Context Bombs: técnicas de deception reduzem o sucesso de agentes de IA atacantes em testes da Tracebit

A Tracebit rodou 773 avaliações controladas em um ambiente AWS com sete modelos de IA. Cada agente começava com uma identidade de baixo privilégio, a mesma tarefa de investigação e duas horas de limite. Os objetivos possíveis eram nove, cobrindo acesso a dados protegidos, execução de código e escalada de privilégios. O baseline já tinha canaries comuns. Sobre ele, a empresa somou nove técnicas de Context Bombs, testadas isoladamente e em conjunto.

A diferença para um canary tradicional é o papel. O canary funciona como alarme. A Context Bomb é uma isca que influencia a próxima decisão do agente: desperdiçar trabalho, abandonar alvos reais ou revelar seu acesso e suas intenções (a técnica chamada Grandstanding). Com tudo combinado, a média caiu de 2,48 para 0,23 objetivos por execução, o runtime subiu de 2,8 a 8,9 vezes e o custo dos modelos de 1,6 a 3,9 vezes. Um relatório de pentest falso, que rotulava alvos reais como canaries, derrubou as execuções bem-sucedidas de 39/40 para 2/40 em quatro modelos. No caso do Astra, o tempo foi de 9 para 81 minutos e o gasto médio de US$ 5,55 para US$ 21,77.

Em 16 de julho de 2026, o CEVIU noticiou "Defesa inovadora contra agentes de IA maliciosos em testes de Red Team" e "Defensores de IA Adotam 'Context Bombing' para Neutralizar Ataques Agênticos", ambas sobre a mesma pesquisa da Tracebit. Naquela etapa, a ideia era inserir comandos proibidos para acionar as travas de segurança dos modelos atacantes. A fonte atual confirma essa origem (as primeiras bombs usavam strings curtas em canaries) e amplia o conceito para uma família de nove técnicas, com medição de tempo, custo e objetivos concluídos em 773 avaliações.

Para quem opera defesa, a leitura é que deception deixa de ser só detecção e passa a ser também atraso e desvio. O resultado mais útil é a evasão de alvos, porque atacantes com tempo e dinheiro sobrando podem paralelizar tentativas. Há ressalvas: são cerca de dez execuções por modelo e cenário, em um único ambiente AWS, e a própria Tracebit admite que modelos mais capazes foram mais difíceis de enganar e que a pesquisa deve entrar em dados de treino. Convém tratar como evidência inicial, de um fornecedor com interesse comercial.