Vami Research · Programa de investigación
VamiHoney es el programa de honeypots de Vami Research. Operamos sistemas señuelo para aplicaciones web, infraestructura y servicios de IA, concebidos para atraer específicamente a agentes de IA. Cada sesión se analiza: ¿persona, script o agente? ¿Qué herramientas, qué objetivos, qué patrones? Con las respuestas se elabora un informe de situación que revierte en VamiGRC, en nuestras pruebas y en la detección de ataques.
Estado: Programa en desarrolloLos primeros sensores están en preparación. Publicaremos los resultados en cuanto sean fiables.
Los honeypots clásicos se diseñaron para personas y scripts. Los agentes de IA se comportan de otra manera: leen los banners y los mensajes de error como instrucciones, invocan herramientas y persiguen un objetivo a lo largo de muchos pasos. Esto es lo que muestra hasta ahora la investigación publicada:
de una campaña de espionaje que Anthropic descubrió en septiembre de 2025 corrió a cargo de un agente de IA, según la empresa. Las personas ya solo tomaban unas cuatro a seis decisiones críticas por campaña.
Anthropic, noviembre de 2025 (abre un sitio web externo)de intentos de acceso a un honeypot SSH en unos tres meses fueron clasificados por Palisade Research como posibles agentes de IA: poco frecuentes, pero reales.
Palisade Research, febrero de 2025 (abre un sitio web externo)sesiones de ataque contabilizó GreyNoise en sus honeypots de Ollama de octubre de 2025 a enero de 2026, entre ellas una búsqueda sistemática de accesos mal configurados a más de 70 modelos LLM.
GreyNoise, enero de 2026 (abre un sitio web externo)de las respuestas de 21 modelos de lenguaje cayeron en trampas de engaño en una prueba de Horizon3.ai; en el caso de las personas, fue el 37 %. A menudo, los modelos reconocían la trampa y aun así caían en ella.
Horizon3.ai, junio de 2026 (abre un sitio web externo)A finales de 2025, los señuelos MCP de GreyNoise fueron encontrados en cuestión de días, pero GreyNoise aún no observó ataques dirigidos. En el verano de 2026, Wiz documentó en 90 días la ejecución de código a través de servidores MCP accesibles públicamente.
GreyNoise, noviembre de 2025 (abre un sitio web externo)Wiz Threat Research, agosto de 2026 (abre un sitio web externo)Los honeypots de Wiz mostraron además casos de prompt injection ciega contra frameworks de agentes y la extracción de la clave maestra de una pasarela de IA directamente de la memoria del proceso.
Wiz Threat Research, agosto de 2026 (abre un sitio web externo)En un Flowise señuelo de Sekoia, un atacante se hizo en cuestión de minutos con claves allí almacenadas. Más tarde intentó desviar al agente mediante prompt injection y utilizarlo contra servidores reales.
Sekoia, octubre de 2026 (abre un sitio web externo)A ello se suma que, en las personas, los señuelos desvían la atención de las vulnerabilidades reales, mientras que en los modelos de lenguaje Horizon3.ai no encontró este efecto. Por eso, el engaño dirigido a atacantes basados en IA debe diseñarse y medirse de forma específica. Precisamente aquí interviene VamiHoney: con datos de medición propios y trazables sobre la frecuencia, la forma y los objetivos con los que atacan los agentes de IA.
Cada celda reproduce una superficie de ataque a la que hoy se dirigen los agentes de IA. Los señuelos resultan creíbles para personas y máquinas y no tienen ninguna función para los usuarios legítimos. Quien los toca genera una señal.
Señuelos
Aplicaciones web señuelo, formularios de inicio de sesión, interfaces de administración y API con descripción OpenAPI. Cuando es necesario, un modelo de lenguaje genera las respuestas.
Pregunta de investigación
¿Cómo exploran los agentes una aplicación, qué vulnerabilidades prueban primero y siguen instrucciones incluidas en el contenido de las páginas?
