Az MI-kibertámadás megállításának trükkje olykor egyszerűen az lehet, ha olyan témát vet fel, amelyről a rendszernek tilos beszélnie.
Kutatók különös, de hatékony módszert találtak arra, hogy egy MI-alapú támadóügynököt azonnal megállítsanak: ugyanazt a trükköt vetik be, amelyet a hekkerek maguk is a mesterségesintelligencia-rendszerek ellen használnak.
HIRDETÉS
HIRDETÉS
Lényeges eleme, hogy a világ nagy MI-rendszereibe beépített biztonsági korlátokat, tiltott témaköröket használja ki – például azt, hogy a Claude leállítja a biológiai fegyverek készítésével kapcsolatos kérdéseket, vagy hogy a kínai fejlesztésű modellek figyelmen kívül hagyják az olyan érzékeny politikai ügyeket, mint a Tienanmen tér –, és ezekkel állítja le a kibertámadást indító MI-t.
Versenyfutás a géppel
A módszert a londoni székhelyű Tracebit biztonsági cég dolgozta ki, a vállalat májusban közzétett tanulmányára építve.
Akkor a Tracebit tíz vezető MI-modellnek adott egy hamis vállalati hálózatot, valódi sebezhetőségekkel, hogy törjenek be oda, és szabadjára engedte őket autonóm támadóként.
A hálózatban csaliként úgynevezett „kanárik” voltak elrejtve, amelyek valódi jelszavaknak és belépési adatoknak látszottak. Ha egyhez hozzányúltak, a védelmi csapat azonnal riasztást kapott.
Az eredmények biztatóak voltak. A 951 támadási kísérlet során ezek a kanárik az esetek 95,9 százalékában még azelőtt jeleztek a védőknek, hogy az MI rendszergazdai jogosultságot szerzett volna, medián értékben nyolc perc előnyt biztosítva.
Csakhogy nyolc perc nem sok, ha reagálni kell és meg kell állítani egy támadást. Az MI-modellek átlagosan 14 perc alatt jutottak teljesen be a rendszerbe, így a nyolcperces előrejelzés nagyjából hat percet hagy a biztonsági csapatnak arra, hogy észrevegye a riasztást, felmérje a helyzetet és leállítsa a támadást.
Valami ellen, ami gépi sebességgel mozog, ez szinte semennyi idő.
Ha azonban az MI-rendszereket úgy programozzák, hogy bizonyos politikailag érzékeny utasítások hatására leálljanak, akkor ez a trükk valóban működhet.
Egy fejlesztő viszonylag könnyen újrataníthat egy modellt, hogy kevésbé legyen szigorú a biztonsági kérdésekkel kapcsolatban, ám sokkal nehezebb eltávolítani azokat a politikai korlátozásokat, amelyeket szabályozási vagy vállalati irányelvek miatt építettek bele.
Az ilyen politikailag érzékeny vagy a biztonságot érintő témák tehát nem kijavítandó hibák, hanem tudatos tervezési döntések, amelyeket a fejlesztőnek kötelező fenntartania.
A hekkerek saját trükkjét fordítják vissza ellenük
Az úgynevezett promptinjekció eddig többnyire a támadók fegyvere volt.
Ha egy utasítást elrejtenek egy e-mailben, weboldalon vagy naptármeghívóban, az azt feldolgozó MI-ügynök a saját feladata helyett könnyen a rejtett parancsot követheti.
Ezt már közvetlenül az MI-rendszerek védelme ellen is bevetették: olyan kártékony programokat készítettek, amelyek szöveges utasítások beágyazásával összezavarják az őket vizsgáló MI-alapú szkennelő eszközöket, és így ártalmatlannak minősíttetik magukat.
A Tracebit úgy döntött, megfordítja az ötletet. A pusztán riasztást kiváltó csalik helyett rövid szövegrészleteket rejtettek el a hamis titkokban, amelyek arra késztetik az MI-alapú támadót, hogy olyan irányba menjen tovább, amit a saját biztonsági szabályai már nem engednek.
Amikor az MI a rendszer feltérképezése közben elolvassa ezeket a szövegeket, életbe lépnek a beépített védelmi korlátok, és a folyamat egyszerűen leáll. A Tracebit ezt „kontekstusbombának” nevezi.
A trükköt minden egyes MI-modellre külön kellett szabni. A veszélyes biológiai fegyverekre utaló tartalom például megbízhatóan leállította a nyugati modelleket.
Valóban működött?
A Tracebit öt vezető MI-modellen futtatta le a tesztet: az Opus 4.8-on, a Gemini 3.1 Pro-n, a GLM 5.2-n, a DeepSeek 4 Pro-n és a Kimi K2.6-on. A 152 támadási kísérlet eredményei feltűnőek voltak.
Azoknak a futásoknak az aránya, amelyek eljutottak a rendszergazdai hozzáférésig, 57 százalékról 5 százalékra esett. A teljes kompromittálódás, vagyis a rendszergazdai jogok megszerzése és tartós jelenlét kiépítése a rendszerben, 36 százalékról 1 százalékra csökkent.
Azoknak a futásoknak az aránya, amelyek a támadás bármelyik szakaszát végrehajtották, 91 százalékról 15 százalékra zuhant. Ráadásul minden egyes futás, amelyben kontextusbomba szerepelt, előbb aktivált egy kanári-riasztást, még azok is, amelyek végül nem jutottak be a rendszerbe.
A legszemléletesebb példát az Opus 4.8 adta. Ez volt a csoport legerősebb támadója: kontextusbomba nélkül a futások 93 százalékában eljutott rendszergazdai hozzáférésig. Amint azonban beépítettek egyet, minden egyes próbálkozás kudarcot vallott.
Amit mindez nem old meg
A Tracebitnél senki sem állítja, hogy ez végleg megoldaná a promptinjekció problémáját.
Továbbra sincs valódi módszer arra, hogy az MI-modelleket megakadályozzák abban, hogy időnként összekeverjenek egy utasítást a hétköznapi adatokkal – márpedig éppen ezt a hibát használja ki a mostani technika.
Ez a megoldás a korábbi, kanárikkal kapcsolatos kutatást sem váltja ki.
A kettőt együtt kell használni: a májusi tanulmányban leírt módszer nyolcperces előrejelzést ad a védőknek, a kontextusbomba pedig igyekszik még több időt nyerni azzal, hogy a figyelmeztetési időablak lezárulta előtt leállítja a támadást.