Vami Research · Forschungsprogramm
VamiHoney ist das Honeypot-Programm von Vami Research. Wir betreiben Köder-Systeme für Webanwendungen, Infrastruktur und KI-Dienste, die gezielt KI-Agenten anziehen. Jede Sitzung wird ausgewertet: Mensch, Skript oder Agent? Welche Werkzeuge, welche Ziele, welche Muster? Aus den Antworten entsteht ein Lagebild, das in VamiGRC, in unsere Tests und in die Angriffserkennung zurückfließt.
Status: Programm im AufbauDie ersten Sensoren sind in Vorbereitung. Ergebnisse veröffentlichen wir, sobald sie belastbar sind.
Klassische Honeypots wurden für Menschen und Skripte gebaut. KI-Agenten verhalten sich anders: Sie lesen Banner und Fehlermeldungen als Anweisung, rufen Werkzeuge auf und verfolgen ein Ziel über viele Schritte. Was die öffentliche Forschung bisher zeigt:
einer Spionagekampagne, die Anthropic im September 2025 entdeckte, erledigte nach Angaben des Unternehmens ein KI-Agent. Menschen trafen je Kampagne nur noch etwa vier bis sechs kritische Entscheidungen.
Anthropic, November 2025 (öffnet externe Website)Zugriffsversuchen auf einen SSH-Honeypot stufte Palisade Research in rund drei Monaten als mögliche KI-Agenten ein: selten, aber real.
Palisade Research, Februar 2025 (öffnet externe Website)Angriffssitzungen auf seine Ollama-Honeypots zählte GreyNoise von Oktober 2025 bis Januar 2026, darunter eine systematische Suche nach falsch konfigurierten Zugängen zu mehr als 70 LLM-Modellen.
GreyNoise, Januar 2026 (öffnet externe Website)der Antworten von 21 Sprachmodellen tappten in einem Test von Horizon3.ai in Täuschungsfallen, bei Menschen waren es 37 %. Oft erkannten die Modelle die Falle und gingen trotzdem hinein.
Horizon3.ai, Juni 2026 (öffnet externe Website)Ende 2025 wurden die MCP-Köder von GreyNoise binnen Tagen gefunden, gezielte Angriffe beobachtete GreyNoise aber noch nicht. Im Sommer 2026 dokumentierte Wiz in 90 Tagen Codeausführung über offen erreichbare MCP-Server.
GreyNoise, November 2025 (öffnet externe Website)Wiz Threat Research, August 2026 (öffnet externe Website)Die Honeypots von Wiz zeigten außerdem blinde Prompt Injection gegen Agenten-Frameworks und das Auslesen des Master-Schlüssels eines KI-Gateways direkt aus dem Prozessspeicher.
Wiz Threat Research, August 2026 (öffnet externe Website)An einem Köder-Flowise von Sekoia griff ein Angreifer binnen Minuten hinterlegte Schlüssel ab. Später versuchte er, den Agenten per Prompt Injection umzusteuern und gegen reale Server einzusetzen.
Sekoia, Oktober 2026 (öffnet externe Website)Hinzu kommt: Bei Menschen lenken Köder die Aufmerksamkeit von echten Schwachstellen ab, bei Sprachmodellen fand Horizon3.ai diesen Effekt nicht. Täuschung für KI-Angreifer muss deshalb eigens entworfen und gemessen werden. Genau hier setzt VamiHoney an: mit eigenen, nachvollziehbaren Messdaten zu der Frage, wie oft, wie und mit welchen Zielen KI-Agenten angreifen.
Jede Wabe bildet eine Angriffsfläche nach, die KI-Agenten heute ansteuern. Die Köder wirken für Menschen und Maschinen glaubwürdig und haben für legitime Nutzer keine Funktion. Wer sie berührt, liefert ein Signal.
Köder
Köder-Webanwendungen, Login-Masken, Admin-Oberflächen und APIs mit OpenAPI-Beschreibung. Antworten erzeugt bei Bedarf ein Sprachmodell.
Forschungsfrage
Wie erkunden Agenten eine Anwendung, welche Schwachstellen probieren sie zuerst, und folgen sie Anweisungen in Seiteninhalten?
Typische Signale
Köder
SSH- und Fernzugänge, Container- und Kubernetes-Schnittstellen, Cloud-Metadaten-Dienste und Build-Runner. Eine simulierte Shell antwortet auf beliebige Befehle.