Señales típicas
Señuelos
Accesos SSH y remotos, interfaces de contenedores y de Kubernetes, servicios de metadatos cloud y runners de compilación. Una shell simulada responde a cualquier comando.
Pregunta de investigación
¿Cómo se desplazan los agentes tras el primer acceso, cómo gestionan los errores y con qué rapidez escalan?
Señales típicas
Señuelos
Endpoints de LLM abiertos, pasarelas de IA, orquestación de agentes, servidores MCP con herramientas señuelo y bases de datos vectoriales con documentos canario.
Pregunta de investigación
¿Quién busca modelos y claves expuestos, quién secuestra agentes mediante prompt injection y qué herramientas invocan los agentes ajenos?
Señales típicas
Señuelos
Claves de API preparadas para proveedores de LLM y de cloud, archivos de configuración para agentes, documentos canario y repositorios señuelo.
Pregunta de investigación
¿Dónde reaparecen las claves robadas, con qué rapidez se usan y quién las usa?
Señales típicas
Otras celdas, por ejemplo para OT, serán posibles en cuanto las cuatro primeras funcionen de forma estable.
Ningún rasgo aislado delata con certeza a un agente de IA. Por eso, VamiHoney combina varias señales por sesión y asigna una clasificación fundamentada. Los enfoques se basan en investigaciones publicadas, entre ellas el LLM Agent Honeypot de Palisade Research.
Instrucciones ocultas en banners, páginas, mensajes de error y descripciones de herramientas. Una persona las pasa por alto, un script las ignora y un modelo de lenguaje a menudo las sigue.
Un banner pide a los asistentes de IA que empiecen su respuesta con una palabra en clave determinada. La sesión devuelve exactamente esa palabra en clave.
Los agentes trabajan al ritmo de su modelo: más rápidos y regulares que una persona, más lentos que un script. El perfil temporal de una sesión es un indicio de peso.
Entre comando y comando transcurren pocos segundos, sin pausas de tecleo y sin la uniformidad de un script.
Herramientas, claves y archivos que ningún proceso legítimo utiliza. Una llamada indica que un agente ha sido manipulado o que busca credenciales de forma deliberada.
Un agente invoca en un servidor MCP señuelo la herramienta «export_credentials», que no aparece en ningún flujo de trabajo real.
Lenguaje natural en los comandos, comentarios explicativos, autocorrección tras errores y secuencias de pasos orientadas a un objetivo a lo largo de muchas acciones.
Tras un mensaje de error llega un comando corregido con un comentario que propone buscar primero archivos de configuración.
Cada clasificación lleva asociado un nivel de confianza: sospecha o confirmación. Los casos límite los revisa el equipo manualmente.
Los datos brutos de los sensores son solo el principio. Los preparamos para que los equipos de seguridad y de GRC puedan trabajar con ellos: como indicadores, como patrones y como variable de entrada respaldada por evidencias para la evaluación de riesgos.
VamiGRC: riesgo basado en medicionesEl tipo y el número de los ataques observados se incorporan como variable de entrada al catálogo de amenazas y a la evaluación de riesgos. Así, la probabilidad de ocurrencia se basa en ataques medidos en lugar de en estimaciones.previsto
VamiRedteam: pruebas basadas en casos realesLos modos de proceder observados en agentes se convierten en casos de prueba para pentests multiagente.previsto
VamiReverse: comprender las cargas útilesAnalizamos los scripts y programas maliciosos capturados mediante reverse engineering asistido por IA.previsto (abre un sitio web externo)Detección de ataques: reglas obtenidas sobre el terrenoLos patrones de VamiHoney se convierten en reglas de detección para el SOC y para Managed Detection & Response.previstoTodas las conexiones se irán creando durante el desarrollo del programa. Lo que esté disponible en producción lo indicaremos aquí en cuanto llegue el momento.
