Перейти к содержанию

Эксперимент с «медовой ловушкой»

«Ханипот» под управлением языковой модели

Два тестовых сервера в общедоступном Интернете, которые были созданы и в течение всего месяца управлялись языковой моделью. Что на них тестировалось, как это измерялось — а также все данные, включая полную запись работы агентов.

Данные обновлены: 3. 10. 2026 10:31:16 UTC+02:00

Сообщить о проблеме

Бег в цифрах #

Дни работы 28 как это рассчитывается События 16 450 701 как это рассчитывается Среднее количество событий в день 587 525 как это рассчитывается Уникальных IP-адресов 40 057 как это рассчитывается Страны происхождения 155 как это рассчитывается Затронутые порты 58 630 как это рассчитывается Проверенные имена пользователей 5 899 как это рассчитывается Проверенных паролей 13 379 как это рассчитывается Зафиксированные образцы 1 183 как это рассчитывается Семейства вредоносных программ 10 как это рассчитывается Записанные передачи 74 273 как это рассчитывается Необработанные данные 123,8GB как это рассчитывается
Временное окно
21. 8. 2026 – 16. 9. 2026
Исходные данные
honeypot-ports-aggregated-20260922.csv, timeline-aggregated пока недоступно, samples-aggregated пока недоступно
Скрипт
будет опубликован

О чем речь #

С 21. 8. 2026 по 17. 9. 2026 (28 дней) у одного и того же провайдера работали два виртуальных сервера с публичным IP-адресом. На обоих был установлен ханипот — система-приманка, которая маскируется под уязвимый сервер и регистрирует все, что кто-либо пытается с ним сделать. Оба сервера получили одинаковые задания, однако их конечная конфигурация значительно различалась: srv3 предлагал примерно 46 конкретных сервисов, а srv4 отвечал на все 65 534 TCP-порта. Цель состояла в том, чтобы выяснить, какие порты вызывают наибольший интерес у злоумышленников.

Ханипоты создал не человек. Обе были запущены и в течение всего месяца управлялись языковой моделью — на одном сервере Opus 5, на другом Fable 5. Модели получили права root, задание и никого, кто бы им давал советы; даже то, сколько портов откроет ханипот, решали они сами. Проверки проводились примерно два раза в неделю, каждый раз в новом чате без сохранения данных о предыдущих сессиях. Полная запись их действий, включая ошибки и сбои, публикуется.

Результаты я добавлю после завершения теста и обработки данных. До тех пор цифры в этом разделе являются лишь ориентировочными значениями; методология и описание ограничений уже актуальны.

Запись лекции #

Куда дальше #

Методика

Как были построены серверы, какие данные они собирали, какие — нет, и когда и кто вмешался.

 Результаты

Рейтинг портов, динамика трафика, география, команды и примеры.

 Данные

Агрегированные данные и исходные данные для скачивания, документация по форматам и лицензии.

 Отчет о запуске

Чаты агентов, все выполненные команды, журналы и действия оператора.

 Дачи

Полные тексты разговоров с операторами, включая рассуждения, команды и их результаты.

 Инциденты

Что сломалось, кто это вызвал и есть ли из-за этого пробелы в данных.

 Ограничения

Пробелы в данных, ловушки при анализе и то, какие выводы из данных сделать нельзя.

 Лекция

Аннотация, слайды и запись доклада на LinuxDays 2026.

 Изменения

Что именно изменилось на странице и в данных и когда.

Вы обнаружили ошибку, отсутствующие данные или утечку конфиденциальной информации? Сообщите о проблеме