In het kort

• Tracebit gebruikt ‘contextbommen’ om AI-veiligheidsbeperkingen te activeren en cyberaanvallen te stoppen.
• Deze techniek laat het percentage AI-inbreuken kelderen van 57 procent naar 5 procent.
• Door deze afschrikmiddelen te combineren met traditionele canaries krijgen menselijke beveiligers cruciale reactietijd.

Een nieuwe verdedigingsstrategie tegen AI-gedreven cyberaanvallen zou wel eens kunnen liggen in het benutten van de veiligheidsbeperkingen die deze modellen juist regelen. Door ‘verboden onderwerpen‘ in een netwerk te introduceren, kunnen beveiligingsexperts de interne beveiligingsmechanismen van een AI activeren, waardoor de autonome aanvaller gedwongen wordt om onmiddellijk te stoppen.

Grenzen van traditionele ‘canaries’

Deze methode is ontwikkeld door het in Londen gevestigde beveiligingsbedrijf Tracebit, naar aanleiding van een eerder onderzoek in mei. In dat eerste onderzoek gaven onderzoekers tien toonaangevende AI-modellen toegang tot een gesimuleerd bedrijfsnetwerk met echte beveiligingslekken. Om inbraken te detecteren, gebruikten ze ‘canaries’ – nep-inloggegevens die beheerders waarschuwen zodra er toegang tot wordt verkregen. Hoewel deze lokvogels in 95,9 procent van de 951 pogingen succesvol waren in het geven van waarschuwingen, was de gewonnen tijd minimaal. Gemiddeld had de AI 14 minuten nodig om volledig door te dringen, waardoor menselijke verdedigers slechts ongeveer zes minuten overhielden om te reageren – een tijdsbestek dat vaak onvoldoende is bij bedreigingen die met machinesnelheid plaatsvinden.

Engineering Context Bombs

Om dit tijdsvenster te vergroten, maakte Tracebit gebruik van het concept van prompt-injectie, een techniek die hackers vaak gebruiken om het gedrag van AI te kapen. Door verborgen commando’s in gegevens te verwerken, kunnen aanvallers een AI vaak misleiden zodat die zijn oorspronkelijke taak negeert. Tracebit keerde dit proces om door ‘contextbommen’ te maken – stukjes tekst verborgen in nepgeheimen die de AI naar verboden onderwerpen sturen. Omdat deze beperkingen, zoals regels tegen het bespreken van biologische wapens of gevoelige politieke gebeurtenissen, om regelgevingsredenen diep verankerd zijn, zijn ze voor ontwikkelaars veel moeilijker te verwijderen dan simpele beveiligingsfilters.

Impact kwantificeren

De effectiviteit van deze contextbommen werd getest op vijf grote modellen, waaronder Gemini 3.1 Pro, DeepSeek 4 Pro en Opus 4.8. De resultaten lieten een drastische daling zien in het aantal succesvolle inbreuken: het percentage AI-agenten dat beheerdersrechten wist te verkrijgen, kelderde van 57 procent naar slechts 5 procent. Het totale aantal systeemcompromitteringen daalde van 36 procent naar slechts 1 procent, en het algehele succespercentage voor elk onderdeel van een aanval daalde van 91 procent naar 15 procent. Opvallend was dat Opus 4.8, dat zonder deze obstakels de meest bekwame aanvaller was, bij elke poging faalde zodra de contextbommen werden ingezet.

Gelaagde verdedigingsstrategie

Hoewel veelbelovend, is deze aanpak geen volledige oplossing voor prompt-injectie, omdat hij steunt op dezelfde kwetsbaarheid waarbij AI gegevens verwart met instructies. Tracebit ziet dit juist als een aanvullende verdedigingslaag. Terwijl canaries een vroegtijdig waarschuwingssysteem bieden, fungeren contextbommen als een primaire afschrikking die een aanval volledig kan stoppen, waardoor beveiligingsteams de cruciale tijd krijgen die nodig is om hun systemen te beveiligen.

Schrijf je hieronder in voor onze GRATIS nieuwsbrief