💻 computer science

PHANTOM: Polymorphic Honeytoken Adaptation with Narrative-Tailored Organisational Mimicry

यह शोध पत्र PHANTOM को प्रस्तुत करता है, जो एक ऐसा ढांचा है जो नैरेटिव-अनुकूलित मिमिक्री (narrative-tailored mimicry) के माध्यम से बहुआयामी, संगठन-विशिष्ट डिकॉय (decoys) उत्पन्न करके हनीटोकन डिटेक्शन प्रतिरोध और मानवीय विश्वसनीयता को महत्वपूर्ण रूप से बढ़ाता है, और कई सांख्यिकीय एवं मानव-मूल्यांकन मेट्रिक्स में स्थिर टेम्पलेट-आधारित दृष्टिकोणों से बेहतर प्रदर्शन करता है।

मूल लेखक: Abraham Itzhak Weinberg

प्रकाशित 2026-05-06

📖 5 मिनट में पढ़ें🧠 गहराई से पढ़ें

CC BY 4.0

मूल लेखक: Abraham Itzhak Weinberg

मूल पेपर CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) के तहत लाइसेंस किया गया है। ✨ नीचे दिए गए पेपर की यह व्याख्या AI से तैयार की गई है। इसे लेखकों ने न तो लिखा है, न इसका समर्थन किया है। तकनीकी सटीकता के लिए मूल पेपर देखें। पूरा डिस्क्लेमर पढ़ें

कल्पना कीजिए कि आप एक सुरक्षा गार्ड हैं जो एक इमारत में घुसने वाले चोर को पकड़ने की कोशिश कर रहे हैं। इसे करने के लिए, आप एक मेज पर कुछ "नकली" चाबियाँ छोड़ देते हैं। यदि चोर उनमें से एक उठाता है और उसका उपयोग करने की कोशिश करता है, तो एक अलार्म बज जाता है, और आपको पता चल जाता है कि वह कौन है और कहाँ है।

डिजिटल दुनिया में, इन नकली चाबियों को हनीटोकेन्स (honeytokens) कहा जाता है। ये नकली पासवर्ड, API कीज़ या डेटाबेस क्रेडेंशियल्स हैं जिन्हें हैकर्स को पकड़ने के लिए आपके सिस्टम में प्लांट किया जाता है।

समस्या: "जेनेरिक" नकली चाबियाँ

यह शोध पत्र बताता है कि वर्तमान उपकरण जो नकली चाबियाँ बनाने के लिए उपयोग किए जाते हैं, वे एक ऐसी फैक्ट्री की तरह हैं जो जेनेरिक और साधारण चाबियाँ स्टैम्प करके निकालती है।

दोष: ये नकली चाबियाँ सतह पर तो सही दिखती हैं (उनके पास सही संख्या में अक्षर और प्रतीक होते हैं), लेकिन उनमें व्यक्तित्व (personality) की कमी होती है।
रूपक (Metaphor): कल्पना कीजिए कि एक चोर एक हाई-टेक बैंक में जाता है। यदि उसे "Generic Bank Key #402" लेबल वाली चाबी दिखाई देती है, तो वह तुरंत जान जाएगा कि यह एक जाल है। उस बैंक की असली चाबियों के नाम विशिष्ट होने चाहिए जैसे "Vault_Access_Teller_Jane" या "Server_Room_3"। क्योंकि वर्तमान नकली चाबियाँ उस विशिष्ट कंपनी के "वाइब" या नामकरण शैली से मेल नहीं खाती हैं, इसलिए हैकर्स (और उनके द्वारा उपयोग किए जाने वाले स्वचालित सॉफ़्टवेयर) उन्हें आसानी से पहचान सकते हैं और अनदेखा कर सकते हैं।

समाधान: PHANTOM

लेखक एक नया सिस्टम पेश करते हैं जिसे PHANTOM कहा जाता है। PHANTOM को एक स्टैम्पिंग फैक्ट्री के बजाय एक मास्टर जालसाज (master forger) के रूप में समझें जो नकली चाबी बनाने से पहले उस विशिष्ट इमारत का अध्ययन करता है।

यह कैसे काम करता है: PHANTOM संगठन का एक "प्रोफाइल" लेता है (जैसे, "यह MedSync नामक एक हेल्थकेयर कंपनी है जो Azure और Python का उपयोग करती है")। इसके बाद यह ऐसी नकली चाबियाँ बनाता है जो विशेष रूप से उस कंपनी के लिए पूरी तरह से अनुकूलित होती हैं।
परिणाम: एक जेनेरिक "admin@company.com" के बजाय, PHANTOM एक ऐसी नकली की (key) बनाता है जो "medsync_db_backup_service" जैसी दिखेगी। यह उन अजीब तरीकों की भी नकल करता है जिनसे वास्तविक कंपनियाँ अपने फ़ाइलों और सर्वरों को नाम देती हैं।

