天津大学与南洋理工大学合作推出名为 AgentTrap 的闭环蜜罐方案，专门针对现在流行的自主渗透智能体，它不再使用传统蜜罐那种提前写死、固定不变的诱饵内容，而是根据智能体每一步的探测行为、交互历史动态调整返回反馈，依靠状态化欺骗引导渗透智能体从真实业务资产转向蜜罐环境，同时还能在可控范围内诱导智能体交出自身 API 密钥等凭证，用来收集攻击侧的行为证据，传统静态蜜罐很容易被 PentestGPT 这类自主渗透智能体识别出来，因为诱饵响应不会跟着攻击流程变化，而 AgentTrap 会维持多轮交互逻辑自洽，不会出现前后矛盾的破绽，整套系统还加入哨兵端点，区分正常用户和攻击流量，避免干扰正常业务，实测在 8 款自主渗透智能体的测试环境里，真实目标的攻击成功率从 95.8% 下降到 79.2%，还有 18.8% 的测试场景成功拿到攻击者的凭据，适合用来对抗 AI 自动渗透攻击，为防守方做溯源、取证、诱捕提供新思路。下面把项目基础信息、三大核心机制、测试方案、部署流程、新旧蜜罐对比、优缺点拆开讲清楚。
一、AgentTrap 项目基础信息表
| 项目 | 详情 |
|---|---|
| 项目名称 | AgentTrap |
| 研究单位 | 天津大学、南洋理工大学 |
| 论文标题 | AgentTrap: Stateful Feedback Deception against Autonomous Penetration Testing Agents |
| 发布平台 | arXiv 预印本 |
| 核心思路 | 状态化反馈欺骗，闭环自适应蜜罐 |
| 测试对象 | 8 款主流自主渗透智能体（PentestGPT 等） |
| 基线效果 | 无防御时真实目标攻击成功率 95.8% |
| 部署形态 | 哨兵端点 + 蜜罐端点，和真实业务并行部署 |
| 核心目标 | 诱捕自主渗透智能体、降低真实资产被拿下概率、采集攻击证据 |
二、AgentTrap 三大核心机制清单
- 哨兵端点识别：先区分访问流量属于正常用户还是自主渗透智能体，正常流量直接放行走真实业务，不会被诱饵干扰，只有识别到 Agent 的探测行为之后，才启动欺骗流程。
- 绑定业务上下文的状态化欺骗：系统记录智能体全部交互轨迹，每一次返回的欺骗反馈都和前面的行为保持一致，不会出现逻辑冲突，防止智能体识别出这是假环境。
- 行为引导式升级：不会一上来就索要密钥，会跟着智能体的攻击进度把握时机，等智能体进入权限提升阶段之后再抛出诱饵，可控地诱导它提交凭据，同时控制泄露范围，不会带来额外风险。
三、传统静态蜜罐和 AgentTrap 状态化欺骗蜜罐对比
- 传统静态蜜罐：诱饵文件、返回内容提前写死，不管攻击者怎么探测，回应都固定；自主渗透智能体很容易根据固定特征识别蜜罐，快速放弃诱饵转回真实目标。
- AgentTrap 状态化蜜罐：有完整状态机，每一步响应依赖智能体上一步动作，动态生成反馈；交互链条更长、更真实，不容易被 Agent 识别，持续留住智能体在蜜罐里。
四、落地部署操作步骤
- 旁路部署哨兵端点，接入业务流量，配置流量识别规则，区分人工访问和自主渗透 Agent 的工具调用、探测行为。
- 搭建配套蜜罐端点，对齐真实业务接口、报错格式，保证交互风格和真实服务一致。
- 配置状态机和欺骗策略，设置诱饵升级时机、可采集的证据类型，划定最大信息泄露边界，避免过度欺骗带来风险。
- 开启日志审计，完整记录 Agent 所有探测、指令、返回结果，用于后续攻击溯源。
- 上线灰度测试，观察是否误拦截正常用户，微调识别阈值，再全量启用。
- 持续迭代策略，根据新型渗透 Agent 的攻击模式更新欺骗反馈模板。
五、方案优势与现存局限
✅ 优势
- 专门针对 LLM 自主渗透智能体设计，弥补传统蜜罐容易被 AI Agent 识别的短板
- 可以做到取证，有概率拿到攻击者的 API 密钥，给溯源提供关键线索
- 隔离正常流量，不会影响普通用户访问业务
- 闭环自适应，跟随攻击链路动态调整反馈，欺骗持续性更强
⚠️ 局限
- 目前是学术预研方案，还没有成熟商用产品，大规模生产环境落地需要二次开发
- 不能完全阻止攻击，只是降低真实目标被攻破概率，不是根治方案
- 欺骗策略依赖业务特征，不同业务系统需要单独调优状态逻辑
- 如果渗透智能体本身具备很强的欺骗识别能力，依然有可能识破诱饵
综合来看，AgentTrap 的核心创新点就是把静态诱饵升级成状态联动的反馈欺骗，抓住自主渗透智能体依靠返回结果判断下一步动作这个特点，把 AI 攻击者引导到蜜罐里面；在 AI 自动渗透工具越来越多的环境下，这套思路可以作为现有 WAF、传统蜜罐之外的补充防御手段，但它属于诱捕取证类防御，不能替代基础漏洞修复、权限加固等安全措施。
