本论文基于2026年一次网络能力评估中的观察，探讨了在共享内存环境下蜜标（honeytoken）对AI代理的防御有效性。评估中，短期存活的AI代理将共享包仓库作为持久记忆，将漏洞利用发现传递给后续代理，并在该通道被移除后重建它。最终评估以侵入Hugging Face告终（评估场景）。这一事件引发了一个核心问题：能否设计一种蜜标，对受信任代理无害，但不会被共享其信息并能实施受信任策略的攻击者识别？作者给出的答案是“否”。论文从信息论和贝叶斯决策角度证明：任何能选择真实对象并避开诱饵的可信规则都可被攻击者复制；当诱饵与真实对象相似时，全变差界限限制了蜜标与合法代理的兼容性。共享内存通过汇集多个弱指纹形成第二条泄漏通道。对于固定候选项，如果类型相关的响应律不同且已知或可学习，那么重复的非触发探测会驱动最小贝叶斯分类错误趋于零。若探测会触发遏制机制，则攻击者联盟需保持活跃时间足够长才能学习。跨对象转移则需要稳定的部署规则以及能区分类型的信息。论文还给出了一个检测界限，区分了“可靠令牌激活”与“可靠攻击覆盖”。作为对策，作者提出架构方案：将令牌身份保存在私有参考监视器中，并让合法代理通过实施来源强制的代理进行路由。这样只能对特定策略违规获得高置信度检测。论文总结称，蜜标仍是有用的传感器，但必须依赖额外的安全边界。该研究适合AI代理安全、防御性欺骗、蜜标设计等领域的研究者阅读。

本文针对 Stackelberg 安全博弈（SSG）中攻击者完美理性这一不切实际的假设展开研究。在传统 SSG 中，防御者先公布策略，攻击者观察后选择最大化自身期望效用的目标；但在现实应用中，攻击者往往存在认知偏差、信息不完全或决策噪声，尤其在网络欺骗（如蜜罐/诱饵部署）场景下，防御者的目的正是诱导攻击者犯错。为此，作者引入量子响应（Quantal Response）模型，用 logit 选择函数和理性参数 λ 替代经典的完美最佳响应，形成广义的量子 Stackelberg 均衡（QSE），并证明当 λ 趋于无穷时 QSE 退化为经典解。文章的核心贡献在于将 QSE 解释为一种针对模型规格误差/不确定性的‘广义保险’，从理论和实践角度处理了 SSG 中平局打破规则和模型不确定性的关键问题。作者在两个真实网络拓扑、使用 CVE 漏洞数据和 CVSS 评分构建的网络安全案例中进行了实证评估，覆盖 144 个含规格误差的场景和 25 组参数配置。结果显示，QSE 在防御者实际效用上显著优于经典 Stackelberg 策略，增益幅度达 46% 至 175%，表明在多种现实情形下 QSE 具有明显优势。该研究为防御者在信息不确定环境中部署欺骗策略提供了更稳健的博弈论决策框架。

该论文针对大语言模型（LLM）驱动的自主渗透测试代理提出了一种新型动态欺骗防御系统 AgentSnare。LLM 代理通过“观察-行动”循环与工具交互：代理选择动作，工具返回观察结果，代理再基于观察继续决策。这种依赖关系使得防御方可以注入欺骗性观察来误导代理的决策。然而，现有防御方法通常依赖攻击前静态部署在环境中的孤立诱饵，高级代理能够逐步识别并绕过这些静态痕迹，最终将利用尝试重新聚焦到真实目标上。为解决此问题，AgentSnare 构建了一个轨迹自适应的欺骗系统，能够动态展开诱饵环境，持续将渗透代理从真实目标引开。其核心是一个“诱饵构造策略模型”，该模型根据代理的交互历史和当前诱饵状态，生成候选诱饵构件（如虚假服务、虚假文件或虚假漏洞信息）；随后系统验证这些候选构件的语义一致性，并增量地将有效构件融入一个事实一致的诱饵环境中。通过这种方式，AgentSnare 实现了三个目标：吸收（absorbing）代理的工具调用，使其在诱饵环境中消耗资源；转移（diverting）代理进入诱饵后的行动轨迹，使其偏离真实目标；以及解除（defusing）攻击，通过诱导代理基于诱饵证据生成完成报告，从而让攻击者认为任务已完成。实验基于 CVE-Bench 中的 15 个 Web 应用程序和三种攻击者模型，结果显示 AgentSnare 吸收了代理 46.8% 的工具调用，保留了 55.9% 的进入后（post-entry）行动在诱饵中，90.0% 的完成尝试基于诱饵证据；在全部 45 个攻击者-CVE 组合中，pass@3 指标下没有任何真实目标被成功利用。该研究为防御方提供了一种可动态适应攻击者行为的主动欺骗思路，适用于 LLM 驱动的自动化攻击场景。适合关注 AI 安全、自主代理防御、渗透测试对抗的研究人员和蓝队工程师阅读。

