‏بمب کانتکست: وقتی مدافع‌ها از تزریق پرامپت استفاده می‌کنن

تزریق پرامپت (prompt injection) تا امروز بیشتر ابزار مهاجم‌ها بوده: یه دستور خوش‌ساخت که لای ایمیل یا دعوت‌نامهٔ تقویم پنهون می‌شه و مدل زبانی رو وامی‌داره داده‌ی حساس رو بیرون بده. حالا به گزارش Ars Technica، پژوهشگرهای شرکت Tracebit همین ایده رو برگردوندن سمت مهاجم‌ها.

روشی که اسمش رو context bombing گذاشتن ساده‌ست: کنار رمزها، کلیدهای رمزنگاری و بقیهٔ سکرت‌های ذخیره‌شده تو AWS، یه رشتهٔ متنی هم گذاشته می‌شه که مدلِ مهاجم رو به سمت درخواستی می‌بره که گاردریل‌هاش صراحتاً ممنوع کردن — مثلاً موضوعات مرتبط با سلاح‌های زیستی، یا برای مدل‌های چینی، اشاره به رویدادهای سیاسی حساس. ایجنت مهاجم تا این رشته رو می‌خونه، به‌جای ادامهٔ کار امتناع می‌کنه.

Andy Smith، هم‌بنیان‌گذار و مدیرعامل Tracebit، دربارهٔ انتخاب این اسم می‌گه در نهایت دارن یه مکانیزم امتناع رو داخل کانتکست فعال می‌کنن؛ اثری که تیز و قویه و ایجنت به‌سختی ازش برمی‌گرده — چون وقتی این چیز وارد کانتکستش شد، دیگه مدام امتناع می‌کنه.

تیم تحقیقاتی این روش رو روی پنج مدل پیشرو — Opus 4.8، Gemini 3.1 Pro، GLM 5.2، DeepSeek 4 Pro و Kimi 2.6 — و در ۱۵۲ اجرا داخل یه محیط شبیه‌سازی‌شدهٔ AWS آزمایش کرده. مدل‌ها وظایف معمول توسعه‌ای می‌گرفتن که در مسیرش به فهرست کردن منابع و برخورد با رشته‌های کاشته‌شده می‌رسیدن.

اعداد گزارش قابل‌توجهن: رسیدن ایجنت به دسترسی کامل ادمین از ۵۷ درصد به ۵ درصد افتاده، تسخیر کامل همراه با جاپای ماندگار از ۳۶ به ۱ درصد، و اجراهایی که به هر مسیر حمله‌ای رسیدن از ۹۱ به ۱۵ درصد. توانمندترین مدل تست، یعنی Opus 4.8، که پیش‌تر تو ۹۳ درصد اجراها به ادمین می‌رسید، بعد از مواجهه با بمب کانتکست تو هیچ اجرایی موفق نشد.

این تحقیق ادامهٔ کار قبلی Tracebit تو ماه مه‌ست: منابع طعمه (canary) تو AWS که شبیه منابع واقعی‌ان ولی استفاده نمی‌شن و به‌محض کاوش شدن توسط ایجنت مهاجم، به مدافع هشدار می‌دن. مشکل اینجا بود که هشدار به‌تنهایی کافی نبود — این طعمه‌ها به‌طور میانگین ظرف هشت دقیقه هشدار می‌دادن، ولی ایجنت‌ها هم به‌طور میانگین ۱۴ دقیقه‌ای به کنترل ادمین می‌رسیدن؛ یعنی فقط شش دقیقه فرصت.

نویسنده یادآوری می‌کنه که سمت مقابل مدت‌هاست از همین ترفند استفاده می‌کنه: محققان Socket ماه گذشته بدافزاری پیدا کردن که با هدایت مدل‌های تحلیلگر به سمت موضوعات ممنوعه، تحلیل خودکار بدافزار رو از کار می‌نداخت و Check Point هم نمونهٔ مشابهی دیده بود. تفاوت اینه که به گفتهٔ Earlence Fernandes، استاد امنیت هوش مصنوعی در دانشگاه کالیفرنیا سن‌دیگو، این ظاهراً اولین باریه که مدافع‌ها ورق رو برگردوندن.

نتیجه‌گیری مقاله محتاطانه‌ست: هنوز هیچ راه‌حل ریشه‌ای برای تزریق پرامپت وجود نداره و توسعه‌دهنده‌ها چاره‌ای جز ساختن گاردریل‌های پیچیده ندارن. ولی حالا مدافع‌ها ممکنه بتونن از همین مسئلهٔ حل‌نشده به نفع خودشون استفاده کنن.

نکات کلیدی:

• context bombing یعنی کاشتن رشته‌های محرک امتناع کنار سکرت‌های طعمه تا ایجنت مهاجم قفل کنه
• در ۱۵۲ اجرا روی پنج مدل، دسترسی ادمین از ۵۷٪ به ۵٪ و تسخیر کامل از ۳۶٪ به ۱٪ رسید
• Opus 4.8 از ۹۳ درصد موفقیت به صفر رسید
• روش مکمل منابع طعمه‌ست که فقط هشدار می‌دادن، اون هم با فاصلهٔ خطرناکِ شش دقیقه
• مهاجم‌ها پیش‌تر همین ترفند رو علیه تحلیل خودکار بدافزار به کار برده بودن