SoK: Honeypots & LLMs, More Than the Sum of Their Parts?

1. Il Problema: Il Paradosso dei Honeypot

Il documento affronta un paradosso fondamentale nella progettazione degli honeypot (sistetti esca) nel cybersicurezza:

• Honeypot a bassa interazione: Sono sicuri e facili da distribuire, ma offrono un'interazione semplificata e sono facilmente rilevabili dagli attaccanti.
• Honeypot ad alta interazione: Offrono un'interazione realistica e fedele, ma comportano rischi significativi per la rete e richiedono un elevato carico di gestione.
• L'obiettivo irraggiungibile: La ricerca storica ha cercato di ottenere la fedeltà di un sistema reale con il basso rischio e lo sforzo minimo di una simulazione.
• La sfida attuale: Sebbene l'avvento dei Large Language Models (LLM) abbia promesso di risolvere questo paradosso generando interazioni dinamiche e credibili, le valutazioni reali mostrano progressi solo incrementali. Il campo manca di una comprensione coerente delle architetture emergenti, delle sfide fondamentali e dei paradigmi di valutazione. Inoltre, esiste un "deserto di dati": la maggior parte del traffico reale è composta da script di scansione a bassa sofisticazione, che non mettono alla prova le capacità degli LLM, mentre gli studi con utenti umani sono troppo piccoli per essere statisticamente significativi.

2. Metodologia: Systematization of Knowledge (SoK)

Gli autori hanno condotto una revisione sistematica e una sistematizzazione della conoscenza (SoK) che si colloca tra due aree critiche:

1. Fingerprinting degli honeypot: Per comprendere i limiti fondamentali del realismo.
2. Analisi dei dati degli honeypot: Per comprendere l'obiettivo finale della generazione di intelligence.

La metodologia include:

• Revisione della letteratura: Analisi delle pubblicazioni dal 2022 al 2025 (inclusi lavori fino a ottobre 2025) che integrano LLM negli honeypot.
• Classificazione e Sintesi: Creazione di tassonomie per i vettori di rilevamento, architetture, modelli di attacco e metriche di valutazione.
• Analisi comparativa: Confronto tra approcci pre-LLM e post-LLM, identificando lacune nei tool open-source e nelle metodologie di valutazione.

3. Contributi Chiave

A. Tassonomia dei Vettori di Rilevamento (Fingerprinting)

Gli autori identificano quattro vettori persistenti attraverso i quali gli attaccanti rilevano gli honeypot, mappando cosa gli LLM possono e non possono risolvere:

1. Contenuti e Postura di Rete: Incoerenze tra l'identità dichiarata e le proprietà osservabili (es. porte unrealistiche, banner predefiniti, layout del file system). Gli LLM possono generare contenuti credibili, ma non possono nascondere le firme dello stack di rete (TCP/IP) o le porte aperte.
2. Output e Comportamento: Output errati o metadati non credibili (es. tempi di risposta anomali, output statici di comandi come top). Gli LLM possono aggiungere casualità, ma faticano a replicare la fedeltà temporale e le dinamiche in tempo reale.
3. Limitazioni Funzionali: Sfruttamento della mancanza di logica di sistema sottostante (es. fallimento del completamento tab, impossibilità di scaricare file reali o connettersi a server esterni). Gli LLM possono simulare messaggi di successo, ma non possono generare traffico di rete reale o esecuzione di kernel.
4. Sintesi di Multi-Feature: L'uso di Machine Learning per combinare i vettori sopra citati. Gli LLM aumentano la complessità dello spazio delle caratteristiche, rendendo più difficile la rilevazione basata su firme statiche.

B. Architettura Canonica degli Honeypot basati su LLM

Il paper definisce un'architettura emergente composta da:

• Filtro/Router: Un componente critico che filtra il traffico, blocca gli scanner e gestisce il cache delle risposte deterministiche per proteggere l'LLM da attacchi DoS (Denial of Service) e DoW (Denial of Wallet).
• Gestore dello Stato e Curatore della Storia: Moduli per mantenere il contesto della sessione e potare (prune) la cronologia dei comandi per rispettare i limiti del contesto dell'LLM.
• Motore LLM: Il nucleo generativo, spesso supportato da modelli fine-tuned o LoRA (Low-Rank Adaptation) specifici per protocollo.
• Generatore di Prompt: Costruisce prompt ricchi di contesto per massimizzare la fedeltà.
• Nota: Manca un'architettura open-source completa e configurabile che integri tutte queste componenti.

