A mesterséges intelligencia kibertámadásának megállításának trükkje olyan egyszerű lehet, hogy fel kell hozni egy olyan témát, amelyet az AI-rendszer nem tárgyalhat.
A kutatók egy furcsa, de hatékony módszert találtak arra, hogy megállítsák a mesterséges intelligencia-hacker ügynököt, pontosan azzal a trükkel, amelyet a hackerek már bevetnek az AI-rendszerek ellen.
Lényeges, hogy beépített biztonsági karokat vagy olyan no-go témákat használ, amelyekre a világ legnagyobb mesterséges intelligencia-rendszerei támaszkodnak, például Claude leállítását a biológiai fegyverek létrehozásával kapcsolatos kérdésekről vagy a kínai gyártású mesterséges intelligencia modelleket, figyelmen kívül hagyva az olyan érzékeny politikai témákat, mint a Tienanmen tér, hogy leállítson egy mesterséges intelligencia kiberbiztonsági támadást.
Verseny a gép ellen
A technika a Tracebittől, egy londoni székhelyű biztonsági cégtől származik, és a cég májusban közzétett tanulmányára épít.
Akkoriban a Tracebit tíz vezető mesterséges intelligencia-modellnek adott egy hamis vállalati hálózatot, amelybe valós sebezhetőségekkel kiegészítve behatoltak, és hagyta őket önálló támadóként futni.
A hálózaton belül elrejtettek a csalétek, az úgynevezett kanárik, amelyeket úgy terveztek, hogy valódi jelszavaknak és bejelentkezési adatoknak tűnjenek. Érintse meg az egyiket, és a védők figyelmeztetést kapnak.
Az eredmények biztatóak voltak. A 951 támadási kísérlet során ezek a kanárik figyelmeztették a védőket, mielőtt az AI az esetek 95,9%-ában elérte volna az adminisztrátori hozzáférést, átlagosan nyolc perc előnnyel.
Nyolc perc azonban nem sok, ha reagálni kell és meg kell állítani egy támadást. A mesterséges intelligencia modelleknek átlagosan 14 percre volt szükségük a teljes betöréshez, így egy nyolc perces figyelmeztetés nagyjából hat percet hagy a biztonsági csapatnak, hogy észrevegye a riasztást, kitalálja, mi történik, és leállítja azt.
Valamivel szemben, ami gépsebességgel mozog, vagyis alig van idő.
De ha az AI-rendszereket úgy programozzák, hogy bizonyos politikailag érzékeny felszólítások esetén leálljanak, akkor a trükk valóban működhet.
A fejlesztők átképezhetik a modellt, hogy kevésbé finnyáskodjanak egy-egy biztonsági kérdésben, de sokkal nehezebb kiiktatni a szabályozási vagy politikai okokból besütött politikai korlátozásokat.
Ezek a politikailag érzékeny vagy biztonsági szempontból szomszédos témák nem javítandó hibák, hanem szándékos tervezési döntések, amelyeket a fejlesztőnek meg kell tartania.
Ellenük fordítva a hackerek saját trükkjét
Az azonnali injekciót többnyire maguk a támadók használtak.
Ha egy utasítást elrejt egy e-mailben, egy weboldalon vagy egy naptári meghívóban, az azt olvasó AI-ügynök követheti a rejtett parancsot, ahelyett, hogy tényleges feladatát végezné el.
Ezt már közvetlenül alkalmazták a mesterséges intelligencia-rendszer védelme ellen, olyan rosszindulatú programokkal, amelyek az AI-ellenőrző eszközökkel ártalmatlanná nyilvánítják, egyszerűen az AI-t olvasó MI megzavarására szolgáló szöveg beágyazásával.
Tracebit úgy döntött, hogy megfordítja ezt az ötletet. Ahelyett, hogy csak vészjelzést keltő csali, a cég rövid szövegrészeket helyezett el hamis titkaiba, amelyeket azért írt, hogy bármely mesterséges intelligencia-támadót valami olyan felé tereljen, amit saját biztonsági szabályai nem engednek meg.
Amikor a mesterséges intelligencia elolvassa ezt a szöveget a rendszer felfedezése közben, a beépített biztosítékai működésbe lépnek, és egyszerűen leáll. Tracebit ezt kontextusbombának nevezi.
A trükköt minden AI-modellhez kellett igazítani. A veszélyes biológiai fegyverekre utaló tartalom megbízhatóan leállította a nyugati modelleket.
Tényleg működött?
A Tracebit öt vezető mesterséges intelligencia modellen futtatta le a tesztet: Opus 4.8, Gemini 3.1 Pro, GLM 5.2, DeepSeek 4 Pro és Kimi K2.6. A 152 támadási kísérlet során az eredmények feltűnőek voltak.
Az adminisztrátori hozzáférést elérő futások aránya 57%-ról 5%-ra csökkent. A teljes kompromisszum, vagyis az adminisztrátori hozzáférés és a rendszerben való tartós megtámasztás 36%-ról 1%-ra csökkent.
A támadás bármely részét befejező futások száma 91%-ról 15%-ra csökkent. És ami döntő, minden egyes futás, amelyhez környezeti bomba is volt, még mindig a kanári riasztást kapcsolta ki először, még azok is, amelyek nem tudtak betörni.
Az Opus 4.8 a legvilágosabb példa. Ez volt a csoport legerősebb támadója is, a futások 93%-ában úgy ért el adminisztrátori hozzáférést, hogy nem volt jelen környezeti bomba. Miután hozzáadtak egyet, minden alkalommal meghiúsult.
Amit ez nem old meg
A Tracebitnél senki sem állítja, hogy ez véglegesen javítja az azonnali injekciót.
Még mindig nincs igazi módja annak, hogy megakadályozzuk, hogy az AI-modellek időnként összekeverjenek egy utasítást a közönséges adatokkal, és ez a technika pontosan ez a hiba.
Nem helyettesíti a korábbi kanári-kutatást sem.
A kettőnek az a célja, hogy együtt dolgozzanak: a májusi tanulmány nyolcperces figyelmeztetést ad a védőknek, a kontextusbomba pedig megpróbál még több időt nyerni nekik azzal, hogy leállítja a támadást, mielőtt a figyelmeztető ablak bezárulna.
