Ловушки для AI-агентов снизили долю успешных атак в AWS с 99% до 19%

Tracebit прогнала 773 атаки семи моделей на свой AWS-стенд: низкопривилегированная учетка, два часа, цель — данные, выполнение кода или повышение привилегий. С обычными канарейками компрометация удалась в 70 из 71 запуска, с девятью Context Bombs — в 13 из 70.

Один фейковый отчет пентеста, где реальные цели помечены как канарейки, снизил успех GPT-5.6 Cyber, Kimi, Qwen и DeepSeek с 39/40 до 2/40: агенты поверили и бросили уязвимые ресурсы. GLM-5.3 почти час обходил «бесконечный» decoy API и скачал 825 страниц ради тех же шести фрагментов.

Заголовок «в 23 раза дороже» — это траты на модель в пересчете на достигнутую цель ($1,33 → $31,10), и рост дает в основном знаменатель. На один запуск расход вырос в 1,6–3,9 раза.

Против сильных моделей ловушки работают хуже: GPT-6 Astra дошла до цели в 8 из 10 комбинированных запусков, Claude Opus 5 — в 3 из 10. По ~10 запусков на модель и сценарий, отказы и сбои исключены, а стенд строил вендор deception-продукта.

Проще всего забрать к себе детект: в прошлом бенчмарке Tracebit канарейки срабатывали до первого критичного действия агента.