该论文聚焦 Active Directory（AD）这一企业身份与访问管理核心基础设施，评估大语言模型（LLM）在自主渗透测试中的可行性与可靠性。作者指出，既有研究虽已证明 LLM 可自主完成“假定失陷”条件下的 AD 渗透，但普遍使用孤立智能体，缺乏结构化护栏、确定性验证与多阶段攻击链编排，导致技术覆盖面窄、误报率高、行为风险不可控，难以作为可复现的评测基线。为此，论文提出并基准评测开源 Rust 自主渗透测试框架 NeuroSploit v4.2.0，实验环境选用 Orange Cyberdefense 维护的故意脆弱多林靶场 Game of Active Directory（GOAD），该环境由 5 台虚拟机、2 个林、3 个域组成。框架编排 22 个 AD 专用智能体与 7 套多阶段攻击链剧本，覆盖 AD 杀伤链的 14 个技术类别，包括域内枚举、Kerberoasting、AS-REP roasting、NTLM 中继与强制认证、Kerberos 委派滥用、AD CS 证书服务配置缺陷类问题（ESC1–ESC8 对应场景）、MSSQL 链接服务器横向移动、DCSync、跨林信任滥用以及持久化痕迹检测。评测将 9 个前沿模型（Claude Opus 4.6/4.7/4.8、GPT-6 Astra、GPT-5.6 Sol、Grok 4.6、Qwen 3.8、GLM 5.3、Kimi k3）分别置于框架内运行并与直接调用方式进行对照。结果显示：框架化编排实现 96–100% 技术覆盖率和 90–97% 精度，而直接调用仅覆盖 21–54% 且误报量高出 3.2 倍；使用 Opus 4.8 时，在护栏机制约束下 134 分钟完成三个域的完整失陷链路。护栏成功拦截了会触发账号锁定的口令喷洒、未授权的 DCSync 导出以及超出授权范围的侦察行为。论文结论是：领域专用智能体、POMDP 信念跟踪与跨模型投票构成的结构化编排，在 AD 渗透测试任务上显著优于非结构化的 LLM 直接使用，为自主攻防智能体的安全评测与可控性设计提供了可复现的方法学参考。

本文聚焦于自主渗透测试智能体与蜜罐防御之间的攻防博弈。这类智能体能够根据目标返回结果持续调整多步攻击计划，具备较强的自适应与多轮探测能力；而传统蜜罐主要依赖静态诱饵和预定义响应，无法随智能体策略演化而调整，容易被识破、绕过或快速放弃，难以长期维持交互并采集攻击方行为证据。为此，作者提出 AgentTrap，称其为首个面向自主渗透测试智能体的闭环蜜罐系统。其设计包含三个关键机制：一是哨兵端点（sentinel endpoints），用于区分正常业务流量与攻击者探测，避免对良性用户造成干扰；二是与被保护应用语义绑定的有状态欺骗（stateful deception），使诱饵状态随交互推进而演化，保持内部一致性；三是行为引导的升级策略（behavior-guided escalation），在受控披露的前提下逐步加深交互，从而延长智能体停留时间并采集其侧行为证据。评估方面，作者在真实部署的 Web 应用环境中设置一个真实应用端点与一个独立蜜罐端点，在三种防御策略下对八种自主渗透测试智能体进行测试。结果显示：与无防御相比，AgentTrap 将针对真实目标的总体攻击成功率从 95.8% 降至 79.2%，并在 18.8% 的运行中成功诱导出攻击方 API 密钥，效果优于静态欺骗与固定升级策略。轨迹分析进一步表明，智能体抵御此类反制的能力同时取决于模型层面对欺骗性请求的识别能力，以及架构层面对敏感资源的隔离程度。