Tracebit ha sviluppato una tecnica di inganno difensivo pensata per far deragliare gli agenti d'attacco IA autonomi mentre esplorano un bersaglio. L'azienda chiama «context bomb» i prompt piazzati: istruzioni nascoste nei contenuti che un agente probabilmente acquisisce in automatico, e che lo reindirizzano verso sistemi esca o verso attività che richiedono molto tempo.
Secondo il rapporto di SecurityWeek sulla ricerca, Tracebit ha testato nove tecniche sotto il titolo «Making attacking agents pay». L'azienda sostiene che l'approccio combinato ha ridotto drasticamente le esecuzioni d'attacco riuscite e ha aumentato il costo computazionale di quelle che comunque raggiungevano i propri obiettivi.
I risultati descrivono una ricerca controllata, e non un attacco informatico, una vulnerabilità software o una violazione di dati resi noti.
Come le context bomb interferiscono con gli agenti d'attacco
Un agente IA che svolge attività di sicurezza offensiva può raccogliere pagine web, report, credenziali e altro materiale mentre esplora un ambiente. Le context bomb sfruttano questo comportamento collocando prompt difensivi costruiti ad hoc lungo il percorso dell'agente.
Tracebit presenta il metodo come l'inverso della prompt injection malevola. Invece di un attaccante che inserisce istruzioni in un sistema IA, è un difensore a fornire istruzioni destinate a sostituire l'obiettivo originale dell'agente d'attacco.
Secondo quanto riportato, la tecnica singola più efficace è stata un falso report di penetration test. Il documento descriveva i percorsi d'attacco reali come canarini monitorati, mentre presentava le esche come sistemi di valore già compromessi. Secondo Tracebit, ciò causava spesso agli agenti di evitare gli asset reali, perché li interpretavano come trappole. Alcuni agenti hanno accettato gli avvertimenti del documento e hanno interrotto il lavoro in anticipo.
Tra le altre tecniche descritte nel report:
- un servizio web senza fine;
- password apparenti nascoste dietro più livelli di crittografia successivi;
- un database infinito in cui ogni pagina rimanda a un'altra pagina.
Il resoconto di SecurityWeek non descrive le altre cinque tecniche. Tracebit ha riferito che l'impiego di tutte e nove insieme ha prodotto l'effetto più forte.
Tracebit riporta meno esecuzioni riuscite e costi più alti
Nella baseline riportata, gli agenti hanno raggiunto l'obiettivo in 39 esecuzioni su 40. Con le context bomb presenti, il dato è sceso a due su 40.
I sistemi di quella parte dei test sono stati identificati come GPT 5.6 Cyber, Kimi K3, Qwen 3.8 Max e DeepSeek V4 Pro. Tracebit ha inoltre dichiarato che, quando erano attive tutte e nove le tecniche, i modelli di Moonshot, Alibaba e DeepSeek non sono riusciti a completare gli obiettivi assegnati.
Tra i risultati riportati per altri sistemi:
- una riduzione del 54% degli attacchi riusciti per GPT-6 Astra;
- un aumento del costo d'attacco di GPT-6 Astra quasi quadruplicato;
- una riduzione del 91% del successo per Claude Opus 5;
- una riduzione del 58% degli obiettivi raggiunti quando si usava da sola la falsa relazione di penetration test;
- un aumento di 23 volte del costo di ogni attacco riuscito quando una context bomb rallentava ma non fermava l'agente.
Il resoconto disponibile non indica i denominatori alla base delle riduzioni del 54%, del 91% e del 58%, né le condizioni di test o i dettagli di configurazione necessari per capire quanto ampiamente valgano i risultati.
Un esempio attribuito ai ricercatori riguarda GLM-5.3. Durante quell'esecuzione, l'agente ha esplorato 825 pagine in 55 minuti, ha riconosciuto di essere finito in una trappola, ha seguito altre piste e poi è tornato alla stessa trappola per un nuovo tentativo.
Un meccanismo di ritardo difensivo, non un blocco garantito
Andy Smith, co-fondatore e amministratore delegato di Tracebit, sostiene che il valore delle context bomb stia nel consumare tempo e token dell'attaccante, allontanando al tempo stesso gli agenti dai sistemi reali. A suo giudizio, aumentare di 23 volte il costo di un'esecuzione riuscita potrebbe indurre un operatore a riconsiderare se valga la pena perseguire un bersaglio.
L'azienda sostiene anche che gli agenti diventano più erratici quando trattano il materiale ingannevole. Un comportamento del genere potrebbe generare allarmi aggiuntivi e dare ai difensori più tempo per reagire, anche se il test riportato non stabilisce quanto affidabilmente questo effetto si tradurrebbe in ambienti di produzione.
Per i team di sicurezza, l'implicazione immediata è che l'inganno orientato all'IA potrebbe integrare i controlli esistenti, ritorcendo contro l'agente d'attacco la raccolta automatica dei dati. I risultati riportati, però, sostengono di trattare le context bomb come una fonte di ritardo e di depistaggio, invece di presumere che offrano una barriera affidabile contro ogni modello o configurazione di agente.
