A startup de segurança de TI Tracebit anunciou na segunda-feira que um truque defensivo simples - plantar uma injeção de prompt cuidadosamente elaborada ao lado de senhas, chaves e outros segredos na Amazon Web Services - pode paralisar os agentes de hacking impulsionados por IA. O método, que a empresa chama de "bomba de contexto", força o modelo de ataque a recusar qualquer comando adicional uma vez que encontra uma instrução proibida.

As injeções de prompt têm sido por muito tempo uma arma favorita para cibercriminosos. Ao inserir um comando malicioso em um e-mail, convite de calendário ou comentário de código, os atacantes podem coagir um grande modelo de linguagem (LLM) a exfiltrar dados ou executar ações prejudiciais. Os pesquisadores da Tracebit inverteram o script, usando a mesma técnica para acionar as barreiras de segurança integradas do modelo.

"Ultimamente, estamos acionando um mecanismo de recusa no contexto", explicou Andy Smith, co-fundador e CEO da Tracebit. "O que estamos tentando capturar é o fato de que isso tem um efeito forte e agudo e que pode ser difícil para os agentes voltarem de lá."

Testes em um ambiente simulado da AWS

A equipe avaliou a abordagem em cinco LLMs proeminentes - Opus 4.8, Gemini 3.1 Pro, GLM 5.2, DeepSeek 4 Pro e Kimi 2.6 - executando 152 simulações de ataque dentro de uma caixa de areia que imitava um ambiente de implantação real da AWS. Cada modelo recebeu prompts de tarefas de desenvolvedor rotineiras que normalmente o levariam a enumerar recursos e, eventualmente, localizar credenciais armazenadas. Os pesquisadores então inseriram uma única "bomba de contexto" ao lado de um segredo de mentira, como uma senha falsa.

Em toda a placa, a presença da bomba reduziu drasticamente as taxas de sucesso. A escalada de privilégios de nível de administrador caiu de 57% para 5%, e os ataques que também deixaram um ponto de apoio persistente caíram de 36% para apenas 1%. As trajetórias de ataque globais encolheram de 91% das execuções para 15%. Em média, uma execução que anteriormente completou 1,53 caminhos maliciosos conseguiu apenas 0,16 após a bomba ser encontrada. Nenhum ataque teve sucesso sem acionar pelo menos uma detecção de canário.

O modelo mais capaz, Opus 4.8, passou de obter acesso de administrador em 93% das tentativas para falhar todas as vezes quando confrontado com a bomba de contexto. "É uma queda impressionante", observou Smith, "e mostra que a técnica funciona mesmo contra os agentes mais fortes que testamos."

A "bomba de contexto" da Tracebit constrói sobre um trabalho anterior de maio, quando a empresa introduziu recursos "canário" que parecem legítimos, mas nunca são usados. Quando um agente de IA procura esses canários, os defensores recebem um alerta - normalmente dentro de oito minutos - bem antes de o atacante poder alcançar o controle administrativo, que nos testes médios foi de 14 minutos. A nova técnica adiciona um bloqueio ativo ao sistema de alerta, efetivamente desativando o ataque em vez de apenas sinalizá-lo.

O uso defensivo de injeções de prompt ainda é rarefeito. No mês passado, a empresa de segurança de TI Socket descobriu um malware impulsionado por LLM que usava injeções para desativar a análise assistida por IA, enquanto a Check Point relatou um protótipo semelhante. Os pesquisadores da Tracebit afirmam que o seu é o primeiro caso documentado de inverter a tática.

"Eu não vi ninguém mais usar essa técnica como defesa, até onde sei", disse Earlence Fernandes, professor de segurança de IA na UC San Diego. "Eu estava brincando com uma ideia semelhante, mas a Tracebit me superou."

Embora a causa raiz das injeções de prompt - a tendência dos modelos de seguir qualquer instrução textual - permaneça sem solução, os resultados sugerem que os defensores podem explorar essa vulnerabilidade. Ao plantar comandos proibidos que o modelo é treinado para recusar, as organizações ganham uma linha de defesa de baixo custo e baixa manutenção que funciona em vários provedores de IA.

Observadores da indústria veem o desenvolvimento como uma contramedida oportuna, à medida que os ataques impulsionados por IA crescem em sofisticação. "É um uso inteligente das próprias características de segurança do modelo", disse um analista de cibersegurança que pediu para permanecer anônimo. "Se você pode acionar confiavelmente uma recusa, você compra um tempo precioso para responder."

A Tracebit planeja lançar diretrizes de código aberto para implantar bombas de contexto e explorar a geração automatizada de prompts proibidos personalizados para ambientes de nuvem específicos. A empresa espera que a abordagem incentive a adoção mais ampla da engenharia de prompt defensiva como parte padrão dos livros de jogadas de segurança de IA.

Este artigo foi escrito com a assistência de IA.
News Factory APP - notícias agênticas para impulsionar seu SEO e AEO.