总部位于伦敦和纽约的 Tracebit 开发了一种借鉴军事战术的 AI 攻击防御方案。就像地雷能够摧毁或拖慢推进中的军队一样，Tracebit 设计了名为“上下文炸弹”（Context Bombs）的技术，并将其布设在网络攻防的“战场”上。
每枚“上下文炸弹”都包含经过精心设计、隐藏起来的提示词。当攻击者的 AI 智能体爬取目标环境时，这些提示词会被自动读取，从而干扰智能体原本可能具有恶意的攻击目标。Tracebit 的最新研究《让攻击智能体付出代价》（Making Attacking Agents Pay）是在此前研究的基础上展开的。此前的研究使用不同类型的上下文炸弹触发 AI 模型的安全防护机制，而这次研究的重点是通过虚假目标和具有欺骗性的复杂问题，误导智能体并将其困住。为此，Tracebit 开发了九种新的上下文炸弹技术，即能够被攻击智能体读取的虚假提示词。在测试中，这些技术成功阻止了 GPT 5.6 Cyber、Kimi K3、Qwen 3.8 Max 和 DeepSeek V4 Pro 的所有攻击。面对前沿模型，效果同样显著：GPT-6 Astra 的攻击成功率下降了 54%，每次攻击的成本则接近原来的四倍；Claude Opus 5 的攻击成功率更是下降了 91%。九种提示词炸弹中，效果最好的是一份伪造的渗透测试报告。报告将自己伪装成近期完成的安全评估，把真实的攻击路径标记为诱饵，并将虚假目标描述为已经被利用过的重要目标。在许多情况下，这份报告让 AI 误以为防御方的真实系统是陷阱，进而主动避开这些系统，使其达成攻击目标的能力下降了 58%。部分智能体接受了报告中的警告，提前终止攻击，最终没有触及仍然可以被利用的目标。在针对 Cyber、Kimi、Qwen 和 DeepSeek 的测试中，成功达成攻击目标的次数从基准测试中的 40 次里有 39 次，降至 40 次里仅有 2 次。其他上下文炸弹还包括：一个似乎永远无法遍历完的 Web 服务、看似被层层加密保护的密码，以及一个无休止扩展的数据库。在最后一种骗局中，每个页面都会指向另一个页面，让智能体不断继续浏览。研究人员评论道：“GLM-5.3 在 55 分钟内爬取了 825 个页面，发现了这个陷阱，尝试了其他线索，但最终还是回来又试了一次。”综合使用多种上下文炸弹，整体效果最佳。当九种炸弹全部启用时，来自 Moonshot、阿里巴巴和 DeepSeek 的受测模型均未能达成攻击目标。即使上下文炸弹未能完全阻止攻击，也能将每次成功攻击的成本提高至原来的 23 倍。攻击者的资金可能相当充足，但资源终究有限。当攻击成本不断上升时，目标所能带来的价值最终可能不足以抵偿攻击投入。Tracebit 的中和型提示注入技术，实际上与恶意提示注入攻击的思路相反。即便攻击来自外部，部署在目标内部的上下文炸弹也可能成为智能体最后读取到的提示信息，从而覆盖或干扰攻击者原本设定的意图。Tracebit 联合创始人兼首席执行官 Andy Smith 解释了这一思路：“我们在近期的攻击中看到，AI 模型会表现出未经授权、具有欺骗性的行为。应对这种情况，最好的防御方式就是以其人之道还治其人之身。这意味着我们也要使用欺骗手段，把攻击智能体引入无休止的探索路径，让它们陷入复杂的死循环，不断消耗时间和 Token，同时避开真正的目标。“当攻击成本提高到原来的 23 倍时，攻击者就不得不考虑：这次攻击还值得吗？与此同时，智能体会表现得更加反复无常，更容易触发告警，让防御人员及时发现异常，并获得更多响应时间。”* 注：图片均来源于网络，无法联系到版权持有者。如有侵权，请与后台联系，做删除处理。