Forschungsfrage
Wie bewegen sich Agenten nach dem ersten Zugriff weiter, wie gehen sie mit Fehlern um, und wie schnell eskalieren sie?
Typische Signale
Köder
Offene LLM-Endpunkte, KI-Gateways, Agenten-Orchestrierung, MCP-Server mit Köderwerkzeugen und Vektordatenbanken mit Kanarien-Dokumenten.
Forschungsfrage
Wer sucht offene Modelle und Schlüssel, wer kapert Agenten per Prompt Injection, und welche Werkzeuge rufen fremde Agenten auf?
Typische Signale
Köder
Präparierte API-Schlüssel für LLM-Anbieter und Cloud, Konfigurationsdateien für Agenten, Kanarien-Dokumente und Köder-Repositories.
Forschungsfrage
Wo tauchen gestohlene Schlüssel wieder auf, wie schnell werden sie genutzt und von wem?
Typische Signale
Weitere Waben, etwa für OT, sind möglich, sobald die ersten vier stabil laufen.
Kein einzelnes Merkmal verrät einen KI-Agenten sicher. VamiHoney kombiniert deshalb mehrere Signale je Sitzung und vergibt eine begründete Einstufung. Die Ansätze bauen auf veröffentlichter Forschung auf, unter anderem auf dem LLM Agent Honeypot von Palisade Research.
Versteckte Anweisungen in Bannern, Seiten, Fehlermeldungen und Werkzeugbeschreibungen. Ein Mensch überliest sie, ein Skript ignoriert sie, ein Sprachmodell folgt ihnen oft.
Ein Banner bittet KI-Assistenten, ihre Antwort mit einem bestimmten Codewort zu beginnen. Die Sitzung liefert genau dieses Codewort.
Agenten arbeiten im Takt ihres Modells: schneller und gleichmäßiger als ein Mensch, langsamer als ein Skript. Das Zeitprofil einer Sitzung ist ein starkes Indiz.
Zwischen den Befehlen liegen jeweils wenige Sekunden, ohne Tipppausen und ohne die Gleichförmigkeit eines Skripts.
Werkzeuge, Schlüssel und Dateien, die kein legitimer Ablauf nutzt. Ein Aufruf zeigt, dass ein Agent manipuliert wurde oder gezielt nach Zugangsdaten sucht.
Ein Agent ruft auf einem Köder-MCP-Server das Werkzeug „export_credentials“ auf, das in keinem echten Arbeitsablauf vorkommt.
Natürliche Sprache in Befehlen, erklärende Kommentare, Selbstkorrektur nach Fehlern und zielgerichtete Schrittfolgen über viele Aktionen hinweg.
Nach einer Fehlermeldung folgt ein korrigierter Befehl mit dem Kommentar, zuerst nach Konfigurationsdateien zu suchen.
Jede Einstufung trägt einen Vertrauensgrad, Verdacht oder bestätigt. Grenzfälle prüft das Team von Hand.
Rohdaten der Sensoren sind nur der Anfang. Wir bereiten sie so auf, dass Security- und GRC-Teams damit arbeiten können: als Kennzahlen, als Muster und als belegte Eingangsgröße für die Risikobewertung.
VamiGRC: Risiko mit MesswertenArt und Anzahl beobachteter Angriffe gehen als Eingangsgröße in Bedrohungskatalog und Risikobewertung ein. Die Eintrittswahrscheinlichkeit stützt sich dann auf gemessene Angriffe statt auf Schätzungen.geplant
VamiRedteam: Tests nach echtem VorbildBeobachtete Vorgehensweisen von Agenten werden zu Testfällen für Multi-Agenten-Penetrationstests.geplant
VamiReverse: Nutzlasten verstehenEingefangene Skripte und Schadprogramme analysieren wir mit KI-gestütztem Reverse Engineering.geplant (öffnet externe Website)Angriffserkennung: Regeln aus dem FeldMuster aus VamiHoney werden zu Erkennungsregeln für SOC und Managed Detection & Response.geplantAlle Verknüpfungen entstehen im Aufbau des Programms. Was produktiv verfügbar ist, kennzeichnen wir hier, sobald es so weit ist.
Honeypots sind in Deutschland zulässig, solange sie auf eigener Infrastruktur laufen. VamiHoney folgt dafür festen Regeln, technisch, rechtlich und ethisch.
