AgentTrap: engano com memória de estado contra agentes autônomos de pentest
Pesquisadores apresentam o AgentTrap, descrito como o primeiro honeypot de malha fechada projetado especificamente para enganar agentes autônomos de pentest baseados em LLM, que se adaptam dinamicamente às respostas do alvo. Em testes contra oito agentes autônomos de pentest, o AgentTrap reduziu a taxa agregada de sucesso de ataque no alvo real de 95,8% para 79,2% e conseguiu extrair chaves de API do atacante em 18,8% das execuções. O resultado supera honeypots estáticos tradicionais, mas mostra que mesmo uma defesa adaptativa ainda deixa a maioria dos ataques bem-sucedidos passar.
Honeypots tradicionais funcionam bem contra scanners automatizados e scripts de ataque porque esses atacantes não reavaliam suas táticas em tempo real. O problema é que agentes autônomos de pentest baseados em LLM fazem exatamente isso: planejam, executam, observam a resposta do alvo e replanejam continuamente. Um honeypot com artefatos estáticos e respostas pré-definidas é rapidamente identificado como decoy por um agente que raciocina sobre o que está vendo, perdendo o valor de desviar o ataque do ativo real.
O AgentTrap resolve isso com três mecanismos combinados: endpoints-sentinela para evitar que usuários legítimos caiam na armadilha por engano, engano com estado ancorado na aplicação real que está sendo protegida, de forma que a resposta do honeypot seja coerente com o comportamento esperado da aplicação verdadeira, e escalonamento guiado pelo comportamento do atacante, que ajusta o nível de engano conforme o agente avança, prolongando o engajamento e coletando evidências comportamentais do lado do atacante, incluindo tentativas de exfiltração de credenciais como chaves de API.
A avaliação contra oito agentes autônomos de pentest, em uma aplicação web real com endpoint de honeypot separado sob três estratégias de defesa, mostra que o AgentTrap supera tanto o cenário sem defesa quanto decoys estáticos e escalonamento fixo. A redução de 95,8% para 79,2% na taxa de sucesso é um ganho real, mas também expõe o limite da abordagem: mais de três quartos dos ataques ainda alcançam o alvo verdadeiro mesmo com a defesa ativa.
O dado mais interessante para quem defende infraestrutura é a análise de rastros: a resistência de um agente a esse tipo de contra-ataque depende tanto do reconhecimento, pelo próprio modelo, de que a requisição é uma armadilha, quanto do isolamento arquitetural de recursos sensíveis. Isso sugere que a defesa eficaz contra agentes autônomos de ataque precisa operar em duas frentes simultâneas — engano no nível semântico e isolamento rígido no nível de arquitetura — já que nenhuma das duas isoladamente é suficiente.