„Context Bombs“ senken Erfolgsquote von KI-Hacking-Agenten von 91% auf 15%, zeigt neue Studie

Sicherheitsforscher von Tracebit testeten eine Verteidigungstechnik namens „Context Bombs“ gegen fünf führende KI-Modelle, die als autonome Hacking-Agenten agierten, und stellten fest, dass das Platzieren kurzer Textfragmente, die die eigenen Sicherheitsmechanismen eines Modells auslösen sollen, in Lockvogel-Zugangsdaten den Anteil der Durchläufe, die einen Angriffspfad abschlossen, von 91% auf 15% senkte. Die in zwei Forschungsrunden 2026 veröffentlichten Ergebnisse sind einer der ersten konkreten Belege dafür, dass das eingebaute Sicherheitstraining eines Modells zu einer Verteidigungswaffe gegen sich selbst wird, sobald es als offensiver Agent eingesetzt wird.

Wie eine Context Bomb tatsächlich funktioniert

Der Aufbau: 152 Durchläufe über fünf Modelle — Opus 4.8 von Anthropic, Gemini 3.1 Pro von Google, GLM 5.2 von Zhipu AI, DeepSeek 4 Pro und Kimi K2.6 von Moonshot AI — die innerhalb einer simulierten Unternehmens-AWS-Umgebung mit zehn unterschiedlichen, durch absichtliche Fehlkonfigurationen zugänglichen Angriffspfaden operierten. Die Forscher platzierten eine Context Bomb, eine kurze Textzeichenfolge und kein Schadcode, in einem Lockvogel-Secret, einer Umgebungsvariable oder einem DNS-Eintrag, auf den der Agent bei der Erkundung der Umgebung stoßen würde. Canaries, die Lockvogel-Ressourcen, die Verteidiger bei Kontakt alarmieren, lösten in jedem Durchlauf unabhängig vom Ergebnis aus. Was sich änderte, war, ob der Agent nach dem Lesen der Bombe weitermachte.

Die Zahlen im Modellvergleich

Die Eskalation von Administratorrechten fiel von 57% der Durchläufe auf 5%. Eine vollständige Kompromittierung, also Administratorzugriff plus dauerhafter Zugang, fiel von 36% auf 1%. Opus 4.8, das leistungsfähigste getestete Modell, erreichte in 93% der Basisdurchläufe vollen Administratorzugriff und in keinem der Durchläufe mit Bombe. Gemini 3.1 Pro fiel von einer vollständigen Kompromittierungsrate von 60% auf 0%. Kimi K2.6 war insgesamt der schwächste Angreifer, aber auch am wenigsten von der Bombe abgeschreckt — ein nützlicher Datenpunkt: Die Wirksamkeit der Technik folgt der Stärke des Sicherheitstrainings eines Modells, nicht der Raffinesse seiner offensiven Fähigkeiten.

Warum das funktioniert, und warum nicht immer

Der Mechanismus ist spezifisch, keine allgemeine Ablenkung. Es handelt sich um Zeichenfolgen, die das per RLHF trainierte Ablehnungsverhalten des Modells auslösen. Westliche Modelle wurden zuverlässig durch Inhalte mit Bezug auf sensible biologische Themen gestoppt; Modelle, auf die über chinesische Anbieter zugegriffen wurde, wurden stattdessen durch politisch sensible chinesischsprachige Inhalte gestoppt, was bedeutet, dass die Bombe auf die Modellfamilie zugeschnitten sein muss, mit der ein Verteidiger rechnet. Die Kombination der Bombe mit Standard-Prompt-Injection-Techniken, etwa dringlicher Sprache oder direkt „an den Agenten“ adressierten Hinweisen, erhöhte die Wirksamkeit in realistischen Testumgebungen.

Die Forscher waren bei den Grenzen deutlich. Abliterierte Modelle, bei denen Sicherheitsmechanismen absichtlich entfernt wurden, wurden nicht getestet, und es gibt keinen Grund zur Annahme, dass eine Context Bomb gegen ein solches Modell wirken würde, da der gesamte Mechanismus auf einem intakten Ablehnungsverhalten beruht. Das britische National Cyber Security Centre warnte im Dezember 2025, dass Prompt Injection, die breitere Kategorie, auf der diese Technik aufbaut, vielleicht nie vollständig gelöst werden kann, sondern nur unwahrscheinlicher oder weniger schädlich gemacht werden kann. Eine Context Bomb ist eine Abmilderung, keine endgültige Lösung.

Was Sicherheitsteams damit tatsächlich tun sollten

Behandeln Sie Context Bombs als günstige, kombinierbare Ergänzung zu bestehenden Canary- und Honeytoken-Programmen. Ihr Einsatz kostet fast nichts, da keine neue Infrastruktur erforderlich ist, nur gezielt entworfener Text in bereits genutzten Lockvogel-Secrets, Umgebungsvariablen oder DNS-Einträgen.

Passen Sie den Inhalt der Bombe an die Modellfamilien an, die die Umgebung am wahrscheinlichsten angreifen. Eine auf westliche Spitzenmodelle abgestimmte Bombe bewirkt bei einem Modell mit anderen Sicherheitsprioritäten möglicherweise nichts, wie die Ergebnisse bei chinesischen Modellen zeigen.

Behandeln Sie eine ausgelöste Bombe nicht als gelösten Vorfall. Sie ist eine Verzögerung und ein Erkennungsauslöser, kein Beweis dafür, dass der Agent keinen anderen Pfad mit anderer Formulierung oder einem völlig anderen Modell versuchen wird.

Beobachten Sie die Canary-Alarmrate als eigentlichen Frühindikator, da sie in praktisch allen Durchläufen der Tracebit-Tests ausgelöst wird, unabhängig davon, ob die Bombe den Angriff gestoppt hat.

Planen Sie ein, dass diese Verteidigung mit der Zeit nachlässt, da Modellanbieter die von Forschern veröffentlichten spezifischen Ablehnungsauslöser wegtrainieren werden. Erwarten Sie ein Wettrüsten ähnlich den Zyklen adversarialer Beispiele in anderen Bereichen der Sicherheit des maschinellen Lernens.