InferD: A Honeypot Framework for AI Inference Infrastructure
作者: Hicham Hammouchi, Gabriele Lenzini
分类: cs.CR, cs.AI
发布日期: 2026-10-29
备注: AISec Workshop '26, ACM CCS 2026, The Hague, Netherlands
💡 一句话要点
提出InferD框架以解决AI推理基础设施的蜜罐监测问题
🎯 匹配领域: 支柱九：具身大模型 (Embodied Foundation Models)
关键词: 蜜罐技术 AI安全 推理基础设施 欺骗机制 行为监测
📋 核心要点
- 现有蜜罐框架主要针对传统网络服务，无法有效应对AI推理基础设施的特定威胁特征。
- InferD框架通过静态响应池实现欺骗而不进行推理，确保对手的请求不会被实际执行。
- InferD的设计使得对手无法获取真实的模型行为，提升了对AI服务的安全监测能力。
📝 摘要（中文）
随着大型语言模型服务、商业推理API、向量数据库和代理编排网关在公共互联网的暴露，相关的威胁特征尚处于初步测量阶段。现有的蜜罐框架主要针对传统网络服务，而非AI基础设施。本文提出InferD，一个低交互蜜罐框架，旨在通过静态响应池回应观察到的请求，确保对手提交的内容不会被执行。InferD将仿真分解为四个欺骗层面，并增加了一个来源层，链接种植的凭证与后续模型处理的证据。
🔬 方法详解
问题定义：本文旨在解决现有蜜罐框架无法有效监测AI推理基础设施的挑战，尤其是在对手能够快速识别和利用这些服务的情况下。现有方法未能考虑AI服务的独特行为和交互特性。
核心思路：InferD的核心思路是“欺骗而不推理”，即通过静态响应池回应对手的请求，确保对手无法获得真实的模型执行结果。这样设计的目的是为了在不暴露真实服务的情况下，收集对手的行为数据。
技术框架：InferD的整体架构包括四个欺骗层面：传输层、服务协议层、漏洞表面层和代理会话层。此外，增加了一个来源层，用于链接种植的凭证与后续处理的证据。
关键创新：InferD的主要创新在于其低交互特性和多层次的欺骗机制，能够有效模拟AI服务的行为而不进行实际推理。这与传统蜜罐框架的设计理念有本质区别。
关键设计：在设计中，InferD使用静态响应池来处理所有请求，确保对手无法获取真实的模型信息。同时，系统的各个层面都经过精心设计，以确保高效的欺骗效果和数据收集能力。具体的参数设置和响应策略在论文中进行了详细描述。
📊 实验亮点
InferD在实验中展示了其有效的欺骗能力，能够在不执行任何真实推理的情况下，成功模拟AI服务的行为。与传统蜜罐相比，InferD在对手行为监测的准确性和数据收集的全面性上有显著提升，具体性能数据在论文中进行了详细对比。
🎯 应用场景
InferD框架可广泛应用于AI推理基础设施的安全监测，尤其是在大型语言模型和API服务的环境中。通过有效模拟服务行为，InferD能够帮助安全研究人员识别潜在的攻击模式和威胁，从而提升整体安全性。未来，该框架还可能扩展到其他类型的智能服务监测中。
📄 摘要（原文）
Large language model serving stacks, commercial inference APIs, vector databases, and agent orchestration gateways are now ex- posed on the public internet and indexed by commodity scanners within hours of deployment. The threat characteristics of this sur- face are only beginning to be measured, and the honeypot frame- works that could measure it were designed for conventional net- work services rather than for AI infrastructure. In fact, emulating an AI service is a distinct deception problem: the observable behavior of the service, including model inventories, token formats, tool-call protocols, and authorization flows, must be reproduced faithfully, while the underlying computation, model inference and tool ex- ecution, must never occur. We present InferD, a low-interaction honeypot framework organized around a single principle we call deception without inference: every request an adversary can observe is answered from static response pools, and nothing an adversary submits is ever executed. InferD decomposes the emulation into four deception planes, transport, service protocol, vulnerability surface, and agentic session, adds a provenance plane that links a planted credential to evidence of downstream model-mediated processing.