Das in London und New York ansässige Cybersicherheitsunternehmen Tracebit hat eine neue Verteidigungsmethodik vorgestellt, die auf sogenannten „Kontext-Bomben“ (Context Bombs) basiert. Dabei handelt es sich um sorgfältig entworfene Pakete aus Befehlen und Leitlinien, die in digitale Infrastrukturen eingebettet werden, um angreifende KI-Agenten abzufangen und in die Irre zu führen, sobald diese die Zielumgebung scannen.
Agenten in endlose Software-Fallen locken
Die in einem Forschungspapier mit dem Titel „Making attacking agents pay“ näher erläuterte Verteidigungsmethodik stützt sich auf neun verschiedene Taktiken zur Kontexttäuschung, die darauf ausgelegt sind, autonome KI-Modelle zu ködern, indem sie deren Text- und Kontextverarbeitungsmechanismus ausnutzen. Tests haben gezeigt, dass diese Taktiken – wenn die Techniken kombiniert werden – Angriffe von Modellen wie GPT 5.6 Cyber, Kimi K3, Qwen 3.8 Max und DeepSeek V4 Pro vollständig abwehren konnten.
Gegenüber den fortschrittlicheren Modellen gelang es den Kontext-Bomben, die Erfolgsquote des Modells Claude Opus 5 um 91 % zu senken, während sie den Erfolg von GPT-6 Astra-Angriffen um 54 % reduzierten und die operativen Kosten für jeden Angriff etwa vervierfachten. Den Forschern zufolge spiegeln diese Methoden die traditionelle „Prompt Injection“-Angriffsarchitektur wider; dabei wird die Reaktion des Agenten auf neue Prompts ausgenutzt, um seine ursprünglichen Angriffsziele zunichte zu machen und durch ablenkende Verhaltensweisen zu ersetzen.
Was ändert sich praktisch in der Gleichung der Cyber-Eindämmung?
Unter den neun Taktiken erwies sich eine bestimmte als besonders effektiv: Ein „gefälschter Penetrationstestbericht“, der im System platziert wurde, um den angreifenden Agenten glauben zu lassen, es handele sich um eine aktuelle Sicherheitsbewertung. Der Bericht kennzeichnete echte, ungesicherte Pfade als Cyberfallen (Canaries), während er die gefälschten Fallen als strategische, bereits kompromittierte Ziele beschrieb. Dies veranlasste die Agenten dazu, die echten Systeme aus Angst vor den Fallen der Verteidiger zu meiden, wodurch die Zielerfüllungsquote bei einigen Modellen von 39 erfolgreichen Fällen von insgesamt 40 auf gerade einmal zwei Fälle einbrach.
Zu den weiteren Taktiken gehörten die Bereitstellung von Webdiensten in endlosen geschlossenen Schleifen sowie die Generierung unendlicher Datenbanken, deren Seiten auf endlose sequenzielle Links verweisen. So lockte eine der Fallen beispielsweise das Modell GLM-5.3 dazu, innerhalb von 55 Minuten 825 Seiten zu durchsuchen, wodurch ohne nennenswertes Ergebnis enorme Rechenleistung verbraucht wurde.
Schlag gegen die Ökonomie automatisierter Angriffe
Andy Smith, Gründer und CEO von Tracebit, erklärte, dass die Bekämpfung des Angriffsverhaltens von KI-Agenten den Einsatz von Täuschungsstrategien erfordere, um diese Modelle technisch und finanziell zu erschöpfen, indem sie dazu gebracht werden, Zeit und Tokens abseits sensibler Ziele zu verschwenden. Die Daten zeigten, dass selbst in Fällen, in denen Modelle einige Fallen umgingen und ihr Ziel erreichten, die finanziellen Kosten für jeden erfolgreichen Angriff im Vergleich zum Normalzustand um das 23-Fache stiegen. Darüber hinaus erhöht das unvorhersehbare Verhalten, das der Agent in der Falle zeigt, die Wahrscheinlichkeit, dass Sicherheitsalarme ausgelöst werden, was den Cybersicherheits-Teams entscheidende Zeit für menschliches Eingreifen und Eindämmen verschafft.