AgentSnare: Learning to Delay, Divert, and Defuse Autonomous Penetration Agents

📄 arXiv: 2607.26998v1 📥 PDF

作者: Ruoyu Wang, Heng Zhao, Renjie Wu, Mengnan Zhao, Zhixuan Chu, Wanyu Lin, Tianhang Zheng

分类: cs.CR, cs.CL, cs.LG

发布日期: 2026-07-29

备注: 8 pages, 3 figures, 1 table

💡 一句话要点

提出AgentSnare以动态欺骗渗透测试代理

🎯 匹配领域: 支柱四：生成式动作 (Generative Motion) 支柱九：具身大模型 (Embodied Foundation Models)

关键词: 渗透测试 动态欺骗 网络安全 大型语言模型 防御系统 伪装环境 攻击者模型

📋 核心要点

  1. 现有的渗透测试防御方法主要依赖静态伪装物，容易被先进的渗透代理识别和绕过。
  2. AgentSnare通过动态构建伪装环境，持续引导渗透代理远离真实目标，提升防御效果。
  3. 在15个CVE-Bench web应用和3个攻击者模型中，AgentSnare成功吸收46.8%的工具调用，90.0%的完成尝试基于伪装证据。

📝 摘要（中文）

大型语言模型（LLM）代理通过观察-行动循环自动化渗透测试，依赖工具返回的观察结果选择行动。这种依赖性使得防御者可以注入误导性观察，从而干扰代理的决策过程。然而，现有防御方法主要依赖于在攻击前植入的静态、孤立的伪装物，先进的代理能够逐步识别并绕过这些伪装物，最终将攻击焦点重新集中于真实目标。为了解决这一问题，我们提出了AgentSnare，这是一种动态展开伪装环境的轨迹自适应欺骗系统，旨在持续引导渗透代理远离真实目标。AgentSnare采用伪装物构建策略模型，根据代理的交互历史和伪装状态构建候选伪装物，并逐步将有效伪装物纳入事实一致的伪装环境，从而延缓攻击、转移其后续轨迹并通过诱导基于伪装证据的完成报告来解除攻击。

🔬 方法详解

问题定义：论文要解决的问题是现有渗透测试防御方法的局限性，特别是静态伪装物容易被识别和绕过，导致真实目标受到攻击。

核心思路：论文提出的核心思路是AgentSnare系统，通过动态构建伪装环境，持续引导渗透代理偏离真实目标，从而增强防御效果。

技术框架：AgentSnare的整体架构包括伪装物构建策略模型、候选伪装物验证模块和伪装环境更新模块。系统根据代理的交互历史和当前伪装状态动态生成和更新伪装物。

关键创新：最重要的技术创新点在于AgentSnare能够实时适应渗透代理的行为，动态构建伪装物并将其纳入环境中，这与传统静态防御方法形成鲜明对比。

关键设计：关键设计包括伪装物构建策略的参数设置、损失函数的设计，以及网络结构的优化，以确保伪装物的有效性和一致性。

🖼️ 关键图片

fig_0
fig_1
fig_2

📊 实验亮点

实验结果显示，AgentSnare在15个CVE-Bench web应用和3个攻击者模型中，成功吸收了46.8%的工具调用，保留了55.9%的后续行动，并且90.0%的完成尝试基于伪装证据，表明其在动态防御中的显著提升。

🎯 应用场景

该研究的潜在应用领域包括网络安全、渗透测试和防御系统的设计。AgentSnare可以有效提升防御者对渗透攻击的抵御能力，具有重要的实际价值和未来影响，尤其是在面对不断演化的攻击者时。

📄 摘要（原文）

Large language model (LLM) agents automate penetration testing through an observation-action loop, selecting actions based on observations returned by tools. This dependence allows defenders to inject deceptive observations that can mislead the agent's decision-making process. However, existing defenses rely heavily on static, isolated artifacts planted in the environment prior to an attack. Advanced agents can progressively recognize and bypass these artifacts, ultimately refocusing their exploitation attempts on the real target. To address this issue, we introduce AgentSnare, a trajectory-adaptive deception system that dynamically unfolds a decoy environment to continually steer the penetration agent away from the real target. Specifically, AgentSnare employs an artifact-construction policy model that constructs candidate artifacts conditioned on the agent's interaction history and decoy state. AgentSnare then validates these candidates and incrementally incorporates valid artifacts into a factually consistent decoy environment, thereby delaying the attack by absorbing its tool calls, diverting its post-entry trajectory within the decoy, and defusing it by inducing completion reports grounded in decoy evidence. Across 15 CVE-Bench web applications and three attacker models, AgentSnare absorbs 46.8% of the agent's tool calls in the decoy and retains 55.9% of post-entry actions there, while 90.0% of completion attempts are grounded in decoy evidence; across all 45 attacker-CVE pairs, no real target is successfully exploited at pass@3.