Alle Köder laufen auf Systemen, die wir selbst betreiben. Kein Hackback, keine Gegenangriffe, kein Zugriff auf Systeme der Angreifer.
Die Sensoren sind isoliert, ausgehender Verkehr ist begrenzt und überwacht. Ein Köder darf nie zur Startrampe für Angriffe auf Dritte werden.
IP-Adressen sind personenbezogene Daten. Wir verarbeiten sie zum Schutz von Netzen und Informationen, einem Zweck, den die DSGVO ausdrücklich anerkennt, pseudonymisieren früh, löschen Rohdaten nach kurzer Frist und veröffentlichen nur zusammengefasste Ergebnisse.
Finden wir neue Schwachstellen oder Kampagnen, informieren wir Hersteller und zuständige Stellen, bevor wir Details veröffentlichen.
Köder werden weder beworben noch verlinkt. Legitime Nutzer haben keinen Grund, sie aufzurufen.
Architektur, Rechtsgrundlagen, Speicherfristen und Freigaben steuern wir in unserem eigenen Managementsystem mit VamiGRC.
Vor dem Start jeder Wabe steht eine dokumentierte Rechts- und Datenschutzprüfung. Diese Seite ersetzt keine Rechtsberatung im Einzelfall.
VamiHoney wächst in Etappen. Jede Etappe beginnt erst, wenn die vorige stabil läuft und rechtlich geprüft ist.
Lucas Murtfeld leitet VamiHoney und holt je nach Wabe Kolleginnen und Kollegen aus Pentest, Cloud- und OT-Sicherheit, Angriffserkennung und GRC dazu. Die Ergebnisse fließen in die Forschungsfelder von Vami Research ein.
VamiHoney wird stärker, je mehr Perspektiven einfließen. Wir suchen Partner für drei Formen der Zusammenarbeit.
Belege für alle Zahlen und Beobachtungen auf dieser Seite sowie die genannten quelloffenen Bausteine.
Was das Programm tut, was es nicht tut und wie Sie mitmachen können.
VamiHoney ist das Honeypot-Forschungsprogramm von Vami Research, der Forschungsarbeit der VamiSec GmbH. Es betreibt Köder-Systeme für Webanwendungen, Infrastruktur und KI-Dienste, um agentische Angriffe zu beobachten, zu erkennen und auszuwerten, also Angriffe, die KI-Agenten ganz oder teilweise ausführen.
Ja, der Betrieb auf eigener Infrastruktur ist zulässig. Verboten sind Gegenangriffe auf fremde Systeme. VamiHoney betreibt deshalb ausschließlich eigene Köder, schottet sie ab und greift niemals aktiv an.
Verbindungsdaten wie IP-Adressen und Zeitpunkte, Befehle, Anfragen, Werkzeugaufrufe und eingeschleuste Dateien. IP-Adressen sind personenbezogene Daten. Wir verarbeiten sie zum Schutz von Netzen und Informationen, pseudonymisieren sie früh, löschen Rohdaten nach kurzer Frist und veröffentlichen nur zusammengefasste Ergebnisse ohne IP-Adressen von Angreifern.
Über eine Kombination von Signalen: versteckte Anweisungen, denen nur Sprachmodelle folgen, das Zeitprofil einer Sitzung, Aufrufe von Köderwerkzeugen sowie Sprach- und Planungsspuren in Befehlen. Keine Einzelbeobachtung reicht aus, jede Einstufung trägt einen Vertrauensgrad.
Das Programm ist im Aufbau. Wir veröffentlichen Ergebnisse, sobald die ersten Waben stabil laufen und die Daten belastbar sind: auf dieser Seite, im Feed von Vami Research und auf LinkedIn.
Geplant ist, dass VamiGRC Art und Anzahl der beobachteten Angriffe als Eingangsgröße für Bedrohungskatalog und Risikobewertung übernimmt. Die Eintrittswahrscheinlichkeit eines Risikos stützt sich dann auf gemessene Angriffe statt auf Schätzungen.
Ja. Wir suchen Forschungspartner, Sensor-Partner und den Austausch mit der Community. Schreiben Sie an contact@vamisec.com mit dem Betreff „VamiHoney“ oder buchen Sie direkt ein Gespräch.
Sie möchten wissen, welche agentischen Angriffe Ihre Systeme treffen könnten, oder VamiHoney als Partner unterstützen? Sprechen Sie mit uns.
