AgentTrap: Stateful Feedback Deception against Autonomous Penetration Testing Agents
作者: Yuelin Wang, Jiongchi Yu, Yanbang Sun
分类: cs.CR, cs.AI
发布日期: 2026-10-02
备注: 4 pages
💡 一句话要点
提出AgentTrap以应对自主渗透测试代理的动态攻击
🎯 匹配领域: 支柱四：生成式动作 (Generative Motion)
关键词: 蜜罐技术 自主渗透测试 动态防御 状态欺骗 行为分析 网络安全 攻击检测
📋 核心要点
- 现有蜜罐技术主要依赖静态伪装，无法适应自主渗透测试代理的动态攻击策略，导致防御效果有限。
- AgentTrap通过闭环设计，结合状态欺骗和行为引导的升级策略，能够动态应对攻击者的行为，提升防御能力。
- 实验表明，AgentTrap将真实目标的攻击成功率从95.8%降低至79.2%，并在18.8%的实验中成功获取攻击者的API密钥。
📝 摘要（中文）
自主渗透测试代理通过不断调整计划和行动来进行多步骤攻击。传统的蜜罐防御方法主要依赖静态伪装和预定义响应，无法适应这些代理的动态攻击策略。为此，本文提出了AgentTrap，这是首个针对自主渗透测试代理的闭环蜜罐系统。AgentTrap利用哨兵端点避免良性干扰，基于受保护应用的状态欺骗，以及行为引导的升级策略，持续吸引攻击者并收集行为证据。实验结果表明，AgentTrap显著降低了真实目标的攻击成功率，并成功获取攻击者的API密钥。
🔬 方法详解
问题定义：本文旨在解决传统蜜罐在面对自主渗透测试代理时的适应性不足问题。现有方法依赖静态响应，无法有效应对攻击者的动态策略。
核心思路：AgentTrap的核心思路是构建一个闭环蜜罐系统，通过动态状态欺骗和行为引导的策略，持续吸引攻击者并收集其行为证据。这样的设计使得蜜罐能够实时适应攻击者的行为变化。
技术框架：AgentTrap的整体架构包括哨兵端点、状态欺骗模块和行为引导升级模块。哨兵端点用于避免良性干扰，状态欺骗模块根据受保护应用的状态进行动态响应，而行为引导升级模块则根据攻击者的行为进行策略调整。
关键创新：AgentTrap的主要创新在于其闭环设计和状态欺骗机制，使其能够实时适应攻击者的策略。这与传统蜜罐的静态响应形成了鲜明对比。
关键设计：在设计中，AgentTrap采用了动态状态管理和行为分析算法，确保蜜罐能够根据攻击者的行为进行实时调整。此外，系统还设置了特定的参数以优化欺骗效果和行为收集效率。
🖼️ 关键图片
📊 实验亮点
实验结果显示，AgentTrap在没有防御的情况下，成功率从95.8%降低至79.2%。此外，在18.8%的实验中成功获取攻击者的API密钥，显著优于传统静态欺骗和固定升级策略。
🎯 应用场景
AgentTrap的研究成果在网络安全领域具有重要应用潜力，尤其是在保护关键基础设施和敏感数据方面。通过动态适应攻击者行为，AgentTrap能够有效提高网络防御能力，减少潜在损失。未来，该技术可扩展到更多类型的网络防御系统中，提升整体安全性。
📄 摘要（原文）
Autonomous penetration testing agents conduct multi-step attacks by continuously adapting their plans and actions to target responses. As a common defense, honeypots can be deployed to divert these agents from real assets by presenting decoy services, while also supporting attack tracing and active counterattacks. However, conventional honeypots rely primarily on static artifacts and predefined responses, leaving them unable to adapt to the evolving attack strategies of autonomous penetration testing agents. To this end, we present AgentTrap, the first closed-loop honeypot tailored for autonomous penetration testing agents. AgentTrap uses sentinel endpoints to avoid benign interference, stateful deception grounded in the protected application, and behavior-guided escalation to sustain engagement and collect agent-side behavioral evidence with controlled disclosures. We evaluate AgentTrap against eight autonomous penetration-testing agents in a deployed web application containing a real application endpoint and a separate honeypot endpoint configured under three defense strategies. Compared with no defense, AgentTrap reduces the aggregate real-target attack success rate from 95.8% to 79.2% and successfully elicits attacker API keys in 18.8% of the runs, outperforming static deception and fixed escalation. Furthermore, trace analysis shows that resistance to such counterattacks depends jointly on model-level recognition of deceptive requests and architecture-level isolation of sensitive resources.