「コンテキスト爆弾」：AIエージェントを欺き、攻撃コストを23倍に引き上げる防御戦術
ロンドンとニューヨークに拠点を置くサイバー防衛企業「Tracebit」は、「コンテキスト爆弾（Context Bombs）」と呼ぶ新しい防御手法を発表しました。これは、デジタルインフラ内に慎重に設計された命令や指示プロンプトを埋め込み、攻撃側のAIエージェントが標的環境をスキャンした瞬間に、それらを傍受して誤った方向へ誘導するものです。
エージェントを無限のプログラミングトラップへ誘い込む
「Making attacking agents pay」と題された研究論文で詳述されているこの防御手法は、AIのテキスト処理とコンテキストの仕組みそのものを悪用し、自律型AIモデルを罠にかける9つの異なる欺瞞戦術に基づいています。テストの結果、これらの技術を組み合わせることで、GPT 5.6 Cyber、Kimi K3、Qwen 3.8 Max、DeepSeek V4 Proといったモデルによる攻撃を完全に阻止できることが示されました。
より高度なモデルに対しては、コンテキスト爆弾はClaude Opus 5の成功率を91%低下させ、GPT-6 Astraの攻撃成功率を54%削減し、攻撃あたりの運用コストを約4倍に引き上げました。研究者らによると、これらの手法は従来の「プロンプトインジェクション（Prompt Injection）」攻撃を逆手に取ったものであり、エージェントが新しいプロンプトに応答する性質を利用して、本来の攻撃目標を無効化し、注意をそらす行動へと置き換えるものです。
サイバー抑止力の式において何が実質的に変化するのか
9つの戦術の中で最も効果的とされたのは、システム内に配置された「偽のペネトレーションテストレポート」です。これは、攻撃エージェントに対して、それが最近のセキュリティ評価であると誤認させるものです。このレポートは、保護されていない実際の経路を「ハニーポット（Canaries）」であるとラベル付けする一方で、偽の罠をすでに侵害された戦略的目標であると記述しました。これにより、エージェントは防御側の罠にかかることを恐れて実際のシステムを回避するようになり、あるモデルでは目標達成率が40件中39件の成功から、わずか2件にまで低下しました。
その他の戦術には、無限ループで動作するWebサービスの展開や、ページが無限に連鎖するリンクを参照するデータベースの生成などが含まれます。ある罠では、GLM-5.3モデルが55分間で825ページを巡回させられ、成果を得られないまま膨大な計算リソースを消費させられました。
自動化された攻撃の経済的打撃
Tracebitの創設者兼CEOであるアンディ・スミス氏は、AIエージェントの攻撃行動に対処するには、モデルを技術的および経済的に疲弊させる欺瞞戦略を採用する必要があると説明しました。モデルを誘導して、機密性の高い目標から遠ざけ、時間とデジタルトークン（Tokens）を消費させるのです。データによると、モデルがいくつかの罠を回避して目標に到達できた場合でも、成功した攻撃あたりの金銭的コストは通常の状態と比較して23倍に上昇しました。さらに、エージェントが罠の中でとるランダムな行動はセキュリティアラートを発生させる可能性を高め、サイバー防衛チームに人間による介入と封じ込めを行うための決定的な時間を与えることになります。