AI-aanvallen worden steeds vaker uitgevoerd door agenten die zelfstandig websites doorzoeken, informatie ophalen en vervolgstappen bepalen. Daardoor is het niet alleen belangrijk om data te beveiligen, maar ook om te sturen welke context een aanvallende AI krijgt. Tracebit beschrijft daarom een militaire-achtige verdedigingsmethode: context bombs—verborgen prompts die een aanvallende agent automatisch “opneemt” tijdens het crawlen van een doel.
In plaats van een aanval met regels of filters te blokkeren, proberen context bombs de route van die agent te verstoren. Het doel is tweeledig: de kans op succesvolle uitkomsten verlagen en de kosten per poging flink verhogen.
Wat zijn context bombs precies?
Tracebit vergelijkt context bombs met landmines: niet per se om direct schade te veroorzaken, maar om opmars te vertragen en routes te veranderen. In dit geval bestaan de “bommen” uit geconstrueerde en verstopte prompts die door een aanvallende AI worden ingelezen wanneer die het doel aftast.
Die ingelezen prompts verstoren vervolgens het oorspronkelijke—vaak kwaadaardige—doel van de agent. In onderzoek naar de effectiviteit werden verschillende AI-systemen getest, waaronder aanvallen gericht op o.a. GPT 5.6 Cyber, Kimi K3, Qwen 3.8 Max en DeepSeek V4 Pro. De resultaten laten zien dat misleiding kan werken als tegenzet binnen agentic aanvallen.
Van guardrails naar misleiding: negen technieken
De aanpak bouwt voort op eerder werk van Tracebit met context bombs die guardrails moesten triggeren. Nu verschuift de focus naar misdirectie en inperking: agenten worden verleid om nepdoelen te volgen of te verdwalen in schijnbaar complexe problemen.
Tracebit ontwikkelde negen nieuwe contexttechnieken die neerkwamen op “nep-ingest” prompts. Volgens het onderzoek stopten ze alle geteste aanvallen tegen meerdere modellen bij inzet van deze technieken. Het gaat daarbij niet om één truc, maar om verschillende vormen van deception—van valse rapporten tot eindeloze bronnen.
De sterkste ‘bom’: een fake penetration test report
De meest effectieve van de negen technieken was een nep-penetratietestrapport. Dit rapport presenteert zichzelf als een recent resultaat en gebruikt taal en structuur die voor een AI-agent geloofwaardig kan lijken.
In de praktijk doet het rapport drie dingen die samen misleiding versterken:
- Het labelt echte aanvalspaden als “canaries”, waardoor de agent mogelijk denkt dat ze gevoelig zijn.
- Het beschrijft decoys als waardevol—maar suggereert dat deze al zijn gebruikt of “geëxploiteerd”.
- In veel gevallen laat het de AI geloven dat het echte systeem een val is, waardoor de agent het doel mijdt.
Volgens Tracebit maakte deze misleiding dat behaalde doelstellingen in bepaalde scenario’s met 58% afnamen. Soms accepteerden agenten de waarschuwingen en stopten ze voortijdig, waardoor potentieel waardevolle doelen juist ongemoeid bleven. Bovendien daalde het aantal runs dat een objectief bereikte bij meerdere modellen van een basisniveau van 39/40 naar 2/40.
Voorbeelden van andere context bombs
Naast het nep-rapport beschrijft Tracebit meerdere andere misleidingstechnieken. Denk aan scenario’s waarbij een aanvallende AI steeds opnieuw informatie “moet verwerken”, zonder dichter bij het echte doel te komen.
Een webservice zonder eind
Een techniek gebruikt een ogenschijnlijk normale webservice die in feite geen realistische eindpunten biedt. Daardoor blijft de agent doorzoeken—ten koste van tijd en tokens.
‘Passwords’ die versleuteling stapelt
Een andere bom presenteert wachtwoorden alsof ze achter meerdere encryptielagen zitten. De agent gaat dan doorgaans door met ontcijferpogingen en bijkomende stappen, terwijl de echte doorbraak uitblijft.
