A empresa de cibersegurança Tracebit, com sedes em Londres e Nova York, revelou uma nova metodologia defensiva baseada no que chamou de «bombas de contexto» (Context Bombs). Trata-se de pacotes de comandos e instruções cuidadosamente elaborados e inseridos nas estruturas digitais, com o objetivo de interceptar agentes de IA invasores e desorientá-los assim que examinam o ambiente-alvo.
Atração de agentes para armadilhas de software infinitas
A metodologia defensiva, detalhada em um artigo de pesquisa intitulado «Making attacking agents pay», baseia-se em nove métodos diferentes de engano contextual projetados para capturar modelos autônomos de inteligência artificial, explorando seu próprio mecanismo de processamento de texto e contexto. Os testes mostraram que essas táticas conseguiram frustrar completamente ataques de modelos como GPT 5.6 Cyber, Kimi K3, Qwen 3.8 Max e DeepSeek V4 Pro quando as técnicas foram combinadas.
Em contrapartida, no confronto com os modelos mais avançados, as bombas de contexto reduziram a taxa de sucesso do modelo Claude Opus 5 em 91%, enquanto diminuíram o sucesso dos ataques do GPT-6 Astra em 54% e elevaram o custo operacional de cada ataque em cerca de quatro vezes. Segundo os pesquisadores, esses métodos espelham a engenharia dos ataques tradicionais de «injeção de prompt» (Prompt Injection), pois a resposta do agente a instruções recentes é explorada para anular seus objetivos originais de ataque e substituí-los por comportamentos de distração.
O que muda na prática na equação de dissuasão cibernética?
Entre os nove métodos, destacou-se uma tática específica considerada a mais eficaz: um «relatório de teste de penetração falso» colocado dentro do sistema para iludir o agente invasor, fazendo-o acreditar que se tratava de uma avaliação de segurança recente. O relatório funcionava rotulando caminhos reais e desprotegidos como iscas eletrônicas (Canaries), enquanto descrevia armadilhas falsas como alvos estratégicos já comprometidos, fazendo com que os agentes evitassem sistemas reais por medo de cair nas armadilhas dos defensores. Como resultado, a taxa de cumprimento de objetivos de vários modelos despencou de 39 casos bem-sucedidos em 40 para apenas dois.
Outras táticas incluíram a implantação de serviços web executados em loops fechados e intermináveis, além da geração de bancos de dados infinitos cujas páginas apontavam para links sequenciais intermináveis. Uma das armadilhas atraiu o modelo GLM-5.3 para navegar por 825 páginas em 55 minutos, consumindo enorme poder computacional sem nenhum resultado.
Andy Smith, fundador e CEO da Tracebit, explicou que o enfrentamento dos comportamentos ofensivos de agentes de IA exige a adoção de estratégias de desinformação para esgotar esses modelos técnica e financeiramente, forçando-os a consumir tempo e tokens digitais longe dos alvos sensíveis. Os dados indicaram que, mesmo nos casos em que os modelos superaram algumas armadilhas e conseguiram alcançar o objetivo, o custo financeiro de cada ataque bem-sucedido aumentou 23 vezes em comparação com a situação normal. Além disso, o comportamento aleatório adotado pelo agente dentro da armadilha eleva a probabilidade de disparar alertas de segurança, dando às equipes de cibersegurança um tempo crucial para a intervenção humana e a contenção.