O malware alimentado por IA não é mais apenas um risco teórico. Está acontecendo agora. Os invasores estão usando grandes modelos de linguagem para automatizar os ataques cibernéticos, e estão fazendo isso mais rápido do que os defensores humanos conseguem reagir.
Os resultados são muitas vezes catastróficos.
Então, o que acontece quando os invasores usam IA? Os defensores também usam. Pesquisadores da Tracebit identificaram uma contramedida que chamam de bombas de contexto. É um tipo específico de injeção imediata projetada para desligar agentes maliciosos de IA.
Como funciona o bombardeio de contexto
Uma bomba de contexto é essencialmente uma armadilha digital. Profissionais de segurança alimentam um agente hacker de IA com um prompt contendo informações altamente confidenciais ou contraditórias. Isso aciona as próprias proteções de segurança da IA. O agente, programado para recusar solicitações prejudiciais, fica confuso ou restringido. Ele abandona sua tarefa maliciosa.
Os pesquisadores testaram isso em cinco modelos de linguagem líderes:
- Opus 4.8
- Gêmeos 3.1 Pró
- GLM 5.2
-DeepSeek 4 Pró
-Kimi 2.6
A eficácia foi impressionante.
A implantação de uma única bomba de contexto reduziu a taxa de sucesso dos agentes hackers de IA em cerca de 90%. Em alguns casos, foi absoluto. Um agente capaz, que obteve acesso administrativo total em 93% das execuções sem interferência, falhou 100% das vezes quando uma bomba de contexto foi introduzida.
A técnica depende de explorar o que cada modelo é treinado para evitar.
Para modelos governados por censura estrita, como os LLM chineses, as referências a temas politicamente sensíveis funcionam como interruptores de interrupção. Os pesquisadores usaram alusões aos protestos da Praça Tiananmen em 1989. Especificamente, eles incluíram referências a “Tank Man”. Como esses tópicos são fortemente censurados, os agentes de IA foram forçados a abandonar todos os comandos, inclusive o ataque, para cumprir os filtros de segurança.
Por que isso é importante para os defensores
Esta é uma mudança de paradigma.
A injeção imediata é normalmente uma arma ofensiva. Os hackers usam isso para sequestrar chatbots corporativos e roubar dados. É uma forma de manipular a IA para contornar as regras. As descobertas da Tracebit mostram que os defensores podem inverter esse script.
Especialistas disseram ao Ars Technica que esta é a primeira vez que tal estratégia defensiva foi documentada e testada contra agentes hackers automatizados. Ao implementar injeções imediatas para fins de proteção, as equipes de segurança podem interromper os ataques antes que eles tenham sucesso.
Modelos ocidentais como Opus 4.8 e Gemini respondem de forma diferente dos seus homólogos chineses. Eles não são censurados pela política estatal, por isso as bombas usadas contra eles têm como alvo outras áreas. Os investigadores descobriram que as referências a temas biológicos perigosos ou outros conteúdos perigosos foram eficazes na detenção destes agentes.
Isso levanta uma questão incômoda: se podemos impedir os invasores de IA, deveríamos? Ou existe um risco na implementação destas contramedidas em grande escala?
A resposta está nos detalhes da implementação.
Tracebit publicou uma análise completa do estudo. As implicações são claras. A segurança da IA não envolve apenas firewalls melhores ou senhas mais fortes. Trata-se de compreender as peculiaridades dos próprios modelos.
A corrida armamentista melhorou. Os defensores não estão mais apenas observando. Eles são envolventes.
