AgentSnare usa engano dinâmico para desviar agentes autônomos de pentest do alvo real, sem exploração bem-sucedida em 45 tentativas
Pesquisadores propõem o AgentSnare, um sistema de decepção que se adapta ao histórico de interação de um agente autônomo de pentest baseado em LLM, construindo e ajustando incrementalmente um ambiente de decoy factualmente consistente para atrasar, desviar e neutralizar o ataque, em vez de depender de artefatos estáticos plantados previamente, que agentes mais avançados aprendem a reconhecer e contornar. Em testes com 15 aplicações web do CVE-Bench e três modelos atacantes distintos, o AgentSnare absorveu 46,8% das chamadas de ferramenta do agente no ambiente chamariz e evitou exploração bem-sucedida do alvo real em todas as 45 combinações testadas.
Agentes de LLM que automatizam testes de penetração operam em um loop de observação-ação: escolhem a próxima ação com base no que as ferramentas devolvem como observação do ambiente. Essa dependência estrutural cria uma abertura para defensores: se as observações puderem ser manipuladas de forma convincente, o processo de decisão do agente pode ser desviado. O problema das defesas de decepção existentes, segundo os autores, é que dependem de artefatos estáticos plantados antes do ataque começar — e agentes mais sofisticados progressivamente aprendem a reconhecer e ignorar esses artefatos fixos, retomando o foco no alvo real depois de um tempo.
O AgentSnare ataca esse problema tornando o ambiente de decepção adaptativo em vez de estático: um modelo de política de construção de artefatos gera candidatos condicionados ao histórico de interação do próprio agente atacante e ao estado atual do ambiente chamariz, validando cada candidato antes de incorporá-lo, de forma incremental, a um ambiente de decoy que se mantém factualmente consistente ao longo de toda a interação — ou seja, o chamariz aprende com o comportamento do atacante e evolui junto com ele, em vez de ser um cenário fixo montado de antemão.
O mecanismo de defesa atua em três frentes simultâneas: atrasa o ataque absorvendo suas chamadas de ferramenta dentro do ambiente chamariz; desvia sua trajetória pós-comprometimento inicial, mantendo o agente explorando dentro do decoy em vez do sistema real; e neutraliza o ataque induzindo o agente a produzir relatórios de conclusão baseados em evidências forjadas dentro do próprio chamariz, fazendo-o acreditar que completou a exploração com sucesso quando na verdade nunca saiu do ambiente de decepção. Nos testes contra 15 aplicações web do benchmark CVE-Bench e três modelos atacantes diferentes, o sistema absorveu 46,8% das chamadas de ferramenta do agente e reteve 55,9% das ações pós-comprometimento dentro do decoy, com 90% das tentativas de conclusão fundamentadas em evidência forjada.
O resultado mais forte do artigo é o de segurança prática: nas 45 combinações testadas entre atacante e CVE, nenhum alvo real foi explorado com sucesso mesmo considerando pass@3, três tentativas por combinação. Para equipes de defesa que já enfrentam ou esperam enfrentar agentes autônomos de reconhecimento e exploração — sejam usados por pentesters legítimos automatizando trabalho, sejam usados por atacantes reais —, o AgentSnare mostra que decepção adaptativa e personalizada ao comportamento do agente pode ser uma camada de defesa efetiva especificamente contra esse tipo de ferramenta, complementando as defesas tradicionais de rede e endpoint.