Tracebit ha desarrollado una técnica de engaño defensivo diseñada para descarrilar a los agentes de ataque autónomos de IA mientras rastrean un objetivo. La empresa denomina «context bombs» a los prompts plantados: instrucciones ocultas en un contenido que un agente probablemente ingerirá de forma automática, redirigiéndolo hacia sistemas señuelo o tareas que consumen mucho tiempo.
Según el informe de SecurityWeek sobre la investigación, Tracebit probó nueve técnicas bajo el título «Making attacking agents pay». La empresa afirma que el enfoque combinado redujo de forma notable las ejecuciones de ataque exitosas y aumentó el coste computacional de las que aún alcanzaban sus objetivos.
Los resultados describen una investigación controlada y no un ciberataque divulgado, una vulnerabilidad de software ni una filtración de datos.
Cómo interfieren los context bombs con los agentes de ataque
Un agente de IA que realiza trabajo de seguridad ofensiva puede recopilar páginas web, informes, credenciales y otro material mientras explora un entorno. Los context bombs aprovechan ese comportamiento colocando prompts defensivos diseñados en el camino del agente.
Tracebit presenta el método como lo contrario de la inyección maliciosa de prompts. En lugar de que un atacante inserte instrucciones en un sistema de IA, un defensor proporciona instrucciones destinadas a sustituir el objetivo original del agente de ataque.
Según se informa, la técnica individual más eficaz fue un falso informe de pruebas de penetración. Presentaba las rutas de ataque genuinas como canarios vigilados, mientras mostraba los señuelos como sistemas valiosos que ya habían sido comprometidos. Tracebit afirmó que esto provocaba con frecuencia que los agentes evitaran los activos reales, porque los interpretaban como trampas. Algunos agentes aceptaron las advertencias del documento y dieron por terminado su trabajo antes de tiempo.
Otras técnicas descritas en el informe incluían:
- un servicio web interminable;
- contraseñas aparentes ocultas tras capas sucesivas de cifrado;
- una base de datos interminable en la que cada página apunta a otra página.
El relato de SecurityWeek no describe las otras cinco técnicas. Tracebit informó de que desplegar las nueve juntas produjo el efecto más fuerte.
Tracebit informa de menos ejecuciones exitosas y mayores costes
En la línea base informada, los agentes alcanzaron su objetivo en 39 de 40 ejecuciones. Con los context bombs presentes, esa cifra bajó a 2 de 40.
Los sistemas de esa parte de las pruebas se identificaron como GPT 5.6 Cyber, Kimi K3, Qwen 3.8 Max y DeepSeek V4 Pro. Tracebit también afirmó que, cuando las nueve técnicas estaban activas, los modelos de Moonshot, Alibaba y DeepSeek no lograron completar sus objetivos asignados.
Entre los resultados informados para otros sistemas figuraban:
- una reducción del 54 % en los ataques exitosos de GPT-6 Astra;
- un aumento de casi cuatro veces en el coste de ataque de GPT-6 Astra;
- una reducción del 91 % en el éxito de Claude Opus 5;
- una reducción del 58 % en los objetivos alcanzados cuando se usa solo el falso informe de pruebas de penetración;
- un aumento de 23 veces en el coste de cada ataque exitoso cuando un context bomb retrasaba, pero no detenía, al agente.
El relato disponible no ofrece los denominadores de las reducciones del 54 %, del 91 % y del 58 %, ni las condiciones de la prueba y los detalles de configuración necesarios para determinar hasta qué punto los resultados son aplicables.
Un ejemplo atribuido a los investigadores involucraba a GLM-5.3. Durante esa ejecución, el agente rastreó 825 páginas a lo largo de 55 minutos, reconoció que había encontrado una trampa, exploró otras pistas y luego volvió a la misma trampa para intentarlo de nuevo.
Un mecanismo de retardo defensivo, no un bloqueo garantizado
Andy Smith, cofundador y consejero delegado de Tracebit, sostiene que el valor de los context bombs reside en consumir el tiempo y los tokens del atacante mientras desvían a los agentes de los sistemas reales. En su opinión, aumentar 23 veces el coste de una ejecución exitosa podría llevar a un operador a reconsiderar si merece la pena perseguir un objetivo.
La empresa afirma además que los agentes se vuelven más erráticos al tratar con el material engañoso. Ese comportamiento podría generar alarmas adicionales y dar a los defensores más tiempo para reaccionar, aunque las pruebas informadas no establecen con qué fiabilidad ese efecto se trasladaría a entornos de producción.
Para los equipos de seguridad, la implicación inmediata es que el engaño orientado a la IA podría complementar los controles existentes, volviendo contra el propio agente su recopilación automatizada de datos. Sin embargo, los resultados informados respaldan considerar los context bombs como una fuente de retardo y desorientación, en lugar de asumir que ofrecen una barrera fiable frente a todos los modelos o configuraciones de agente.
