsnode.md) › [Agenci przy komputerze](https://aiatlasgraph.com/t/computeruse.md) › Granica zaufania SA-CUA dla agentów komputerowych

## Description

- PL: Architektura z dwoma modelami, która domyślnie maskuje ekran, odsłania zaufane regiony według reguł z drzewa dostępności i osobno zatwierdza wartości z niezaufanych treści.
- EN: A dual-model architecture that masks the screen by default, reveals trusted regions using accessibility-tree rules, and separately endorses values from untrusted content.

## In one sentence

- PL: Sposób, by agent klikający na ekranie sam oddzielał zaufane części interfejsu od niezaufanych treści i działał bez ciągłych pytań.
- EN: A way for a screen-clicking agent to separate trusted interface parts from untrusted content on its own and act without constant questions.

## Problem it solves

- PL: Agent widzący cały ekran może wykonać polecenie ukryte w niezaufanej treści, a ciągłe potwierdzenia męczą użytkownika.
- EN: An agent seeing the whole screen can follow an instruction hidden in untrusted content, while constant confirmations tire the user.

## What it does

- PL: Oddziela zaufany planer od modelu czytającego niezaufany ekran, blokuje istotne działania na niezaufanych regionach i weryfikuje wartości przed ich użyciem.
- EN: It separates a trusted planner from a model that reads the untrusted screen, blocks consequential actions on untrusted regions, and verifies values before use.

## Everyday example

- PL: Agent wypełnia formularz na stronie: warstwa ochronna ukrywa treść z maila i pozwala użyć numeru konta dopiero po sprawdzeniu go w niezależnym, zaufanym źródle.
- EN: An agent fills a form on a page: the protection layer hides email content and allows an account number to be used only after checking it against an independent trusted source.

## This concerns you if you…

- PL: agent steruje komputerem i widzi treści od innych
- PL: chcesz ograniczyć ryzyko prompt injection w interfejsie
- PL: chcesz uniknąć ciągłego potwierdzania każdego kliknięcia
- EN: let an agent control the computer and see content from others
- EN: want to limit prompt injection risk in the interface
- EN: want to avoid confirming every click

## Keywords

SA-CUA · computer use agents · trust boundary · accessibility tree · dual LLM · endorsement channel · prompt injection · CUA safety · AT-SPI · CaMeL-CUA

## How it works

- PL: Offline model proponujący reguły (RP-LLM) analizuje oczyszczone drzewo AT-SPI bez tekstu strony. W czasie działania deterministyczne reguły odsłaniają tylko zaufane regiony, zanim zrzut trafi do uprzywilejowanego planera (P-LLM). Model kwarantannowy (Q-LLM) może czytać pełny ekran, lecz nie wywołuje narzędzi. Wartości przekraczające granicę pozostają ukryte, dopóki robust endorsement nie porówna ich deterministycznie z oczekiwaniem wyprowadzonym niezależnie z zaufanych źródeł. Kliknięcia i wpisywanie w niezaufanych regionach są blokowane.
- EN: Offline, a rule-proposing model (RP-LLM) analyzes a sanitized AT-SPI tree without page text. At runtime, deterministic rules reveal only trusted regions before the screenshot reaches the privileged planner (P-LLM). A quarantined model (Q-LLM) may read the full screen but cannot call tools. Values crossing the boundary stay redacted until robust endorsement deterministically checks them against an expectation derived independently from trusted sources. Clicks and typing in untrusted regions are blocked.

## Limits

- PL: Metoda zależy od kompletności drzewa dostępności oraz reguł przygotowanych dla aplikacji lub szablonu adresu; konserwatywne maskowanie może obniżać użyteczność. W zadeklarowanym modelu zagrożeń chroni integralność, nie poufność, i zakłada zaufane domeny lub kontakty. Nie obejmuje przejęcia zaufanego źródła ani wszystkich aplikacji i zadań.
- EN: The method depends on accessibility-tree completeness and rules prepared for an application or URL template; conservative masking can reduce utility. Under its stated threat model it protects integrity, not confidentiality, and assumes trusted domains or contacts. It does not cover compromise of a trusted source or every application and task.

## Key terms

- PL: **granica zaufania**: Podział ekranu na regiony zaufane i niezaufane z użyciem reguł opartych na drzewie dostępności.
- PL: **robust endorsement**: Deterministyczne zatwierdzenie wartości po porównaniu jej z oczekiwaniem wyprowadzonym niezależnie z zaufanych źródeł.
- PL: **AT-SPI**: Interfejs udostępniający drzewo dostępności elementów systemu i aplikacji.
- EN: **trust boundary**: A division of the screen into trusted and untrusted regions using accessibility-tree rules.
- EN: **robust endorsement**: Deterministic approval of a value after comparing it with an expectation derived independently from trusted sources.
- EN: **AT-SPI**: An interface exposing the accessibility tree of system and application elements.

## Know first

- [Bezpieczeństwo agentów: uprawnienia i izolacja (AI agent security)](https://aiatlasgraph.com/t/agentsecurity.md)

## Sources

- [Towards Safe Autonomy for Computer Use](<https://arxiv.org/abs/2610.18508>) `sacua-arxiv-2610.18508` · by Dominik Seip, Bartol Markovinović, Matthias Hein

---

AI Atlas revision 124 (2026-10-31) · HTML: https://aiatlasgraph.com/t/sacua · index: https://aiatlasgraph.com/llms.txt · everything: https://aiatlasgraph.com/llms-full.txt · updated 2026-10-30