Przejdź do treści

Eksperyment typu „honeypot”

Honeypot zarządzany przez model językowy

Dwa serwery-przynęty w publicznej sieci internetowej, które stworzył i przez cały miesiąc zarządzał modelem językowym. Co na nich testowano, jak to mierzono – oraz wszystkie dane, w tym pełny zapis pracy agentów.

Dane zaktualizowane: 3. 10. 2026 10:31:16 UTC+02:00

Zgłoś problem

Bieganie w liczbach #

Dni pracy 28 jak to się oblicza Wydarzenia 16 450 701 jak to się oblicza Średnia liczba zdarzeń dziennie 587 525 jak to się oblicza Unikalne adresy IP 40 057 jak to się oblicza Kraj pochodzenia 155 jak to się oblicza Porty, których to dotyczy 58 630 jak to się oblicza Sprawdzone nazwy użytkowników 5 899 jak to się oblicza Sprawdzonych haseł 13 379 jak to się oblicza Pobrane próbki 1 183 jak to się oblicza Rodziny złośliwego oprogramowania 10 jak to się oblicza Nagrane audycje 74 273 jak to się oblicza Dane surowe 123,8GB jak to się oblicza
Okno czasowe
21. 8. 2026 – 16. 9. 2026
Dane źródłowe
honeypot-ports-aggregated-20260922.csv, timeline-aggregated na razie niedostępne, samples-aggregated na razie niedostępne
Skrypt
zostanie opublikowany

O co chodzi #

Od 21. 8. 2026 do 17. 9. 2026 (28 dni) u tego samego dostawcy działały dwa serwery wirtualne z publicznym adresem IP. Na obu zainstalowano honeypot – system-przynęta, który udaje podatny na ataki serwer i rejestruje wszystko, co ktokolwiek próbuje z nim zrobić. Oba serwery otrzymały takie samo zadanie, jednak ich ostateczny wygląd znacznie się różnił: serwer srv3 oferował około 46 konkretnych usług, natomiast serwer srv4 odpowiadał na wszystkich 65 534 portach TCP. Celem było ustalenie, które porty cieszą się największym zainteresowaniem wśród atakujących.

Honeypotów nie stworzył człowiek. Oba zostały uruchomione i przez cały miesiąc były obsługiwane przez model językowy – na jednym serwerze Opus 5, na drugim Fable 5. Modele otrzymały uprawnienia administratora, zadania i nie miały nikogo, kto by im doradzał; nawet to, ile portów otworzy honeypot, zależało od ich decyzji. Kontrole odbywały się mniej więcej dwa razy w tygodniu, za każdym razem w nowym czacie bez zapisu poprzednich sesji. Pełny zapis ich działań, w tym błędów i awarii, został opublikowany.

Wyniki uzupełnię po zakończeniu biegu i przetworzeniu danych. Do tego czasu liczby w tej sekcji są jedynie wartościami zastępczymi; metodologia i opis ograniczeń obowiązują już teraz.

Nagranie wykładu #

Dokąd dalej #

Metodologia

Jak zbudowano serwery, jakie dane gromadzono, a jakich nie, oraz kiedy i kto podjął działania.

 Wyniki

Ranking portów, ruch w czasie, geografia, hasła, polecenia i przykłady.

 Dane

Agregacja oraz surowe dane do pobrania, dokumentacja formatów i licencje.

 Zapis przebiegu

Czat agenta, wszystkie uruchomione polecenia, dzienniki i interwencje operatora.

 Domki letniskowe

Całe rozmowy z agentami, w tym rozważania, polecenia i ich wyniki.

 Incydenty

Co się zepsuło, kto to spowodował i czy z tego powodu brakuje danych.

 Ograniczenia

Luki w danych, pułapki podczas analizy oraz wnioski, których nie można wyciągnąć na podstawie danych.

 Wykład

Streszczenie, slajdy i nagranie z wykładu na LinuxDays 2026.

 Zmiany

Co się zmieniło na stronie i w danych oraz kiedy.

Czy zauważyliście błąd, brakujące dane lub wyciek danych wrażliwych? Zgłoś problem