C. Tripartizione dell'Attaccante e Tetraide di Valutazione

Gli autori propongono un nuovo modello di valutazione basato su tre tipi di attaccanti e quattro metriche:

• Tripartizione degli Attaccanti:
  1. Tier 1 (Bot Pre-scripted): Scanner ad alto volume. Gli LLM sono inefficienti qui; bastano esche statiche.
  2. Tier 2 (Agenti LLM Autonomi): Attaccanti intelligenti che ragionano e adattano le strategie. Questo è il target principale per gli honeypot basati su LLM.
  3. Tier 3 (Umani Esperti): Richiedono ancora ambienti ad alta interazione reale; la simulazione LLM è insufficiente.
• Tetraide di Valutazione:
  1. Credibilità (Believability): Misurata tramite studi umani o similarità semantica.
  2. Fedeltà (Fidelity): Tempi di risposta, distanza di Levenshtein, successo nell'esecuzione dei comandi.
  3. Costo/Intelligenza dell'Attaccante: Profondità dell'interazione (lunghezza della sessione) e diversità delle tecniche MITRE ATT&CK elicitate.
  4. Costo del Difensore: Consumo di token, latenza API, overhead hardware.

D. Evoluzione dell'Analisi dei Log

Il paper traccia l'evoluzione dall'analisi manuale alla generazione automatica di intelligence:

• Fase 1: Riduzione dei dati e rilevamento di anomalie.
• Fase 2: Classificazione e visualizzazione delle sessioni.
• Fase 3: Mappatura automatica alle tattiche MITRE ATT&CK (il "Salto Semantico"), resa possibile dagli LLM.
• Fase 4 (Emergente): Operazionalizzazione dell'intelligence tramite agenti (es. sistemi RAG) per il rilevamento in tempo reale sui sistemi di produzione.

4. Risultati e Limitazioni

• Progresso Incrementale: Le implementazioni attuali mostrano miglioramenti marginali rispetto agli honeypot tradizionali (es. Cowrie) quando esposte a traffico reale, a causa della predominanza di script di scansione semplici.
• Il Paradosso della Valutazione: Le metodologie di valutazione esistono, ma sono ostacolate dalla mancanza di dati di alta qualità. Gli studi reali generano rumore a bassa sofisticazione, mentre gli studi di laboratorio con umani sono troppo piccoli.
• Limiti Tecnici: Gli LLM faticano a simulare comandi interattivi complessi (es. vim), output dinamici (es. top) e azioni di rete in uscita (es. wget).
• Mancanza di Tooling: Non esistono framework open-source maturi che implementino l'architettura canonica completa, rallentando la ricerca riproducibile.

5. Significato e Roadmap Futura

Il paper conclude che il vero potenziale degli LLM negli honeypot non risiede nel creare esche leggermente più credibili per gli umani, ma nel contrastare la nuova minaccia degli attaccanti autonomi basati su LLM.

Direzioni di ricerca future proposte:

1. Ridefinire il Target: Spostare l'attenzione dagli umani agli agenti autonomi (Tier 2).
2. Ecosistema di Ricerca Adversariale: Creare piattaforme chiuse dove attaccanti e difensori basati su LLM si confrontano per generare dati di addestramento di alta qualità e risolvere il "deserto di dati".
3. Architetture Modulari e Open-Source: Sviluppare framework modulari e l'uso di Small Language Models (SLM) o tecniche LoRA per ridurre costi e migliorare la privacy.
4. Cicli di Feedback Autonomi: Implementare sistemi che apprendono dalle interazioni, generano intelligence automaticamente e si riconfigurano da soli per adattarsi al panorama delle minacce in evoluzione (es. tramite Reinforcement Learning).
5. Estensione alle API: Applicare la simulazione LLM non solo agli shell, ma anche alle API REST/JSON, un vettore di attacco critico e sottoutilizzato.

In sintesi, il paper funge da fondamento per la transizione da honeypot statici a sistemi di inganno autonomi e auto-miglioranti, essenziali per la difesa contro le minacce intelligenti del futuro.