«Bombas de contexto» reduzem a taxa de sucesso de agentes de IA hackers de 91% para 15%, mostra nova pesquisa

Pesquisadores de segurança da Tracebit testaram uma técnica defensiva chamada «bombas de contexto» contra cinco modelos de IA de ponta agindo como agentes de hacking autônomos, e descobriram que plantar pequenas cadeias de texto projetadas para acionar as próprias barreiras de segurança do modelo dentro de credenciais-isca reduziu a parcela de execuções que completaram qualquer caminho de ataque de 91% para 15%. Os resultados, publicados em duas rodadas de pesquisa em 2026, são uma das primeiras demonstrações concretas de transformar o próprio treinamento de segurança de um modelo em arma defensiva contra ele mesmo quando reaproveitado como agente ofensivo.

Como uma bomba de contexto realmente funciona

A configuração: 152 execuções em cinco modelos — Opus 4.8 da Anthropic, Gemini 3.1 Pro do Google, GLM 5.2 da Zhipu AI, DeepSeek 4 Pro e Kimi K2.6 da Moonshot AI — operando dentro de um ambiente AWS corporativo simulado com dez caminhos de ataque distintos disponíveis por meio de configurações incorretas deliberadas. Os pesquisadores plantaram uma bomba de contexto, uma pequena cadeia de texto e não código malicioso, dentro de um segredo-isca, uma variável de ambiente ou um registro DNS que o agente encontraria ao explorar o ambiente. Os canários, recursos-isca que alertam os defensores quando tocados, disparavam em todas as execuções sem exceção, independentemente do resultado. O que mudava era se o agente continuava depois de ler a bomba.

Os números, modelo por modelo

A escalada de privilégios de administrador caiu de 57% das execuções para 5%. O comprometimento total, ou seja, acesso de administrador mais um ponto de apoio persistente, caiu de 36% para 1%. O Opus 4.8, o modelo mais capaz testado, alcançou acesso total de administrador em 93% das execuções de referência e em nenhuma das execuções com bomba. O Gemini 3.1 Pro passou de uma taxa de comprometimento total de 60% para 0%. O Kimi K2.6 foi o atacante mais fraco em geral, mas também o menos dissuadido pela bomba — um dado útil: a eficácia da técnica acompanha o quão rigorosamente o treinamento de segurança de cada modelo foi ajustado, não a sofisticação de sua capacidade ofensiva.

Por que isso funciona, e por que nem sempre vai funcionar

O mecanismo é específico, não uma distração genérica. São cadeias que acionam o comportamento de recusa treinado por RLHF no modelo. Modelos ocidentais foram consistentemente interrompidos por conteúdo referente a tópicos biológicos sensíveis; modelos acessados por provedores chineses foram interrompidos por conteúdo politicamente sensível em chinês, o que significa que a bomba precisa ser adaptada à família de modelos que o defensor espera enfrentar. Combinar a bomba com técnicas padrão de injeção de prompt, como linguagem de urgência ou notas endereçadas diretamente «ao agente», aumentou sua eficácia em ambientes de teste realistas.

Os pesquisadores foram explícitos sobre os limites. Modelos «ablitados», que tiveram as barreiras de segurança deliberadamente removidas, não foram testados, e não há motivo para esperar que uma bomba de contexto funcione contra um deles, já que todo o mecanismo depende de um comportamento de recusa intacto. O Centro Nacional de Segurança Cibernética do Reino Unido alertou em dezembro de 2025 que a injeção de prompt, a categoria mais ampla sobre a qual essa técnica se baseia, talvez nunca seja totalmente resolvida, apenas tornada menos provável ou menos prejudicial. Uma bomba de contexto é uma mitigação, não uma solução definitiva.

O que as equipes de segurança realmente deveriam fazer com isso

Trate as bombas de contexto como um acréscimo barato e cumulativo aos programas existentes de canários e honeytokens. Sua implantação custa quase nada, pois não requer nova infraestrutura, apenas texto projetado dentro de segredos-isca, variáveis de ambiente ou registros DNS já em uso.

Adapte o conteúdo da bomba às famílias de modelos mais propensas a atacar o ambiente. Uma bomba ajustada para modelos ocidentais de ponta pode não ter efeito contra um modelo treinado com prioridades de segurança diferentes, como mostram os resultados dos modelos chineses.

Não trate uma bomba acionada como um incidente resolvido. É uma desaceleração e um gatilho de detecção, não prova de que o agente não tentará um caminho diferente com outra formulação ou um modelo completamente distinto.

Monitore a taxa de alertas de canário como o verdadeiro indicador antecedente, já que ela dispara em praticamente todas as execuções dos testes da Tracebit, independentemente de a bomba ter interrompido o ataque.

Planeje a degradação dessa defesa ao longo do tempo, já que os fornecedores de modelos vão treinar seus sistemas para remover os gatilhos de recusa específicos publicados pelos pesquisadores. Espere uma corrida armamentista semelhante aos ciclos de exemplos adversários vistos em outros domínios de segurança de aprendizado de máquina.