SoK: Honeypots & LLMs, More Than the Sum of Their Parts?

Resumen Técnico: Honeypots Potenciados por LLMs

1. El Problema

Los honeypots (sistemas señuelo diseñados para atraer y analizar atacantes) han luchado históricamente con una paradoja fundamental de diseño:

• Baja interacción: Son seguros y fáciles de desplegar, pero carecen de realismo, lo que permite a los atacantes detectarlos fácilmente.
• Alta interacción: Ofrecen un realismo alto y capturan técnicas de ataque sofisticadas, pero conllevan un riesgo operativo significativo y una carga de gestión elevada.

El objetivo histórico ha sido lograr la fidelidad de un sistema real con el bajo riesgo de uno simulado. La llegada de los Modelos de Lenguaje Grande (LLMs) prometió resolver esto al generar interacciones dinámicas, adaptables y convincentes. Sin embargo, la investigación actual muestra un progreso incremental en despliegues reales, careciendo de una comprensión cohesiva de los patrones arquitectónicos, los desafíos centrales y los paradigmas de evaluación. Además, existe una falta de datos de alta calidad para entrenar y evaluar estos sistemas.

2. Metodología

Los autores realizan una Sistematización del Conocimiento (SoK), que es una revisión exhaustiva y estructurada del estado del arte. Su metodología se basa en:

• Revisión Sistemática: Análisis de literatura desde finales de 2022 hasta 2025, centrándose en la intersección entre honeypots y LLMs.
• Clasificación Taxonómica: Identificación de vectores de detección persistentes y mapeo de cómo los LLMs pueden (o no) mitigarlos.
• Síntesis Arquitectónica: Identificación de un modelo canónico emergente a partir de múltiples implementaciones independientes.
• Definición de Modelos de Ataque: Propuesta de una tricotomía de adversarios para evaluar la eficacia de los honeypots.
• Análisis de Evolución: Rastreo de la transición del análisis de logs manual a la generación automática de inteligencia mediante agentes.

3. Contribuciones Clave

A. Taxonomía de Vectores de Detección de Honeypots
El paper identifica cuatro vectores persistentes que los atacantes utilizan para exponer un señuelo, y evalúa la capacidad de los LLMs para abordar cada uno:

1. Contenido y Postura de Red: Inconsistencias en puertos, servicios, banners o configuraciones por defecto. Los LLMs pueden generar contenido creíble, pero no pueden ocultar la pila de red subyacente o los puertos abiertos.
2. Salidas y Comportamiento: Metadatos irreales, como tiempos de respuesta (latencia) o comportamientos estáticos en comandos dinámicos (ej. top). Los LLMs tienen dificultades con la fidelidad temporal y la simulación de procesos en tiempo real.
3. Limitaciones Funcionales: Falta de lógica de sistema real (ej. no poder descargar archivos, ejecutar binarios o conectar a servidores externos). Los LLMs pueden simular el éxito de una conexión, pero no generar tráfico de red real, lo que es detectable.
4. Síntesis de Múltiples Características: Uso de aprendizaje automático para combinar vectores y detectar anomalías. Los LLMs aumentan la complejidad del espacio de características, pero no eliminan las firmas estáticas.

B. Arquitectura Canónica de Honeypots con LLM
Los autores proponen una arquitectura modular emergente (Figura 1 en el paper) que incluye:

• Filtro/Enrutador: Bloquea escaneos automatizados y evita la sobrecarga del LLM (ataques DoS/DoW).
• Gestor de Estado y Curador de Historial: Mantiene el contexto de la sesión y poda el historial de comandos para gestionar los límites de tokens.
• Generador de Prompts: Crea prompts ricos en contexto para el LLM.
• Motor LLM: El núcleo generativo (puede ser un modelo propietario vía API o un modelo de pesos abiertos local).
• Respuesta Determinista: Para comandos simples o caché, reduciendo costos y latencia.