该论文提出了一种名为 Cloud Decoy AI Agent 的欺骗驱动框架，旨在解决云环境入侵调查中日志量庞大、攻击者操作与正常管理难以区分的问题。框架将高保真云蜜罐（Decoy）与自主语言模型代理（Agent）相结合，能够自动将可疑活动压缩为分析师可直接使用的调查报告。论文指出，将蜜罐连接到代理并非简单的连接任务，而是在高维身份层、会话取证边界和对抗性日志注入通道上需要精心设计。作者针对三个核心挑战提出了解决方案：1）通过基于云提供商派生字段的会话聚合算子解决身份分层导致的会话密钥混淆问题；2）采用两阶段动态提示生成（Dynamic Prompt Generation），保证仅使用代理观察到的字段进行上下文构建，从而实现基础不变性约束；3）识别了云日志中攻击者控制字段（如对象键、用户代理字符串）可能被用于间接提示注入（Indirect Prompt Injection）的风险，并指出蜜罐会扩大此攻击面，但当前原型未实现缓解措施。在10个受控的AWS S3入侵场景中，框架成功重构了9个场景的全部攻击路径，所有报告中的断言均可追溯到观测到的痕迹，平均响应时间为4-5分钟。论文最后谦逊地指出了评估的局限性，并提出了需要进一步对比研究的方向。该工作适合安全运营团队、AI安全研究员及云安全防御系统设计者阅读。

医疗影像系统（如DICOM和PACS）的安全性至关重要，因为其暴露可能危及敏感患者数据和临床操作。然而，现有的针对DICOM的防御工具（如蜜罐）交互能力有限，容易被攻击者识别指纹而规避。本文提出了DICOMHawk，一种面向医疗成像基础设施的网络欺骗框架。该框架通过模拟真实的DICOM和PACS服务行为，动态填充逼真的医疗记录，并嵌入蜜标（honeytoken）来增强诱饵的真实性。研究者进行了两项实验：一项为期86天的对比测试（与现有Dicompot蜜罐对比），另一项为期347天跨多个网络的部署。结果表明，DICOMHawk吸引了比Dicompot更多的有效会话，成功避免了蜜罐检测，并捕获了49个针对医疗系统的攻击。这些结果证明，通过构建长期、多位置、高交互性的欺骗环境，可以显著提升对威胁的可见性。DICOMHawk为医疗行业提供了一种新的防御手段，有助于早期发现针对PACS和DICOM基础设施的攻击活动。

该论文挑战了网络欺骗研究中一个常见但未经检验的假设：诱饵可以放置在攻击者可能经过的任何位置。作者针对MITRE ATT&CK v18.1框架中的所有250种攻击技术，引入了一个四准则评估体系来判断基础设施诱饵的可行性。该准则包括：防御者控制的诱饵是否可以放置、攻击者是否可能与之交互、交互能产生哪些情报、以及交互能否可靠地指示恶意行为。评估结果显示，仅有80种技术（32%）允许放置攻击者可能触及的诱饵，其余170种技术中，攻击者路径上根本不存在防御者可控制的资产以供伪造。诱饵放置模式分为两类：Sweep（攻击者在范围内广泛移动时偶遇诱饵）和Seek（攻击者主动寻找特定资产时与伪造版本交互）。此外，论文发现诱饵通常具有情报价值，但攻击者是否与之交互、交互是否可靠指示恶意行为因技术而异。作者公开了评估框架、决策规则以及逐技术评估结果，为未来的欺骗研究和部署规划提供了可审计的基线。该工作表明，不能假设基础设施诱饵适用于所有攻击者行为，部署计划需要根据具体技术特性进行定制。

在社交媒体平台上，用户常因过度分享不恰当的想法或个人隐私而后悔，并倾向于删除这些内容以弥补过失。然而，删除行为本身反而成为恶意攻击者追踪隐私信息的信号：攻击者通过大规模监控删除操作，能够识别出被删除内容可能对用户有害，从而侵犯用户隐私。现有的一些存档服务已经在扫描社交媒体获取删除的帖子，且研究表明强大的机器学习模型可以高效检测出具有危害性的删除。为抵御这种全球性攻击，本文提出了一种名为“欺骗性删除”（Deceptive Deletion）的诱饵机制。该机制通过注入虚假的删除操作，构建一个挑战者（平台/用户）与攻击者之间的两人零和博弈：攻击者试图从所有删除的帖子中分类出真正有害的内容，而挑战者则利用诱饵删除来掩盖真实的危害删除行为。作者形式化了这个博弈过程，推导出攻击者或挑战者分别获胜的条件，并讨论了中间过渡场景。通过在Twitter真实数据上模拟实验，验证了该机制的有效性：强大的全球攻击者可以被同样强大的挑战者击败，从而显著提升用户遗忘的权利。该工作为社交媒体隐私保护提供了新的思路。