Tracebit hat eine defensive Täuschungstechnik entwickelt, die autonome KI-Angriffsagenten ausbremsen soll, während sie ein Ziel durchsuchen. Das Unternehmen nennt die eingestreuten Prompts „Context Bombs“: Anweisungen, die in Inhalten versteckt sind, die ein Agent mit hoher Wahrscheinlichkeit automatisch aufnimmt, und die ihn auf Köder-Systeme oder zeitaufwendige Aufgaben umleiten.
Laut dem Bericht von SecurityWeek zur Untersuchung testete Tracebit neun Techniken unter dem Titel „Making attacking agents pay“. Das Unternehmen behauptet, der kombinierte Ansatz habe die erfolgreichen Angriffsdurchläufe deutlich reduziert und zugleich den Rechenaufwand jener Durchläufe erhöht, die ihre Ziele dennoch erreichten.
Die Ergebnisse beschreiben eine kontrollierte Forschungsarbeit und keinen offengelegten Cyberangriff, keine Softwareschwachstelle und keinen Datenabfluss.
Wie Context Bombs Angriffsagenten stören
Ein KI-Agent, der offensive Sicherheitsarbeit leistet, sammelt beim Erkunden einer Umgebung womöglich Webseiten, Berichte, Zugangsdaten und anderes Material. Context Bombs nutzen dieses Verhalten aus, indem sie gezielt formulierte defensive Prompts in den Weg des Agenten legen.
Tracebit beschreibt die Methode als Gegenstück zur schädlichen Prompt Injection. Statt dass ein Angreifer einem KI-System Anweisungen unterschiebt, liefert hier ein Verteidiger Anweisungen, die das ursprüngliche Ziel des Angriffsagenten überlagern sollen.
Als wirksamste einzelne Technik gilt laut Bericht ein gefälschter Penetrationstest-Bericht. Er stellt echte Angriffspfade als überwachte Canarys dar und Köder als wertvolle Systeme, die bereits kompromittiert wurden. Tracebit zufolge führte dies häufig dazu, dass Agenten echte Ressourcen mieden, weil sie diese für Fallen hielten. Einige Agenten übernahmen die Warnungen aus dem Dokument und brachen ihre Arbeit vorzeitig ab.
Weitere im Bericht beschriebene Techniken waren:
- ein endloser Webdienst;
- scheinbare Passwörter, die hinter aufeinanderfolgenden Verschlüsselungsschichten verborgen sind;
- eine endlose Datenbank, in der jede Seite auf eine weitere Seite verweist.
Die Darstellung von SecurityWeek beschreibt die übrigen fünf Techniken nicht. Tracebit berichtete, dass der gleichzeitige Einsatz aller neun Techniken die stärkste Wirkung erzielte.
Tracebit meldet weniger erfolgreiche Durchläufe und höhere Kosten
In der berichteten Ausgangsmessung erreichten Agenten ihr Ziel in 39 von 40 Durchläufen. Mit vorhandenen Context Bombs sank dieser Wert auf 2 von 40.
Die Systeme, die in diesem Teil der Tests zum Einsatz kamen, wurden als GPT 5.6 Cyber, Kimi K3, Qwen 3.8 Max und DeepSeek V4 Pro angegeben. Tracebit erklärte außerdem, dass Modelle von Moonshot, Alibaba und DeepSeek ihre zugewiesenen Ziele nicht erreichten, als alle neun Techniken aktiv waren.
Für andere Systeme wurden folgende Ergebnisse gemeldet:
- eine Reduktion erfolgreicher Angriffe um 54 % bei GPT-6 Astra;
- eine nahezu vierfache Steigerung der Angriffskosten bei GPT-6 Astra;
- eine Reduktion des Erfolgs um 91 % bei Claude Opus 5;
- eine Reduktion der erreichten Ziele um 58 %, wenn nur der gefälschte Penetrationstest-Bericht eingesetzt wurde;
- eine 23-fache Erhöhung der Kosten jedes erfolgreichen Angriffs, wenn eine Context Bomb den Agenten verzögerte, aber nicht stoppte.
Der vorliegende Bericht nennt weder die Bezugsgrößen hinter den Reduktionen von 54 %, 91 % und 58 % noch die Testbedingungen und Konfigurationsdetails, die nötig wären, um die Reichweite der Ergebnisse zu beurteilen.
Ein Beispiel, das den Forschern zugeschrieben wird, betrifft GLM-5.3. Während dieses Durchlaufs durchsuchte der Agent in 55 Minuten 825 Seiten, erkannte, dass er auf eine Falle gestoßen war, verfolgte andere Spuren und kehrte dann zu derselben Falle zurück, um es erneut zu versuchen.
Ein defensiver Verzögerungsmechanismus, keine garantierte Blockade
Tracebit-Mitgründer und CEO Andy Smith argumentiert, der Wert von Context Bombs liege darin, Zeit und Tokens des Angreifers zu binden und Agenten von echten Systemen wegzulenken. Seiner Ansicht nach könnte eine 23-fache Erhöhung der Kosten eines erfolgreichen Durchlaufs einen Betreiber dazu bringen, zu überdenken, ob sich ein Ziel überhaupt lohnt.
Das Unternehmen behauptet außerdem, dass Agenten im Umgang mit dem täuschenden Material unberechenbarer werden. Dieses Verhalten könnte zusätzliche Alarme auslösen und Verteidigern mehr Zeit zum Reagieren verschaffen. Der berichtete Test lässt jedoch offen, wie zuverlässig sich dieser Effekt auf Produktivumgebungen übertragen ließe.
Für Sicherheitsteams bedeutet das vor allem: KI-gestützte Täuschung kann bestehende Kontrollen ergänzen, indem sie die automatisierte Datensammlung des Angriffsagenten gegen ihn selbst wendet. Die berichteten Ergebnisse sprechen jedoch dafür, Context Bombs als Mittel zur Verzögerung und Irreführung zu behandeln und nicht anzunehmen, dass sie eine verlässliche Barriere gegen jedes Modell oder jede Agentenkonfiguration darstellen.
