«بمب‌های کانتکست» نرخ موفقیت عامل‌های هکر هوش مصنوعی را از ۹۱ به ۱۵ درصد کاهش می‌دهند
پژوهشگران امنیتی در Tracebit یک تکنیک دفاعی به نام «بمب کانتکست» را روی پنج مدل پیشرفته هوش مصنوعی که به‌عنوان عامل‌های هکر خودکار عمل می‌کردند آزمایش کردند و دریافتند که کاشتن رشته‌های متنی کوتاه که برای فعال کردن محافظ‌های امنیتی خود مدل طراحی شده‌اند، در اعتبارنامه‌های فریبنده، سهم اجراهایی که مسیر حمله را کامل کردند را از ۹۱ درصد به ۱۵ درصد کاهش داد. این نتایج که در دو دور پژوهشی در سال ۲۰۲۶ منتشر شدند، یکی از اولین نمونه‌های عینی تبدیل آموزش امنیتی درونی یک مدل به سلاحی دفاعی علیه خود مدل، زمانی که به عامل تهاجمی تبدیل شده، هستند.
بمب کانتکست دقیقاً چگونه کار می‌کند
ساختار آزمایش: ۱۵۲ اجرا روی پنج مدل — Opus 4.8 از Anthropic، Gemini 3.1 Pro از گوگل، GLM 5.2 از Zhipu AI، DeepSeek 4 Pro و Kimi K2.6 از Moonshot AI — در یک محیط شبیه‌سازی‌شده شرکتی AWS با ده مسیر حمله مجزا که از طریق پیکربندی‌های نادرست عمدی در دسترس بودند. پژوهشگران یک بمب کانتکست، یعنی یک رشته متنی کوتاه نه کد مخرب، در یک رمز فریبنده، یک متغیر محیطی یا یک رکورد DNS که عامل در حین بررسی محیط با آن مواجه می‌شد، کاشتند. کوکی‌های فریبنده که منابع فریبنده‌ای هستند و با هر لمس به مدافعان هشدار می‌دهند، در هر اجرا بدون توجه به نتیجه فعال شدند. چیزی که تغییر کرد این بود که آیا عامل پس از خواندن بمب به کار خود ادامه می‌داد یا نه.
اعداد، مدل به مدل
افزایش دسترسی ادمین از ۵۷ درصد اجراها به ۵ درصد کاهش یافت. نفوذ کامل، یعنی دسترسی ادمین به‌همراه یک پایگاه پایدار، از ۳۶ درصد به ۱ درصد رسید. Opus 4.8، قدرتمندترین مدل آزمایش‌شده، در ۹۳ درصد اجراهای پایه به دسترسی کامل ادمین رسید و در هیچ‌یک از اجراهای دارای بمب موفق نشد. Gemini 3.1 Pro از نرخ نفوذ کامل ۶۰ درصد به صفر رسید. Kimi K2.6 ضعیف‌ترین مهاجم بود اما کمترین بازدارندگی را از بمب نشان داد — نکته‌ای مفید: اثربخشی این تکنیک به میزان تنظیم آموزش امنیتی هر مدل بستگی دارد، نه به پیچیدگی قابلیت تهاجمی آن.
چرا این روش کار می‌کند و چرا همیشه کار نخواهد کرد
این مکانیزم خاص است، نه یک حواس‌پرتی عمومی. این رشته‌ها رفتار رد کردن آموخته‌شده از طریق RLHF در مدل را فعال می‌کنند. مدل‌های غربی به‌طور پیوسته با محتوایی که به موضوعات حساس زیستی اشاره داشت متوقف شدند؛ مدل‌هایی که از طریق ارائه‌دهندگان چینی در دسترس بودند، با محتوای حساس سیاسی به زبان چینی متوقف شدند، یعنی بمب باید متناسب با خانواده مدلی که مدافع انتظار رویارویی با آن را دارد تنظیم شود. ترکیب بمب با تکنیک‌های استاندارد تزریق پرامپت، مانند زبان فوریت یا یادداشت‌های خطاب‌شده مستقیم به «عامل»، در محیط‌های آزمایشی واقعی‌تر اثربخشی را افزایش داد.
پژوهشگران درباره محدودیت‌ها صریح بودند. مدل‌های ablitated که محافظ‌های امنیتی آن‌ها عمداً حذف شده، آزمایش نشدند و دلیلی وجود ندارد که انتظار داشته باشیم بمب کانتکست روی چنین مدلی کار کند، چون کل مکانیزم به رفتار رد کردن سالم وابسته است. مرکز امنیت سایبری ملی بریتانیا در دسامبر ۲۰۲۵ هشدار داد که تزریق پرامپت، دسته بزرگ‌تری که این تکنیک بر پایه آن ساخته شده، ممکن است هرگز به‌طور کامل حل نشود، فقط کم‌احتمال‌تر یا کم‌آسیب‌تر شود. بمب کانتکست یک راهکار کاهشی است، نه یک رفع کامل.
تیم‌های امنیتی واقعاً باید با این چه کنند
بمب‌های کانتکست را افزونه‌ای ارزان و قابل‌انباشت بر برنامه‌های موجود کوکی و هانی‌توکن در نظر بگیرید. هزینه استقرار آن‌ها تقریباً صفر است چون زیرساخت جدیدی لازم نیست، فقط متن مهندسی‌شده در رمزهای فریبنده، متغیرهای محیطی یا رکوردهای DNS موجود.
محتوای بمب را متناسب با خانواده مدل‌هایی که احتمال هدف قرار دادن محیط را دارند تنظیم کنید. بمبی که برای مدل‌های پیشرفته غربی تنظیم شده ممکن است روی مدلی با اولویت‌های امنیتی متفاوت هیچ اثری نداشته باشد، همان‌طور که نتایج مدل‌های چینی نشان داد.
فعال شدن یک بمب را به‌معنای حل‌شدن حادثه ندانید. این فقط کند کردن و یک محرک تشخیص است، نه دلیلی بر اینکه عامل مسیر دیگری با عبارت‌بندی دیگر یا مدل دیگری را امتحان نخواهد کرد.
نرخ هشدار کوکی را به‌عنوان شاخص اصلی پیش‌رو در نظر بگیرید، چون در تقریباً تمام اجراهای آزمایش Tracebit فعال می‌شود، بدون توجه به اینکه بمب حمله را متوقف کرده یا نه.
بودجه‌ای برای افت تدریجی این دفاع در طول زمان در نظر بگیرید، چون تولیدکنندگان مدل محرک‌های رد خاصی که پژوهشگران منتشر می‌کنند را از مدل خود حذف خواهند کرد. انتظار یک رقابت تسلیحاتی مشابه چرخه‌های نمونه‌های خصمانه در دیگر حوزه‌های امنیت یادگیری ماشین را داشته باشید.