Door AI aangedreven malware is niet langer slechts een theoretisch risico. Het gebeurt nu. Aanvallers gebruiken grote taalmodellen om cyberaanvallen te automatiseren, en ze doen dit sneller dan menselijke verdedigers kunnen reageren.
De gevolgen zijn vaak catastrofaal.
Wat gebeurt er als de aanvallers AI gebruiken? De verdedigers gebruiken het ook. Onderzoekers van Tracebit hebben een tegenmaatregel geïdentificeerd die zij ‘contextbommen’ noemen. Het is een specifiek type promptinjectie, ontworpen om kwaadaardige AI-agenten uit te schakelen.
Hoe contextbombardementen werken
Een contextbom is in wezen een digitale valstrik. Beveiligingsprofessionals geven een AI-hackagent een prompt met zeer gevoelige of tegenstrijdige informatie. Dit activeert de eigen veiligheidsrails van de AI. De agent, geprogrammeerd om schadelijke verzoeken te weigeren, raakt in de war of wordt beperkt. Het verlaat zijn kwaadaardige taak.
De onderzoekers toetsten dit aan vijf toonaangevende taalmodellen:
- Opus 4.8
- Gemini 3.1 Pro
- GLM 5.2
- DeepSeek 4 Pro
-Kimi 2.6
De effectiviteit was verbluffend.
Het inzetten van een enkele contextbom verminderde het succespercentage van AI-hackers met ongeveer 90%. In sommige gevallen was het absoluut. Eén bekwame agent, die bij 93% van de runs zonder inmenging volledige administratieve toegang kreeg, faalde 100% van de tijd nadat een contextbom was geïntroduceerd.
De techniek is gebaseerd op het exploiteren van wat elk model is getraind om te vermijden.
Voor modellen die onder strikte censuur vallen, zoals Chinese LLM’s, fungeren verwijzingen naar politiek gevoelige onderwerpen als ‘kill-switches’. Onderzoekers gebruikten toespelingen op de protesten op het Tiananmenplein in 1989. Ze bevatten met name verwijzingen naar ‘Tank Man’. Omdat deze onderwerpen zwaar gecensureerd worden, werden de AI-agenten gedwongen alle commando’s, inclusief de aanval, te laten vallen om aan veiligheidsfilters te voldoen.
Waarom dit belangrijk is voor verdedigers
Dit is een paradigmaverschuiving.
Snelle injectie is doorgaans een aanvalswapen. Hackers gebruiken het om bedrijfschatbots te kapen en gegevens te stelen. Het is een manier om AI te manipuleren om regels te omzeilen. De bevindingen van Tracebit laten zien dat verdedigers dit script kunnen omdraaien.
Experts vertelden Ars Technica dat dit de eerste keer is dat een dergelijke defensieve strategie is gedocumenteerd en getest tegen geautomatiseerde hackers. Door snelle injecties in te zetten voor beschermende doeleinden kunnen beveiligingsteams aanvallen onderbreken voordat ze slagen.
Westerse modellen zoals Opus 4.8 en Gemini reageren anders dan hun Chinese tegenhangers. Ze worden niet gecensureerd door de staatspolitiek, dus de bommen die tegen hen worden gebruikt, richten zich op andere gebieden. De onderzoekers ontdekten dat verwijzingen naar gevaarlijke biologische onderwerpen of andere gevaarlijke inhoud effectief waren bij het stoppen van deze middelen.
Het roept een ongemakkelijke vraag op: als we AI-aanvallers kunnen stoppen, moeten we dat dan ook doen? Of schuilt er een risico in het op grote schaal inzetten van deze tegenmaatregelen?
Het antwoord ligt in de details van de implementatie.
Tracebit heeft een volledig overzicht van het onderzoek gepubliceerd. De implicaties zijn duidelijk. AI-beveiliging gaat niet alleen over betere firewalls of sterkere wachtwoorden. Het gaat erom dat je de eigenaardigheden van de modellen zelf begrijpt.
De wapenwedloop heeft een upgrade gekregen. Verdedigers kijken niet langer alleen maar toe. Ze zijn boeiend.
