用提示注入反制 AI 駭客代理
這招叫做 Context Bombing，目標不是修好 prompt injection，而是反過來利用模型的安全護欄。Tracebit 把會觸發拒答的文字藏進 AWS 誘餌密鑰；入侵用 AI agent 掃描資源、讀到內容後，可能因碰上違規指令而停止執行。模擬測試涵蓋五款模型與 152 次攻擊，取得管理員權限的比例從 57% 降至 5%，建立持久後門則由 36% 降至 1%。
現實應用
最直接的用法，是把 Context Bomb 放進本來就用來偵測入侵的 canary resource，例如假的 password、API key 或 AWS secret。雲端維運、SOC、MSSP，以及正在評估 autonomous pentesting agent 的企業都用得上。它尤其適合補強「警報發出後，人還來不及處理」的空窗：Tracebit 先前的 canary 平均八分鐘示警，但 AI agent 約十四分鐘就能拿到管理權限，單靠通知其實很趕。
期望評估
低標來看，我認為它至少能兼任高辨識度誘餌與減速器；即使沒有完全攔住攻擊，測試中也沒有任何成功路徑能避開 canary 偵測。高標來看，我猜它可成為 AI-native deception layer，讓特定模型反覆拒答，替人工或自動化應變爭取時間。不過這是模擬 AWS 環境的初期結果，不能直接推論到所有模型、工具鏈與真實攻擊。
商業策略分析
受影響的不只是雲端資安商，也包括 AI pentest、agent guardrail、EDR 與 deception technology 業者。我認為值得跟進，因為部署成本看起來低，也能疊加在既有 canary 架構上；但不該單獨當成防線。攻擊者可能過濾可疑文字、切割 context、換模型，甚至把敏感內容交給不受相同護欄限制的系統。商業價值會落在持續更新 payload、跨模型測試，以及和告警、隔離、權限控管整合，而不是販售一段萬用提示詞。
實作細節
目前公開方式是在模擬 AWS 帳號中建立不會被正常流程使用的 decoy secret，並植入容易觸發模型安全拒答的內容，再搭配 canary 監看存取。已知限制是 prompt injection 的根因仍未解決，效果也依模型護欄而異；內容本身還可能造成維運、稽核或政策風險，上線前需要隔離測試。