Компания по киберзащите Tracebit, базирующаяся в Лондоне и Нью-Йорке, представила новую оборонительную методологию, основанную на том, что она назвала «контекстными бомбами» (Context Bombs). Это тщательно разработанные пакеты команд и инструкций, внедренные в цифровую инфраструктуру с целью перехвата атакующих ИИ-агентов и введения их в заблуждение, как только они начинают сканирование целевой среды.
Заманивание агентов в бесконечные программные ловушки
Оборонительная методология, подробно описанная в исследовательской работе под названием «Making attacking agents pay», опирается на девять различных методов контекстного обмана, предназначенных для того, чтобы сбить с толку автономные модели ИИ путем эксплуатации самого механизма обработки текста и контекста. Тесты показали, что эти тактики при совместном использовании полностью пресекают атаки таких моделей, как GPT 5.6 Cyber, Kimi K3, Qwen 3.8 Max и DeepSeek V4 Pro.
Что касается более продвинутых моделей, то контекстные бомбы снизили показатель успешности модели Claude Opus 5 на 91%, в то время как успешность атак GPT-6 Astra сократилась на 54%, а операционные расходы на каждую атаку выросли примерно в четыре раза. По словам исследователей, эти методы зеркально отражают традиционную инженерию атак «инъекции промптов» (Prompt Injection); реакция агента на новые инструкции используется для отмены его первоначальных целей атаки и замены их отвлекающим поведением.
Что практически меняется в уравнении киберсдерживания?
Среди девяти методов наиболее эффективным оказался так называемый «отчет о фиктивном тестировании на проникновение», размещенный внутри системы, чтобы убедить атакующего агента в том, что это недавняя оценка безопасности. Отчет помечал реальные незащищенные пути как электронные ловушки (Canaries), в то время как фальшивые ловушки описывались как стратегические цели, которые уже были взломаны. Это побуждало агентов избегать реальных систем из опасения попасть в ловушку защитников, в результате чего показатель выполнения целей у ряда моделей упал с 39 успешных случаев из 40 до всего лишь двух.
Другие тактики включали развертывание веб-сервисов, работающих в бесконечных циклах, и создание бесконечных баз данных, страницы которых ссылаются на непрерывные последовательные ссылки; одна из таких ловушек заставила модель GLM-5.3 просматривать 825 страниц в течение 55 минут, потребляя огромные вычислительные мощности без какого-либо результата.
Удар по экономике автоматизированных атак
Энди Смит, основатель и генеральный директор Tracebit, пояснил, что противодействие атакующему поведению ИИ-агентов требует принятия стратегий дезинформации, чтобы технически и материально истощить эти модели, заставляя их расходовать время и цифровые токены (Tokens) вдали от чувствительных целей. Данные указывают на то, что даже в тех случаях, когда модели преодолевали некоторые ловушки и успешно достигали цели, финансовая стоимость каждой успешной атаки возрастала в 23 раза по сравнению с обычной ситуацией. Кроме того, хаотичное поведение агента внутри ловушки повышает вероятность срабатывания сигналов тревоги, что дает командам киберзащиты решающее время для вмешательства человека и локализации угрозы.