C. Evaluación y el "Trilema" del Honeypot
Se propone un Tetrád de Evaluación para medir el progreso:

1. Creíbilidad: ¿Parece real para el atacante? (Estudios humanos, similitud semántica).
2. Fidelidad: Precisión técnica y latencia.
3. Costo/Inteligencia del Atacante: Profundidad de la interacción y diversidad de técnicas (TTPs) extraídas.
4. Costo del Defensor: Consumo de tokens, latencia de API y recursos de hardware.

D. La Tricotomía del Adversario
El paper redefine el objetivo de los honeypots:

• Nivel 1 (Bots Preprogramados): Scripts simples. Los LLMs son un desperdicio de recursos; los señuelos estáticos son suficientes.
• Nivel 2 (Agentes Autónomos LLM): La verdadera amenaza y objetivo. Atacantes inteligentes que razonan y adaptan estrategias. Los honeypots con LLM son necesarios para engañar a estos agentes.
• Nivel 3 (Humanos Expertos): Los LLMs actuales no son suficientes para engañar a un humano experto sin un entorno de alta interacción real.

E. Evolución del Análisis de Logs
Se documenta el salto semántico desde la reducción de datos y detección de anomalías hacia la generación automática de inteligencia de amenazas (mapeo a MITRE ATT&CK) utilizando LLMs, aunque esto sigue limitado por la falta de datos etiquetados a gran escala.

4. Resultados y Hallazgos

• Progreso Incremental: Aunque los LLMs mejoran la fidelidad en comparación con los honeypots estáticos (ej. Cowrie), las mejoras en el mundo real son modestas debido al "desierto de datos": la mayoría del tráfico en producción son escaneos simples que no ponen a prueba la capacidad del LLM.
• El Paradoja de la Evaluación: Los estudios actuales a menudo usan datos de baja sofisticación o estudios humanos pequeños, lo que no refleja la amenaza real de los agentes autónomos.
• Limitaciones Técnicas: Persisten problemas críticos como la simulación de comandos interactivos (vim, htop), la latencia de respuesta y la incapacidad de simular acciones de red salientes reales (ej. wget).
• Brecha de Herramientas: Existe una falta de frameworks de código abierto integrales que implementen la arquitectura canónica completa, lo que dificulta la investigación reproducible.
• Eficacia contra Agentes LLM: La conclusión principal es que el valor real de los honeypots con LLM no es engañar a humanos o bots simples, sino engañar a otros agentes LLM. Esto permite la "ocupación" prolongada del atacante y la negación de recursos (Denial-of-Wallet).

5. Significado y Hoja de Ruta Futura

El papel concluye que el verdadero potencial de esta tecnología reside en la creación de sistemas de engaño autónomos y auto-mejorables.

Recomendaciones para la investigación futura:

1. Ecosistema de Investigación Adversaria: Crear plataformas donde atacantes y defensores basados en LLM compitan para generar datos de alta calidad y métricas relevantes.
2. Arquitecturas Modulares y Eficientes: Desarrollo de frameworks de código abierto y uso de modelos pequeños (SLMs) con técnicas como LoRA para adaptaciones específicas de protocolos sin necesidad de grandes recursos.
3. Bucles de Retroalimentación Autónoma: Implementar sistemas que no solo detecten, sino que reconfiguren dinámicamente el honeypot en tiempo real basándose en la inteligencia generada (ej. cambiar la simulación para guiar al atacante).
4. Detección en Tiempo Real: Utilizar la inteligencia extraída de los honeypots para alimentar sistemas de detección de intrusiones en producción mediante sistemas RAG (Generación Aumentada por Recuperación).

En resumen, el paper establece que los LLMs no son una "bala de plata" inmediata para todos los problemas de los honeypots, sino una herramienta estratégica esencial para la próxima generación de ciberdefensa contra amenazas automatizadas e inteligentes.