🪤 Ханипот, который не обмануть: как ИИ удерживает хакера в ловушке

Классический ханипот палится за секунду. Shodan индексирует Cowrie по баннеру автоматически — одинаковый на каждом экземпляре. Нестандартная команда всегда возвращает один и тот же command not found. Ответ прилетает за микросекунды — реальный сервер так не работает. Опытный атакующий или автономный AI-агент распознаёт это мгновенно и рвёт соединение.

🤖 Исследователи из Palisade Research пошли дальше и встроили LLM прямо в ханипот. За несколько месяцев их модифицированный Cowrie собрал миллионы SSH-сессий. Среди них нашлась как минимум одна, предположительно принадлежавшая автономному AI-агенту — среднее время ответа 1–2 секунды, что характерно для языковой модели, а не для человека. Статический ханипот не поймал бы и этого.

Почему динамика решает? LLM-ловушка генерирует уникальный ответ на каждую команду. Нет двух одинаковых выводов ls /tmp. Файловая система строится на лету: cd /var/log покажет правдоподобные логи, а не пустую директорию. Тайминг ответа варьируется от 200 до 1500 мс — как у настоящего сервера. Сессионная память поддерживает диалог: ловушка «помнит» предыдущие команды и отвечает последовательно.

📊 По данным исследования VelLMes (CTU, 2024), около 45% участников ошибочно приняли LLM-ханипот за реальный шелл — тогда как Cowrie палился значительно чаще. Для SOC-команды это означает одно: атакующий расслабляется, проводит в ловушке дольше и сливает TTPs. Больше данных — больше IOC для корреляции в SIEM.

🔧 Технически всё строится без магии. Единый asyncio-сервер на одном порту плюс правило nftables, которое заворачивает весь входящий TCP:

nft add rule ip honeypot prerouting iif "eth0" tcp dport != { 22, 8443 } redirect to :8443

Одна строка — и все 65 535 портов под наблюдением. Сервер через SO_ORIGINAL_DST вытаскивает оригинальный порт назначения и выбирает нужный prompt-шаблон: порт 80 — эмуляция HTTP, порт 25 — SMTP-баннер, порт 3306 — MySQL greeting. LLM-бэкенд при этом можно запустить локально через Ollama (от 8 ГБ RAM) или подключить облачный API — тогда хватит и 2 ГБ.

Оптимальная схема — гибридная. Ollama обрабатывает массовый трафик: сканирования Masscan, однокомандные боты, брутфорс-ботнеты. Облачный API подключается для длинных сессий, где атакующий явно проводит разведку вручную или использует агента. Качество эмуляции выше, данные ценнее.

Полная инструкция по развёртыванию, настройке корреляции в SIEM и превращению сырых логов в detection rules — в статье на форуме.

https://codeby.net/threads/llm-honeypot-sozdayem-lovushku-na-baze-yazykovoi-modeli-dlya-monitoringa-portov.92942/