"विश्वसनीयता स्कोर" (The Believability Score)

यह सिद्ध करने के लिए कि उनकी नकली चाबियाँ बेहतर हैं, लेखकों ने एक विश्वसनीयता स्कोर बनाया (0 से 1 तक का ग्रेड)। उन्होंने चार मानदंडों के आधार पर अपनी नकली चाबियों का परीक्षण किया:

सिंटैक्स (Syntax): क्या यह एक वास्तविक की (key) के प्रारूप जैसा दिखता है? (पुराने उपकरण और PHANTOM दोनों ही इसमें आसानी से सफल रहे)।
सिमेंटिक्स (Semantics): क्या यह कंपनी के संदर्भ में सही अर्थ रखता है? (यही वह जगह है जहाँ PHANTOM बड़ी जीत हासिल करता है)।
सांख्यिकी (Statistics): क्या यह उसी तरह से रैंडम दिखता है जैसे वास्तविक सीक्रेट्स होते हैं?
मानवीय स्वीकृति (Human Acceptance): यदि आप इसे किसी मानव विशेषज्ञ को दिखाएं, तो क्या वे इसे वास्तविक मानेंगे?

परिणाम: एक बड़ा अपग्रेड

पेपर पुराने "टेम्प्लेट" तरीके की तुलना PHANTOM से करता है:

मानव विशेषज्ञ: जब उन्हें पुरानी नकली चाबियाँ दिखाई गईं, तो विशेषज्ञों ने केवल 6% को ही वास्तविक माना। जब उन्हें PHANTOM की चाबियाँ दिखाई गईं, तो 100% को वास्तविक माना गया।
स्वचालित स्कैनर (Automated Scanners): हैकर्स नकली चाबियों को स्कैन करने के लिए सॉफ़्टवेयर का उपयोग करते हैं। पुरानी नकली चाबियों को इस सॉफ़्टवेयर द्वारा लगभग 39% बार पकड़ा गया था। PHANTOM की चाबियों को केवल 13% बार पकड़ा गया।
"सीक्रेट सॉस" (The Secret Sauce): अध्ययन में पाया गया कि PHANTOM के काम करने का सबसे बड़ा कारण सिमेंटिक कोहेरेंस (Semantic Coherence) है। सरल शब्दों में: संदर्भ ही सब कुछ है (Context is king)। नकली चाबियाँ केवल सही नहीं दिखती थीं; वे सही महसूस होती थीं क्योंकि वे कंपनी की कहानी में फिट बैठती थीं।

यह क्यों महत्वपूर्ण है (पेपर के अनुसार)

इंटरनेट की आवश्यकता नहीं: कुछ आधुनिक AI टूल के विपरीत जिन्हें काम करने के लिए इंटरनेट की आवश्यकता होती है, PHANTM पूरी तरह से ऑफलाइन काम करता है। इसका मतलब है कि इसका उपयोग अत्यधिक सुरक्षित, "एयर-गैप्ड" वातावरण (जैसे सरकारी लैब या सैन्य बेस) में किया जा सकता है जहाँ बाहरी दुनिया से जुड़ना वर्जित है।
बेहतर जाल: क्योंकि नकली चाबियाँ इतनी विश्वसनीय हैं, इसलिए हैकर्स के उन्हें चुनने की संभावना अधिक होती है। एक बार जब वे ऐसा करते हैं, तो सुरक्षा टीम को एक अलर्ट मिलता है, जिससे उन्हें पता चल जाता है कि हैकर सिस्टम के अंदर है, भले ही उसने वास्तविक डेटा पहले ही चुरा लिया हो।

संक्षेप में: पेपर का तर्क है कि डिजिटल चोर को पकड़ने के लिए, आप केवल एक जेनेरिक "चारा" नहीं छोड़ सकते। आपको चारे को बिल्कुल वैसा ही बनाना होगा जैसा कि वह भोजन चोर ढूंढ रहा है। PHANTOM वह टूल है जो वह विशिष्ट भोजन तैयार करता है, जिससे जाल से बचना लगभग असंभव हो जाता है।

तकनीकी सारांश: PHANTOM – नैरेटिव-अनुकूलित संगठनात्मक अनुकरण के साथ पॉलीमॉर्फिक हनीटोकन अनुकूलन