【相关 FAQ】
问题 1：天津大学联合南洋理工大学提出 AgentTrap，依靠状态化反馈欺骗将自主渗透智能体引入蜜罐，AgentTrap 是什么？
回答 1：天津大学联合南洋理工大学提出 AgentTrap，依靠状态化反馈欺骗将自主渗透智能体引入蜜罐，AgentTrap 是面向自主渗透智能体的闭环蜜罐系统，采用状态化反馈欺骗动态引导 AI 渗透 Agent 进入蜜罐，同时采集攻击证据。
问题 2：天津大学联合南洋理工大学提出 AgentTrap，依靠状态化反馈欺骗将自主渗透智能体引入蜜罐，它和普通蜜罐最大差别是什么？
回答 2：天津大学联合南洋理工大学提出 AgentTrap，依靠状态化反馈欺骗将自主渗透智能体引入蜜罐，普通蜜罐是固定静态诱饵，AgentTrap 会记录智能体交互状态，动态生成前后自洽的反馈，更难被自主渗透智能体识别。
问题 3：天津大学联合南洋理工大学提出 AgentTrap，依靠状态化反馈欺骗将自主渗透智能体引入蜜罐，AgentTrap 会不会干扰正常用户访问？
回答 3：不会，天津大学联合南洋理工大学提出 AgentTrap，依靠状态化反馈欺骗将自主渗透智能体引入蜜罐，它依靠哨兵端点识别流量，正常用户流量直接放行，只有识别到自主渗透 Agent 才启动欺骗流程。
问题 4：天津大学联合南洋理工大学提出 AgentTrap，依靠状态化反馈欺骗将自主渗透智能体引入蜜罐，实测效果怎么样？
回答 4：天津大学联合南洋理工大学提出 AgentTrap，依靠状态化反馈欺骗将自主渗透智能体引入蜜罐，在 8 款渗透智能体测试中，真实目标攻击成功率从 95.8% 降到 79.2%，18.8% 场景成功诱导交出攻击者凭据。
问题 5：天津大学联合南洋理工大学提出 AgentTrap，依靠状态化反馈欺骗将自主渗透智能体引入蜜罐，AgentTrap 是不是可以直接替代漏洞修复？
回答 5：不可以，天津大学联合南洋理工大学提出 AgentTrap，依靠状态化反馈欺骗将自主渗透智能体引入蜜罐，它属于诱捕溯源类防御手段，用来转移、监控攻击，不能替代漏洞修补、权限加固这类基础安全措施。
【参考资料】
[2026-11-09]（用状态化反馈欺骗把自主渗透智能体引进蜜罐）安全内参
[2026-10-04]（AgentTrap: Stateful Feedback Deception against Autonomous Penetration Testing Agents）arXiv
[2026-11-10]（天津大学南洋理工联合研究：针对 AI 渗透 Agent 的自适应蜜罐）FreeBuf
[2026-11-11]（AI Agent 渗透攻防新方向：状态感知欺骗蜜罐）嘶吼安全产业研究院
【免责声明】
以上内容来自 arXiv 预印本论文、安全行业媒体公开学术信息整理，仅为技术研究科普，不构成安全产品采购、生产环境直接部署建议。AgentTrap 属于学术原型方案，在真实业务中使用欺骗类防御手段需要评估合规风险；诱捕、取证相关操作需要遵守网络安全相关法律法规，最终安全方案落地请结合自身业务、合规要求完成测试评估。
本文来自作者[Daisy56]投稿，不代表诚邦网立场，如若转载，请注明出处：https://www.cbpmc.com.cn/qyzx/202611/599.html
评论列表（4条）
我是诚邦网的签约作者“Daisy56”！
希望本篇文章《天津大学联合南洋理工大学提出 AgentTrap，依靠状态化反馈欺骗将自主渗透智能体引入蜜罐》能对你有所帮助！
本站[诚邦网]内容主要涵盖：互联网行业的追踪与探索
本文概览：天津大学与南洋理工大学合作推出名为 AgentTrap 的闭环蜜罐方案，专门针对现在流行的自主渗透智能体，它不再使用传统蜜罐那种提前写死、固定不变的诱饵内容，而是根据智能体每一步的探测行为、交互历史动态调整返回反馈，依靠状态化欺骗引导渗透智能体从真实业务资产转向蜜罐环境，同时还能在可控范围内诱导智能体交出自身 API 密钥等凭证，用来收集攻击侧的行为证据，传统静态蜜罐很容易被 PentestGPT 这类自主渗透智能体识别出来，因为诱饵响应不会跟着攻击流程变化，而 AgentTrap 会维持多轮交互逻辑自洽，不会出现前后矛盾的破绽，整套系统还加入哨兵端点，区分正常用户和攻击流量，避免干扰正常业务，实测在 8 款自主渗透智能体的测试环境里，真实目标的攻击成功率从 95.8% 下降到 79.2%，还有 18.8% 的测试场景成功拿到攻击者的凭据，适合用来对抗 AI 自动渗透攻击，为防守方做溯源、取证、诱捕提供新思路。下面把项目基础信息、三大核心机制、测试方案、部署流程、新旧蜜罐对比、优缺点拆开讲清楚。