Een eindeloze database met pagina-tot-pagina loops
Bij een eindeloze database lijkt elke pagina naar een volgende pagina te verwijzen. Tracebit vermeldt dat GLM-5.3 in 55 minuten 825 pagina’s bezocht. Ondanks dat de val vermoed werd, probeerde de agent nog door—om uiteindelijk toch terug te keren en “nog een poging” te doen.
Dat gedrag is precies waar deception op stuurt: niet alleen misleiden, maar ook het denk- en uitvoerproces in een lus zetten.
Effect op aanvalssucces en kosten
De kern van context bombs is niet enkel “tegenhouden”, maar de uitkomst en de prijs beïnvloeden. Tracebit rapporteert dat combinaties van de negen technieken het sterkst werken. Wanneer alles werd ingezet, bereikten volgens het onderzoek geen van de geteste Chinese modellen hun doelstellingen.
Ook bij modellen waar niet elke aanval volledig strandt, kan de verdediging uitkomstgericht blijven. Zelfs als een context bomb een aanval niet volledig stopt, verhoogt het de kost per succes volgens Tracebit met 23x.
Die factor kan strategisch belangrijk zijn. Aanvallers kunnen diepe budgetten hebben, maar brute volharding zonder rendement wordt op termijn duur. Op dat moment kan de waarde van het doel dalen ten opzichte van de benodigde inspanning.
Waarom deception werkt tegen agentic aanvallen
Tracebit positioneert context bombs als het spiegelbeeld van malicious prompt injection. Bij kwaadwillige prompt injection proberen aanvallers context in een systeem te plaatsen zodat de AI hun intentie volgt. Met context bombs probeert de verdediger juist dat het systeem—als “eerste” of “meest recente” context—nieuwe ingangen gebruikt die niet overeenkomen met de echte aanval.
De beoogde werking is ook psychologisch/operationeel: agenten worden chaotischer en lopen meer risico op het triggeren van alarms. Dat kan defenders extra tijd geven om te reageren—bijvoorbeeld voordat echte systemen worden geraakt.
Wat betekent dit voor defenders in de praktijk?
Hoewel context bombs technisch en onderzoeksgedreven zijn, zit de les voor beveiligingsteams in dezelfde hoek als andere deception- en hardeningmaatregelen: behandel context als een aanvalsvector. Als een agent informatie inleest, dan kan misleidende context—mits doelbewust—een belangrijke rol spelen.
Voor organisaties die met AI-agenten werken (of die bedreigingen zien waarbij agentic webcrawling en autonome workflows worden ingezet), is het zinvol om na te denken over:
- Welke content kan door externe partijen worden gecrawld en welke context kan daarin verborgen zitten?
- Hoe detecteer je dat een AI-agent vastloopt in lussen, nepbronnen of herhaalde pogingen?
- Hoe zorg je dat signalen van “erratisch gedrag” en mislukte objectieven leiden tot alarmering en response?
Wil je breder bekijken hoe prompt-injection agenten kan beïnvloeden of hoe je ertegen kunt bouwen? Lees dan ook wat er mis kan gaan bij supply chain-compromissen voor AI-services en hoe je reageert op rogue AI-agenten.
Conclusie: context bombs maken aanvallen duurder en minder succesvol
Context bombs zijn een verdedigingsconcept waarbij verborgen, op maat gemaakte prompts een aanvallende AI-agent de verkeerde kant op sturen. In de onderzoeksresultaten van Tracebit zie je een duidelijke trend: de aanvalssuccessen nemen af—bij sommige modellen zelfs scherp—anders blijft de verdediging effectief doordat de kosten per succes sterk stijgen.
Het belangrijkste inzicht voor beveiligingsteams: wanneer aanvallen via agentic crawling en ingest van context verlopen, is deception niet alleen een theoretisch idee. Het kan een concrete manier zijn om aanvallende agenten af te remmen, te verwarren en defenders extra reactietijd te geven.