1. समस्या विवरण

हनीटोकन (Honeytokens)—अनधिकृत पहुंच का पता लगाने के लिए डिज़ाइन की गई छद्म डिजिटल संपत्तियां—साइबर धोखे (cyber deception) में एक स्थापित मौलिक तत्व हैं। हालांकि, मौजूदा पीढ़ी उपकरण (जैसे, Canarytokens, HoneyBadger) स्थिर, टेम्पलेट-आधारित तरीकों पर निर्भर करते हैं जिनमें संगठनात्मक विशिष्टता का अभाव होता है। जबकि ये टोकन अक्सर सिंटैक्टिक रूप से वैध होते हैं, वे सेमेंटिक रूप से खोखले होते हैं। कुशल हमलावर और स्वचालित स्कैनर (जैसे कि trufflehot, gitleaks, और ML-आधारित क्लासिफायर) उन्हें आसानी से पहचान सकते हैं क्योंकि वे लक्षित संगठन के विशिष्ट डोमेन नामों, सेवा नामकरण परंपराओं, तकनीक-स्टैक इडियोम्स और सीक्रेट-वैल्यू वितरणों की नकल करने में विफल रहते हैं।

यह शोध पत्र वर्तमान दृष्टिकोणों में तीन महत्वपूर्ण अंतराल की पहचान करता है:

संदर्भ का अभाव (Missing Context): वास्तविक क्रेडेंशियल्स संगठनात्मक संदर्भ में गहराई से निहित होते हैं (जैसे, विशिष्ट सेवा आर्किटेक्चर से मेल खाने वाले IAM रोल नाम), जो जेनेरिक टेम्पलेट्स में अनुपस्थित होता है।
सेमेंटिक गैप (The Semantic Gap): अनुभवजन्य साक्ष्य सुझाव देते हैं कि जबकि टेम्पलेट टोकन उच्च सिंटैक्टिक वैधता प्राप्त करते हैं, वे सेमेंटिक सुसंगतता (semantic coherence) में काफी विफल रहते हैं, जो कि वास्तविक क्रेडेंशियल्स और छद्म (decoys) के बीच प्राथमिक विभेदक है।
डिटेक्शन रेजिस्टेंस (Detection Resistance): यहाँ तक कि संदर्भ-समृद्ध टोकन भी विफल हो जाते हैं यदि हमलावर के सामना करने से पहले उन्हें स्वचालित स्कैनर्स द्वारा फ्लैग कर दिया जाता है। वर्तमान उपकरण आधुनिक सांख्यिकीय और मशीन लर्निंग-आधारित ह्यूरिस्टिक्स से बचने के लिए पर्याप्त रूप से इंजीनियर नहीं किए गए हैं।

2. कार्यप्रणाली: PHANTOM फ्रेमवर्क

PHANTOM (Polymorphic Honeytoken Adaptation with Narrative-Tailored Organisational Mimicry) एक ऐसा फ्रेमवर्क है जो संगठन-विशिष्ट ज्ञान को एक बहु-घटक पीढ़ी पाइपलाइन में एनकोड करके संदर्भ-अनुकूल हनीटोकन उत्पन्न करता है।

2.1 संगठनात्मक प्रोफाइल (Organizational Profile)

यह प्रणाली एक संरचित संगठनात्मक प्रोफाइल ( $O$ ) पर कार्य करती है जिसमें शामिल हैं:

डोमेन नाम और संक्षिप्त नाम।
सेवाओं की सूची और डेटाबेस प्रकार/होस्ट।
क्लाउड क्षेत्र और Git संगठन विवरण।
JWT जारीकर्ता (issuers) और दर्शक (audiences)।

2.2 प्रासंगिक पीढ़ी पाइपलाइन (Contextual Generation Pipeline)

स्थिर जनरेटरों के विपरीत, PHANTOM आठ अलग-अलग टोकन प्रकारों (AWS कीज़, एनवायरनमेंट फाइल्स, JWTs, और Slack बॉट टोकन सहित) के लिए समर्पित जनरेटर ( $G_t$ ) का उपयोग करता है। मुख्य डिजाइन सिद्धांत वैल्यू-लेवल कॉन्टेक्स्ट इंजेक्शन है:

प्रत्येक नामित फ़ील्ड (IAM यूजरनेम, डेटाबेस नाम, Redis होस्टनेम, Git रिमोट URL) सीधे संगठनात्मक प्रोफाइल से लिया जाता है।
पाइपलाइन बाहरी API कॉलों से बचती है, जिससे यह सुनिश्चित होता है कि इसे एयर-गैप्ड या वर्गीकृत वातावरण में तैनात किया जा सके।
स्कैनर-जागरूक डिज़ाइन (Scanner-Aware Design): जनरेटरों को स्पष्ट रूप से तीन प्राथमिक स्कैनर ह्यूरिस्टिक्स से बचने के लिए इंजीनियर किया गया है:
- रेगेक्स/पैटर्न ( $S_1$ ): जेनेरिक रेड-फ्लैग स्ट्रिंग्स (जैसे "example.com") को संगठन-व्युत्पन्न मानों से बदल देता है।
- एन्ट्रॉपी विश्लेषण ( $S_2$ ): वास्तविक फाइलों के मिश्रित-एन्ट्रॉपी प्रोफाइल (उच्च-एन्ट्रॉपी सीक्रेट्स के साथ कम-एन्ट्रॉपी मानव-पठनीय मान) की नकल करता है, न कि समान उच्च एन्ट्रॉपी की।
- ML क्लासिफायर ( $S_3$ ): क्लासिफायर जो संदर्भ की कमी का पता लगाने के लिए प्रशिक्षित किए गए हैं, उनका मुकाबला करने के लिए संगठन-विशिष्ट फिंगरप्रिंट (डोमेन, सेवा नाम) एम्बेड करता है।

2.3 मूल्यांकन मेट्रिक्स

शोध पत्र टोकन की गुणवत्ता को एक बिलाइवेबिलिटी स्कोर ( $B$ ) और एक कंपोजिट हनीटोकन स्कोर ( $H$ ) के माध्यम से औपचारिक रूप देता है:

बिलाइवेबिलिटी स्कोर ( $B$ ): चार घटकों का एक भारित (weighted) कंपोजिट है:
1. सिंटैक्टिक वैधता ( $S_v$ ): टोकन प्रकार के लिए सही प्रारूप।
2. सेमेंटिक सुसंगतता ( $S_c$ ): संगठनात्मक प्रोफाइल के साथ प्रासंगिक फिट।
3. सांख्यिकीय सामान्यता ( $S_n$ ): वास्तविक क्रेडेंशियल्स से मेल खाने वाले एन्ट्रॉपी और वितरण गुण।
4. मानवीय स्वीकृति ( $S_h$ ): विशेषज्ञ मूल्यांकनकर्ताओं का वह अंश जो टोकन को वास्तविक के रूप में वर्गीकृत करता है।
**डिटेक्शन रेजिस्टेंस ($DR $):**$ 1 - P_d $के रूप में परिभाषित है, जहाँ$ P_d $स्कैनर मॉडल्स ($ S_1, S_2, S_3$) के एक भारित एन्सेम्बल द्वारा डिटेक्शन की संभावना है।
कंपोजिट स्कोर ( $H$ ): बिलाइवेबिलिटी और डिटेक्शन रेजिस्टेंस को संतुलित करता है ( $H = B^\lambda \cdot DR^\mu$ )।

3. प्रयोगात्मक सेटअप

डेटासेट: 8 विभिन्न टोकन प्रकारों और 4 संगठनात्मक संदर्भों (FinTech, Healthcare, Defense, E-commerce) में 32 PHANTOM टोकन और 32 टेम्पलेट-आधारित बेसलाइन टोकन।
बेसलाइन: एक स्थिर टेम्पलेट जनरेटर जो रैंडम सीक्रेट वैल्यूज का उपयोग करता है लेकिन कोई संगठनात्मक संदर्भ नहीं देता (Canarytokens के समकक्ष)।
मूल्यांकन:
- स्वचालित: सभी टोकनों पर लागू तीन स्कैनर मॉडल (Regex, Entropy, ML Classifier)।
- मानवीय: विशेषज्ञ मूल्यांकनकर्ताओं ने टोकनों को वास्तविक या छद्म (decoy) के रूप में वर्गीकृत किया।
- सांख्यिकीय: Bonferroni सुधार के साथ दो-नमूना Welch's t-tests; प्रभाव आकार (effect sizes) के रूप में Cohen's $d$ रिपोर्ट किया गया।

4. मुख्य परिणाम

PHANTOM सभी प्राथमिक मेट्रिक्स में टेम्पलेट-आधारित बेसलाइन से काफी बेहतर प्रदर्शन करता है:

मेट्रिक	टेम्पलेट बेसलाइन	PHANTOM	$\Delta$	सार्थकता (Significance)
बिलाइवेबिलिटी ( $B$ )	$0.576 \pm 0.058$	$0.778 \pm 0.057$	$+0.203$	$p < 0.001$ ( $d=3.52$ )
सिंटैक्टिक वैधता ( $S_v$ )	$0.842 $\|$ 0.876 $\|$ +0.034$	महत्वपूर्ण नहीं
सेमेंटिक सुसंगतता ( $S_c$ )	$0.396 $\|$ 0.705 $\|$ +0.309 $\|$ p < 0.001 $($ d=4.52$)
मानवीय स्वीकृति ( $S_h$ )	$6.2\%$	$100.0\%$	$+93.8\%$	$p < 0.001$
डिटेक्शन रेजिस्टेंस ($DR $) \|$ 0.609 $\|$ 0.870 $\|$ +0.261 $\|$ p < 0.001 $($ d=7.49$)

ड्राइवर के रूप में सेमेंटिक सुसंगतता: सबसे बड़ा सुधार सेमेंटिक सुसंगतता ( $\Delta S_c = +0.309$ ) में हुआ, जो पुष्टि करता है कि संगठनात्मक संदर्भ वह महत्वपूर्ण घटक है जो वर्तमान में गायब है। सिंटैक्टिक वैधता में कोई महत्वपूर्ण अंतर नहीं दिखा, जो इंगित करता है कि प्रारूप की शुद्धता एक आवश्यक लेकिन अपर्याप्त शर्त है।
मानवीय स्वीकृति: 100% PHANTOM टोकन ने मानव विशेषज्ञ थ्रेशोल्ड ( $B \ge 0.65$ ) को पार किया, जबकि टेम्पलेट के लिए यह केवल 6.2% था।
डिटेक्शन रेजिस्टेंस: PHANTOM टोकन तीनों प्रमुख स्कैनर मॉडल्स के विरुद्ध काफी कठिन थे, जिसमें ML-आधारित क्लासिफायर के विरुद्ध सबसे नाटकीय सुधार देखा गया (डिटेक्शन की संभावना 54.1% से गिरकर 16.2% हो गई)।
पारेटो इष्टतमता (Pareto Optimality): 100% PHANTOM टोकन "आदर्श क्षेत्र" ( $B \ge 0.70$ और $DR \ge 0.70$ ) के भीतर आए, जबकि केवल 6.2% टेम्पलेट टोकन ही इसमें शामिल थे।

5. महत्व और दावे

शोध पत्र दावा करता है कि PHANTOM वर्तमान हनीटोकन पीढ़ी की मौलिक सीमा को संबोधित करता है: संगठनात्मक विशिष्टता का अभाव।

प्राथमिक योगदान: एक औपचारिक बिलाइवेबिलिटी स्कोर फ्रेमवर्क का परिचय, जो सिंटैक्टिक, सेमेटिक, सांख्यिकीय और मानवीय आयामों को एकीकृत करता है, यह प्रदर्शित करता है कि सेमेंटिक सुसंगतता धोखे की गुणवत्ता का प्रमुख चालक है।
परिचालन लाभ: बिना किसी बाहरी API कॉल के कार्य करके, PHANTOM पूरी तरह से एयर-गैप्ड वातावरण (जैसे, वर्गीकृत सरकारी नेटवर्क, औद्योगिक नियंत्रण प्रणाली) में तैनात किया जा सकता है जहाँ क्लाउड API एक्सेस प्रतिबंधित है, जो LLM-आधारित दृष्टिकोणों के समान गुणवत्ता का स्तर प्रदान करता है, बिना नेटवर्क निर्भरता के।
रणनीतिक प्रभाव: यह फ्रेमवर्क उच्च-गुणवत्ता वाले "चारे" (bait) घटक को प्रदान करता है जो पूर्ण पोस्ट-एक्सफिल्ट्रेशन धोखे और एट्रिब्यूशन पाइपलाइन के लिए आवश्यक है, जो मौजूदा सिस्टम जैसे कि Passive Hack-Back और लॉन्गिट्यूडिनल री-आइडेंटिफिकेशन सिस्टम का पूरक है।

लेखक निष्कर्ष निकालते हैं कि भविष्य के जनरेटर गुणवत्ता प्रयासों को प्रारूप की शुद्धता (सिंटैक्टिक वैधता) से हटकर सेमेटिक एम्बेडिंग पर ध्यान केंद्रित करना चाहिए, क्योंकि यही वह कारक है जो यह निर्धारित करता है कि क्या हनीटोकन एक वैध क्रेडेंशियल के समान है या नहीं।