Il malware basato sull’intelligenza artificiale non è più solo un rischio teorico. Sta succedendo adesso. Gli aggressori utilizzano modelli linguistici di grandi dimensioni per automatizzare gli attacchi informatici e lo fanno più velocemente di quanto i difensori umani possano reagire.
I risultati sono spesso catastrofici.
Quindi, cosa succede quando gli aggressori usano l’intelligenza artificiale? Lo usano anche i difensori. I ricercatori di Tracebit hanno identificato una contromisura che chiamano bombe contestuali. Si tratta di un tipo specifico di pronta iniezione progettata per arrestare gli agenti IA dannosi.
Come funziona il context bombing
Una bomba contestuale è essenzialmente una trappola digitale. I professionisti della sicurezza forniscono a un agente di hacking AI un messaggio contenente informazioni altamente sensibili o contraddittorie. Ciò attiva i guardrail di sicurezza dell’IA. L’agente, programmato per rifiutare richieste dannose, viene confuso o limitato. Abbandona il suo compito dannoso.
I ricercatori hanno testato questo rispetto a cinque principali modelli linguistici:
- Opera 4.8
-Gemini 3.1 Pro - GLM 5.2
-DeepSeek 4 Pro
-Kimi 2.6
L’efficacia era sconcertante.
L’implementazione di una singola bomba contestuale ha ridotto il tasso di successo degli agenti di hacking dell’IA di circa il 90%. In alcuni casi, era assoluto. Un agente capace, che ha ottenuto pieno accesso amministrativo nel 93% dei casi senza interferenze, ha fallito nel 100% dei casi una volta introdotta una bomba contestuale.
La tecnica si basa sullo sfruttamento di ciò che ciascun modello è addestrato a evitare.
Per i modelli governati da una rigorosa censura, come i LLM cinesi, i riferimenti ad argomenti politicamente sensibili fungono da kill switch. I ricercatori hanno utilizzato allusioni alle proteste di piazza Tiananmen del 1989. Nello specifico, includevano riferimenti a “Tank Man”. Poiché questi argomenti sono pesantemente censurati, gli agenti dell’intelligenza artificiale sono stati costretti a rinunciare a tutti i comandi, compreso l’attacco, per conformarsi ai filtri di sicurezza.
Perché questo è importante per i difensori
Questo è un cambiamento di paradigma.
L’iniezione rapida è tipicamente un’arma offensiva. Gli hacker lo usano per dirottare i chatbot aziendali e rubare dati. È un modo per manipolare l’intelligenza artificiale per aggirare le regole. I risultati di Tracebit mostrano che i difensori possono ribaltare questo copione.
Gli esperti hanno dichiarato ad Ars Technica che questa è la prima volta che una strategia difensiva di questo tipo viene documentata e testata contro agenti di hacking automatizzati. Implementando iniezioni tempestive a fini protettivi, i team di sicurezza possono interrompere gli attacchi prima che abbiano successo.
I modelli occidentali come Opus 4.8 e Gemini rispondono in modo diverso rispetto alle loro controparti cinesi. Non sono censurati dalla politica statale, quindi le bombe usate contro di loro colpiscono altre aree. I ricercatori hanno scoperto che i riferimenti ad argomenti biologici pericolosi o ad altri contenuti pericolosi erano efficaci nel fermare questi agenti.
Ciò solleva una domanda scomoda: se possiamo fermare gli aggressori dell’IA, dovremmo farlo? Oppure esiste un rischio nell’implementazione di queste contromisure su larga scala?
La risposta sta nei dettagli dell’implementazione.
Tracebit ha pubblicato un’analisi completa dello studio. Le implicazioni sono chiare. La sicurezza dell’intelligenza artificiale non significa solo firewall migliori o password più forti. Si tratta di comprendere le peculiarità dei modelli stessi.
La corsa agli armamenti è migliorata. I difensori non si limitano più a guardare. Sono coinvolgenti.
