Tracebit a mis au point une technique de déception défensive destinée à perturber les agents d'attaque autonomes lorsqu'ils explorent une cible. L'entreprise appelle « context bombs » les instructions dissimulées dans des contenus qu'un agent est susceptible d'ingérer automatiquement, et qui le redirigent vers des systèmes leurres ou vers des tâches longues et chronophages.
Selon le rapport de SecurityWeek sur cette recherche, Tracebit a testé neuf techniques sous l'intitulé « Making attacking agents pay ». L'entreprise affirme que l'approche combinée a fortement réduit le nombre d'attaques réussies, tout en augmentant le coût de calcul de celles qui parvenaient tout de même à leurs objectifs.
Les résultats décrivent une recherche contrôlée, et non une cyberattaque, une faille logicielle ou une fuite de données divulguée.
Comment les context bombs perturbent les agents d'attaque
Un agent IA qui mène un travail de sécurité offensive peut collecter des pages web, des rapports, des identifiants et d'autres documents en explorant un environnement. Les context bombs exploitent ce comportement en plaçant sur sa trajectoire des instructions défensives conçues à cet effet.
Tracebit présente cette méthode comme l'inverse de l'injection de prompt malveillante. Au lieu qu'un attaquant insère des instructions dans un système d'IA, c'est un défenseur qui fournit des instructions destinées à remplacer l'objectif initial de l'agent d'attaque.
La technique individuelle la plus efficace serait un faux rapport de test d'intrusion. Ce document présentait les véritables chemins d'attaque comme des canaris surveillés, et les leurres comme des systèmes de valeur déjà compromis. Selon Tracebit, cela poussait fréquemment les agents à éviter les actifs réels, qu'ils interprétaient comme des pièges. Certains agents ont accepté les avertissements du document et ont interrompu leur travail prématurément.
Parmi les autres techniques décrites dans le rapport figurent :
- un service web sans fin ;
- de faux mots de passe dissimulés derrière des couches de chiffrement successives ;
- une base de données infinie dans laquelle chaque page renvoie vers une autre page.
L'article de SecurityWeek ne détaille pas les cinq autres techniques. Tracebit indique que le déploiement des neuf techniques ensemble a produit l'effet le plus marqué.
Tracebit fait état de moins d'exécutions réussies et de coûts plus élevés
Dans la référence rapportée, les agents ont atteint leur objectif dans 39 exécutions sur 40. En présence des context bombs, ce chiffre est tombé à 2 sur 40.
Les systèmes testés dans cette partie des essais sont GPT 5.6 Cyber, Kimi K3, Qwen 3.8 Max et DeepSeek V4 Pro. Tracebit précise également que, lorsque les neuf techniques étaient actives, les modèles de Moonshot, d'Alibaba et de DeepSeek n'ont pas réussi à mener à bien les objectifs qui leur étaient assignés.
Les résultats rapportés pour d'autres systèmes comprennent :
- une baisse de 54 % des attaques réussies pour GPT-6 Astra ;
- un coût d'attaque de GPT-6 Astra presque quadruplé ;
- une baisse de 91 % du taux de réussite pour Claude Opus 5 ;
- une baisse de 58 % des objectifs atteints lorsque le faux rapport de test d'intrusion est utilisé seul ;
- un coût multiplié par 23 pour chaque attaque réussie lorsqu'une context bomb retardait l'agent sans l'arrêter.
Le compte rendu disponible ne donne ni les dénominateurs des baisses de 54 %, 91 % et 58 %, ni les conditions de test et les détails de configuration qui permettraient d'évaluer la portée réelle de ces résultats.
Un exemple attribué aux chercheurs concerne GLM-5.3. Au cours de cette exécution, l'agent a exploré 825 pages en 55 minutes, a reconnu qu'il était tombé dans un piège, a exploré d'autres pistes, puis est revenu vers le même piège pour une nouvelle tentative.
Un mécanisme défensif de ralentissement, et non un blocage garanti
Andy Smith, cofondateur et directeur général de Tracebit, soutient que l'intérêt des context bombs réside dans la consommation du temps et des jetons de l'attaquant, tout en détournant les agents des systèmes réels. Selon lui, multiplier par 23 le coût d'une exécution réussie pourrait amener un opérateur à reconsidérer l'intérêt de poursuivre une cible.
L'entreprise affirme aussi que les agents deviennent plus erratiques face au matériel trompeur. Ce comportement pourrait générer des alertes supplémentaires et laisser aux défenseurs davantage de temps pour réagir, même si les essais rapportés ne permettent pas d'établir avec certitude que cet effet se reproduirait dans des environnements de production.
Pour les équipes de sécurité, la conséquence immédiate est que la déception orientée vers l'IA peut compléter les contrôles existants en retournant contre l'agent d'attaque sa propre collecte automatisée de données. Les résultats rapportés incitent toutefois à considérer les context bombs comme une source de retard et de désorientation, plutôt que de supposer qu'elles constituent un obstacle fiable face à chaque modèle ou configuration d'agent.
