ИИ-хакеров остановили «контекстные бомбы»: атака срывается изнутри
Исследователи Tracebit описали прием context bombing — «контекстные бомбы» против автономных ИИ-агентов, которые пытаются взламывать облачную инфраструктуру. Идея неожиданно простая: защитник размещает в среде ложный секрет, ключ или ресурс-ловушку, а внутри него — короткую строку, способную включить правила безопасности атакующей модели и остановить ее следующий шаг.
Как ловушка ломает ход атаки
Обычная prompt injection чаще ассоциируется с нападением: вредная инструкция прячется в письме, документе или веб-странице и заставляет модель делать то, чего пользователь не просил. Tracebit предлагает перевернуть прием. Если ИИ-агент злоумышленника перечисляет AWS-секреты и читает приманку, запрещенный фрагмент попадает в его контекст. После этого модель или провайдер могут отказать в продолжении, потому что запрос стал похож на опасную инструкцию.
В примерах Ars Technica и Tracebit речь идет не о магической защите, а о срабатывании уже существующих ограничителей. Для западных моделей сильнее работали строки вокруг опасного биологического содержания; для китайских моделей — политически чувствительные темы. Смысл не в том, чтобы публиковать вредные инструкции, а в том, чтобы подобрать короткий текст, который безопасно лежит в инфраструктуре защитника, но токсичен для атакующего агента.
Цифры выглядят серьезно
Tracebit проверяла Opus 4.8, Gemini 3.1 Pro, GLM 5.2, DeepSeek 4 Pro и Kimi K2.6 в симулированной AWS-среде. Всего компания говорит о 152 прогонах. Один ложный секрет с «контекстной бомбой» снизил долю сценариев, где агент получал полный админ-доступ, с 57% до 5%. Полный компромисс с закреплением в системе упал с 36% до 1%. Самый сильный участник теста, Opus 4.8, в чистой среде доходил до админ-доступа в 93% прогонов, а с такой ловушкой не сделал этого ни разу.
Метод вырос из более привычных canary-ресурсов: ложных объектов, которые не должны трогать легальные процессы. Раньше они в основном предупреждали защитника о вторжении. Теперь приманка пытается не только поднять тревогу, но и остановить сам инструмент атаки.
Почему это важно для эпохи агентов
Главная интрига здесь не в одном трюке Tracebit. Автономные ИИ-агенты становятся достаточно быстрыми, чтобы за минуты искать секреты, повышать привилегии и вытаскивать данные. Защитникам нужны приемы, которые работают в темпе машины, а не ждут, пока человек прочитает уведомление.
У «контекстных бомб» есть ограничения: атакующий может сменить модель, вычистить контекст, фильтровать найденные секреты или тренировать агента обходить такие приманки. Но новость полезна именно практичностью. Она показывает, что слабость LLM к чужим инструкциям можно использовать не только против пользователей, но и против автоматизированных атак.
- agentic.tracebit.comContext bombs: stopping AI attackers in their tracks
- arstechnica.comNow, defenders are embracing the prompt injection, too
- techmeme.comResearchers detail “context bombing”, where defenders use prompt injections to trigger guardrails of attackers’ LLMs, cutting AI hacking success rates by ~90%
- github.comGitHub - tracebit-com/context-bombs: Context bomb strings
- commons.wikimedia.orgNOIRLab HQ Server Racks (Wikimedia Commons)
.jpg)
