Resumo Técnico: Honeyval – Uma Estrutura de Avaliação Abrangente para Iscas HTTP Impulsionadas por LLM

Declaração do Problema

Iscas são sistemas de isca defensivos projetados para imitar componentes reais de uma pilha de software a fim de detectar, monitorar e estudar atacantes. Embora as iscas de alta interação tradicionais ofereçam simulações realistas, elas dependem de recursos de sistema reais, expondo os defensores a riscos de segurança significativos. Recentemente, os Modelos de Linguagem de Grande Escala (LLMs) emergiram como uma solução para simular interações de sistema com alta fidelidade, sem exigir acesso a recursos de host vulneráveis.

No entanto, o desenvolvimento de iscas impulsionadas por LLM carece de uma estrutura de avaliação unificada, escalável e reproduzível. Os métodos de avaliação atuais sofrem com três limitações primárias:

1. Escalabilidade: A dependência de testes manuais em laboratório ou implantações esparsas no mundo real torna o desenvolvimento iterativo difícil.
2. Reprodutibilidade: As avaliações frequentemente carecem de configurações de sistema precisas. Quando os LLMs simulam sistemas subespecificados, eles geram detalhes inconsistentes (por exemplo, estados do sistema de arquivos) entre execuções, tornando os resultados incomparáveis.
3. Representatividade: Comparações estáticas de saída de comandos ou interações abertas falham em capturar cadeias de ataque realistas ou adaptar-se a objetivos adversariais específicos.

As avaliações existentes tipicamente medem a similaridade de resposta contra comandos fixos, realizam testes manuais ou implantam sistemas online. Esses métodos não abordam adequadamente a dinâmica de "gato e rato", onde tanto atacantes quanto defensores se adaptam um ao outro.

Metodologia: A Estrutura Honeyval

Para abordar essas lacunas, os autores introduzem o Honeyval, uma estrutura de avaliação abrangente especificamente projetada para iscas HTTP impulsionadas por LLM. A estrutura é fundamentada em 16 configurações de aplicativos de backend realistas, provenientes do BaxBench, um benchmark para segurança de aplicativos web gerados por LLM.

Componentes Principais

1. Ambientes: O Honeyval utiliza 16 aplicativos de backend distintos (por exemplo, calculadoras, catálogos de produtos, serviços de login) definidos por especificações OpenAPI padronizadas. Cada aplicativo inclui:

   • Uma implementação segura.
   • Uma implementação insegura e explorável.
   • Um conjunto de testes funcionais.
   • Um objetivo de exploração definido (por exemplo, baixar um script, deletar uma tabela de banco de dados, modificar uma senha de administrador ou exfiltrar armazenamento do navegador).

2. Tarefas de Avaliação: A estrutura emprega três tarefas distintas para garantir robustez e comparabilidade:

   • Tarefa Principal (Iscas vs. Atacante): Um agente de hacking de IA interage diretamente com a isca impulsionada por LLM. A isca simula a API de backend, enquanto o agente tenta alcançar o objetivo de exploração definido. As métricas rastreadas incluem comprimento da interação (número de solicitações), custos de execução, latência e taxas de detecção da isca.
   • Tarefa de Controle do Agente: O agente de hacking interage com as implementações reais segura e insegura dos aplicativos de backend. Esta tarefa mede a capacidade básica do agente de explorar vulnerabilidades e sua capacidade de distinguir entre sistemas reais e iscas (Taxa de Falso Positivo).
   • Tarefa de Controle da Isca: A isca é testada contra o conjunto de testes funcionais do aplicativo de backend que ela simula. Isso garante que as respostas do LLM tenham alta fidelidade funcional e não sejam facilmente identificadas por solicitações benignas.

3. Agentes e Modelos:

   • Atacantes: A estrutura testa contra um agente ReAct personalizado e agentes de codificação de fronteira (Claude Code, Gemini CLI).
   • Iscas: O estudo avalia cinco LLMs custo-eficientes (Gemini 3 Flash, Claude Haiku 4.5, Gemini 2.5 Flash, Qwen 3.5 9B, GPT 5.4 Nano) atuando como a espinha dorsal da simulação.
   • Linhas de Base: Uma isca de baixa interação baseada em regras (API simulada) serve como linha de base para comparação.

4. Adaptabilidade: A estrutura permite o teste de configurações personalizadas de iscas (por exemplo, instruir o LLM a tentar injeção de prompt ou convencer o atacante de que o sistema é seguro) e configurações de agentes (por exemplo, instruir agentes a esconder sua intenção).