En Alemania, los honeypots son lícitos siempre que funcionen en infraestructura propia. Para ello, VamiHoney sigue reglas fijas en los planos técnico, jurídico y ético.
Todos los señuelos funcionan en sistemas que operamos nosotros mismos. Ni hack back, ni contraataques, ni acceso a los sistemas de los atacantes.
Los sensores están aislados y el tráfico saliente está limitado y supervisado. Un señuelo nunca debe convertirse en plataforma de lanzamiento de ataques contra terceros.
Las direcciones IP son datos personales. Las tratamos para proteger las redes y la información, una finalidad que el RGPD reconoce expresamente; las seudonimizamos en una fase temprana, eliminamos los datos brutos tras un plazo breve y solo publicamos resultados agregados.
Si encontramos nuevas vulnerabilidades o campañas, informamos a los fabricantes y a los organismos competentes antes de publicar detalles.
Los señuelos no se anuncian ni se enlazan. Los usuarios legítimos no tienen motivo para acceder a ellos.
Controlamos la arquitectura, las bases jurídicas, los plazos de conservación y las aprobaciones en nuestro propio sistema de gestión con VamiGRC.
Antes de poner en marcha cada celda se realiza una revisión jurídica y de protección de datos documentada. Esta página no sustituye el asesoramiento jurídico en cada caso concreto.
VamiHoney crece por etapas. Cada etapa solo comienza cuando la anterior funciona de forma estable y se ha sometido a una revisión jurídica.
Lucas Murtfeld dirige VamiHoney y, según la celda, involucra a colegas de las áreas de pentest, seguridad cloud y OT, detección de ataques y GRC. Los resultados se incorporan a las áreas de investigación de Vami Research.
Cuantas más perspectivas se sumen, más sólido será VamiHoney. Buscamos socios para tres formas de colaboración.
Referencias de todas las cifras y observaciones de esta página, así como de los componentes de código abierto mencionados.
Qué hace el programa, qué no hace y cómo puede participar.
VamiHoney es el programa de investigación con honeypots de Vami Research, la labor de investigación de VamiSec GmbH. Opera sistemas señuelo para aplicaciones web, infraestructura y servicios de IA con el fin de observar, detectar y analizar ataques agénticos, es decir, ataques ejecutados total o parcialmente por agentes de IA.
Sí, su operación en infraestructura propia es lícita. Lo que está prohibido son los contraataques contra sistemas ajenos. Por eso, VamiHoney opera exclusivamente señuelos propios, los aísla y nunca ataca de forma activa.
Datos de conexión (como direcciones IP y marcas de tiempo), comandos, solicitudes, llamadas a herramientas y archivos infiltrados. Las direcciones IP son datos personales. Las tratamos para proteger las redes y la información, las seudonimizamos en una fase temprana, eliminamos los datos brutos tras un plazo breve y solo publicamos resultados agregados, sin direcciones IP de atacantes.
Mediante una combinación de señales: instrucciones ocultas que solo siguen los modelos de lenguaje, el perfil temporal de una sesión, llamadas a herramientas señuelo y huellas lingüísticas y de planificación en los comandos. Ninguna observación aislada basta, y cada clasificación lleva asociado un nivel de confianza.
El programa está en desarrollo. Publicaremos resultados en cuanto las primeras celdas funcionen de forma estable y los datos sean fiables: en esta página, en el feed de Vami Research y en LinkedIn.
Está previsto que VamiGRC incorpore el tipo y el número de los ataques observados como variable de entrada para el catálogo de amenazas y la evaluación de riesgos. Así, la probabilidad de ocurrencia de un riesgo se basará en ataques medidos en lugar de en estimaciones.
Sí. Buscamos socios de investigación, socios de sensores y el intercambio con la comunidad. Escriba a contact@vamisec.com con el asunto «VamiHoney» o reserve directamente una reunión.
¿Quiere saber qué ataques agénticos podrían afectar a sus sistemas o desea apoyar a VamiHoney como socio? Hable con nosotros.
