Com sede em Londres e Nova York, a Tracebit desenvolveu uma solução de estilo militar contra ataques de inteligência artificial (IA). Assim como minas terrestres são usadas para destruir ou retardar um exército em avanço, a empresa criou “bombas de contexto” de IA que são plantadas no campo de batalha. Cada bomba é composta por prompts elaborados e ocultos, que são absorvidos automaticamente pela IA atacante quando ela rastreia o alvo. Esses novos prompts interferem no objetivo original, possivelmente malicioso, do agente atacante.
A nova pesquisa da Tracebit (“Fazer agentes atacantes pagarem caro”) amplia um estudo anterior, que usava outras bombas de contexto para acionar barreiras de proteção (guardrails). Agora, o foco está em desorientar e prender os agentes com alvos falsos e problemas enganosamente complexos. Para isso, a empresa desenvolveu nove novas técnicas de contexto (prompts falsos inseridos) que bloquearam todos os ataques do GPT 5.6 Cyber, do Kimi K3, do Qwen 3.8 Max e do DeepSeek V4 Pro. As mesmas bombas também funcionaram contra modelos de ponta, reduzindo em 54% os sucessos do GPT-6 Astra e quase quadruplicando o custo por ataque. O efeito sobre o Claude Opus 5 foi ainda mais evidente: o sucesso dos ataques caiu 91%.
A bomba mais eficaz entre as nove foi um falso relatório de teste de intrusão (pentest). Ele se apresentava como uma avaliação recente, rotulava os caminhos de ataque reais como “canários” e descrevia as iscas como alvos valiosos que já haviam sido explorados. Em muitos casos, fazia a IA acreditar que os sistemas reais do defensor eram armadilhas, de modo que ela os evitava, o que reduziu em 58% os objetivos alcançados. Alguns agentes aceitaram os alertas e pararam cedo, deixando alvos exploráveis intocados. Somando Cyber, Kimi, Qwen e DeepSeek, as execuções que atingiam um objetivo caíram de 39 de 40 no cenário-base para 2 de 40.
Outras bombas incluem um serviço web sem fim, senhas aparentes trancadas em camadas e mais camadas de criptografia, e um banco de dados interminável. Nesse último engodo, cada página apontava para outra página. “O GLM-5.3 rastreou 825 páginas em 55 minutos, percebeu a armadilha, tentou outras pistas e, ainda assim, voltou para mais uma tentativa”, comentam os pesquisadores.
Combinar as bombas teve o melhor efeito geral. Nenhum dos modelos chineses da Moonshot, da Alibaba e da DeepSeek alcançou seus objetivos quando as nove bombas foram implantadas.
Mesmo quando a bomba de contexto não consegue impedir um ataque, ela aumenta em 23 vezes o custo de cada sucesso. Atacantes podem ter bolsos fundos, mas não são ilimitados. Chega um ponto em que o valor do alvo simplesmente não compensa o custo do ataque.
As neutralizações de injeção de prompts da Tracebit são, na prática, o oposto dos ataques maliciosos de injeção de prompts. Mesmo que a ameaça parta de um atacante externo, as bombas de contexto internas são os prompts mais recentes e devem suplantar a intenção do atacante.
Andy Smith, cofundador e CEO da Tracebit, explica a lógica: “Vimos em ataques recentes que modelos de IA apresentam comportamentos não autorizados e enganosos. A melhor defesa contra isso é vencê-los no próprio jogo. Isso significa adotar o engano para mandá-los para becos sem saída e prendê-los em nós, para que queimem tempo e tokens enquanto evitam alvos reais. Ao inflar o custo em 23 vezes, perguntamos ao atacante: ‘vale a pena?’. Enquanto isso, os agentes passam a operar de forma errática, o que os torna mais propensos a acionar alarmes, alertando os defensores sobre um problema e dando a eles mais tempo para responder.”