Principais Contribuições

1. Formulação de Requisitos: Os autores identificam e formalizam quatro requisitos-chave para a avaliação de iscas LLM: Escalabilidade, Reprodutibilidade, Representatividade e Adaptabilidade.
2. Estrutura Honeyval: Eles introduzem e tornam de código aberto a primeira estrutura de avaliação abrangente para iscas HTTP impulsionadas por LLM, apresentando 16 ambientes de backend fundamentados e uma estrutura de tarefas tripartite (Principal, Controle do Agente, Controle da Isca).
3. Avaliação Empírica Extensa: O artigo apresenta uma avaliação em larga escala de LLMs custo-eficientes como iscas contra agentes de hacking de IA de última geração, analisando dinâmicas de interação, assimetrias de custo e taxas de detecção.

Resultados e Análise

Comprimento da Interação e Engajamento

Iscas impulsionadas por LLM superam significativamente as linhas de base baseadas em regras no engajamento de atacantes.

• Métrica: Comprimento médio da interação (solicitações por interação).
• Descoberta: Iscas impulsionadas por LLM sustentaram interações com uma média de 82,6 solicitações, comparado a 30,6 solicitações para iscas baseadas em regras. Isso indica que os LLMs podem manter a ilusão de um sistema real por muito mais tempo, fornecendo aos defensores mais dados sobre táticas de atacantes.

Detectabilidade

• Métrica: Taxa de Verdadeiros Positivos (TPR) de detecção de iscas por agentes vs. Taxa de Falso Positivo (FPR) em aplicativos reais.
• Descoberta: Enquanto iscas baseadas em regras foram identificadas em taxas avassaladoras, iscas impulsionadas por LLM foram significativamente mais difíceis de detectar. Na maioria dos casos, as taxas de detecção estavam bem abaixo de 40%. Notavelmente, mesmo modelos menores como o Qwen 3.5 9B performaram bem. No entanto, agentes usando o Gemini CLI mostraram altas taxas de detecção, mas também altas FPRs em aplicativos reais, sugerindo julgamento pouco confiável nessa configuração específica.

Assimetria de Custo

• Métrica: Vantagem relativa de custo de execução (Custo do Agente / Custo da Isca).
• Descoberta: Apesar de usar uma arquitetura ingênua onde a isca processa cada solicitação individualmente, as iscas impulsionadas por LLM geralmente mantiveram uma vantagem de custo sobre os agentes atacantes. Isso sugere que, mesmo em uma configuração não otimizada, o defensor pode sustentar a interação a um custo menor do que o atacante pode sustentar o ataque.

Compensações entre Latência e Fidelidade

• Latência: Uma limitação chave identificada é a latência de resposta. Mesmo os modelos mais rápidos (Gemini 3 Flash) levaram ~3,3 segundos por resposta.
• Fidelidade: Os modelos alcançaram alta fidelidade funcional (pontuações Pass@1 >70% em conjuntos de testes), mas isso veio ao custo de alta geração de tokens (média de 200–500+ tokens por resposta), o que aumenta custos e latência.
• Correlação de Detecção: Embora a latência não tenha correlacionado estritamente com as taxas de detecção em todos os modelos, os agentes frequentemente citaram latência de resposta e tempos limite como evidência para classificar um aplicativo como uma isca.

Impacto de Instruções Personalizadas

O estudo explorou a modificação de prompts de iscas para alcançar objetivos contra-ofensivos:

• Prompt "Convencer": Instruir a isca a afirmar que o aplicativo é seguro aumentou o comprimento da interação (média de 102,6 solicitações), mas também aumentou a taxa de detecção (TPR 0,45).
• Prompt "Cuidado PI" (Injeção de Prompt): Instruir a isca a tentar injeção de prompt aumentou significativamente as taxas de detecção (TPR 0,49) e reduziu o comprimento da interação, pois os agentes frequentemente detectaram as tentativas de injeção. Esta configuração também degradou a fidelidade funcional em conjuntos de testes benignos.

Significado e Alegações

O artigo alega que o Honeyval fornece uma base necessária, escalável e reproduzível para o desenvolvimento de iscas impulsionadas por LLM. Os autores afirmam que:

1. LLMs são Defensores Promissores: Iscas impulsionadas por LLM oferecem uma alternativa viável a sistemas de alta interação, fornecendo simulações de alta fidelidade com risco de segurança mínimo e custos operacionais menores comparados ao custo do ataque.
2. A Avaliação é Crítica: As compensações únicas observadas (por exemplo, interações mais longas vs. maior risco de detecção ao usar prompts contra-ofensivos) destacam a necessidade das tarefas de controle fornecidas pelo Honeyval para monitorar os efeitos colaterais de alterações de configuração.
3. Direções Futuras: O trabalho sugere que, embora as arquiteturas ingênuas atuais sejam eficazes, melhorias futuras no gerenciamento de contexto (cache, memória) e hardware de inferência poderiam aprimorar ainda mais o desempenho. A estrutura é projetada para apoiar a evolução tanto de atacantes quanto de defensores automatizados.

Os autores concluem que, embora as iscas impulsionadas por LLM mostrem promessa clara, sua implantação requer configuração e monitoramento cuidadosos, o que o Honeyval facilita. A estrutura é de código aberto para avançar os esforços da comunidade neste domínio.