Vami Research · Programme de recherche
VamiHoney est le programme de honeypots de Vami Research. Nous exploitons, pour les applications web, l'infrastructure et les services d'IA, des systèmes leurres qui attirent de manière ciblée les agents IA. Chaque session est analysée : humain, script ou agent ? Quels outils, quels objectifs, quels schémas ? Les réponses forment une note de situation qui alimente en retour VamiGRC, nos tests et la détection des attaques.
Statut: Programme en constructionLes premiers capteurs sont en préparation. Nous publierons des résultats dès qu'ils seront solides.
Les honeypots classiques ont été conçus pour les humains et les scripts. Les agents IA se comportent différemment : ils lisent les bannières et les messages d'erreur comme des instructions, appellent des outils et poursuivent un objectif sur de nombreuses étapes. Ce que montrent jusqu'ici les travaux publiés :
d'une campagne d'espionnage découverte par Anthropic en septembre 2025 a été prise en charge, selon l'entreprise, par un agent IA. Les humains ne prenaient plus qu'environ quatre à six décisions critiques par campagne.
Anthropic, novembre 2025 (ouvre un site externe)de tentatives d'accès à un honeypot SSH ont été classées par Palisade Research, sur environ trois mois, comme de possibles agents IA : c'est rare, mais réel.
Palisade Research, février 2025 (ouvre un site externe)sessions d'attaque ont été recensées par GreyNoise sur ses honeypots Ollama d'octobre 2025 à janvier 2026, parmi lesquelles une recherche systématique d'accès mal configurés à plus de 70 modèles LLM.
GreyNoise, janvier 2026 (ouvre un site externe)des réponses de 21 modèles de langage se sont laissé prendre aux leurres lors d'un test mené par Horizon3.ai, contre 37 % chez les humains. Souvent, les modèles repéraient le piège et s'y engageaient malgré tout.
Horizon3.ai, juin 2026 (ouvre un site externe)Fin 2025, les leurres MCP de GreyNoise ont été découverts en quelques jours, mais GreyNoise n'observait pas encore d'attaques ciblées. À l'été 2026, Wiz a documenté, sur 90 jours, l'exécution de code via des serveurs MCP accessibles publiquement.
GreyNoise, novembre 2025 (ouvre un site externe)Wiz Threat Research, août 2026 (ouvre un site externe)Les honeypots de Wiz ont en outre mis en évidence des injections de prompt à l'aveugle contre des frameworks d'agents et l'extraction de la clé maîtresse d'une passerelle IA directement depuis la mémoire du processus.
Wiz Threat Research, août 2026 (ouvre un site externe)Sur un leurre Flowise de Sekoia, un attaquant a dérobé en quelques minutes des clés qui y étaient stockées. Plus tard, il a tenté de réorienter l'agent par injection de prompt et de l'utiliser contre des serveurs réels.
Sekoia, octobre 2026 (ouvre un site externe)À cela s'ajoute que, chez les humains, les leurres détournent l'attention des vraies vulnérabilités, alors qu'Horizon3.ai n'a pas constaté cet effet chez les modèles de langage. Les techniques de leurre destinées aux attaquants IA doivent donc être conçues et mesurées spécifiquement. C'est précisément là qu'intervient VamiHoney : avec ses propres données de mesure, traçables, sur la question de savoir à quelle fréquence, comment et avec quels objectifs les agents IA attaquent.
Chaque alvéole reproduit une surface d'attaque que les agents IA ciblent aujourd'hui. Les leurres paraissent crédibles aux humains comme aux machines et n'ont aucune fonction pour les utilisateurs légitimes. Quiconque y touche fournit un signal.
Leurres
Applications web leurres, formulaires de connexion, interfaces d'administration et API avec description OpenAPI. Au besoin, un modèle de langage génère les réponses.
Question de recherche
Comment les agents explorent-ils une application, quelles vulnérabilités testent-ils en premier, et suivent-ils des instructions présentes dans le contenu des pages ?
Signaux typiques
Leurres
Accès SSH et accès à distance, interfaces de conteneurs et de Kubernetes, services de métadonnées cloud et runners de build. Un shell simulé répond à n'importe quelle commande.
Question de recherche
Comment les agents progressent-ils après le premier accès, comment gèrent-ils les erreurs, et à quelle vitesse passent-ils à l'escalade ?
Signaux typiques
Leurres
Points de terminaison LLM ouverts, passerelles IA, orchestration d'agents, serveurs MCP avec outils leurres et bases de données vectorielles avec documents canaris.
Question de recherche
Qui recherche des modèles et des clés exposés, qui détourne des agents par injection de prompt, et quels outils les agents externes appellent-ils ?
Signaux typiques
Leurres
Clés d'API piégées pour les fournisseurs de LLM et de cloud, fichiers de configuration d'agents, documents canaris et dépôts leurres.
Question de recherche
Où les clés volées réapparaissent-elles, à quelle vitesse sont-elles utilisées, et par qui ?
Signaux typiques
D'autres alvéoles, par exemple pour l'OT, sont envisageables dès que les quatre premières fonctionneront de manière stable.
Aucune caractéristique isolée ne trahit un agent IA avec certitude. VamiHoney combine donc plusieurs signaux par session et attribue une classification argumentée. Les approches s'appuient sur des travaux publiés, notamment sur le LLM Agent Honeypot de Palisade Research.
Instructions cachées dans des bannières, des pages, des messages d'erreur et des descriptions d'outils. Un humain ne les remarque pas, un script les ignore, un modèle de langage les suit souvent.
Une bannière demande aux assistants IA de commencer leur réponse par un mot de code précis. La session renvoie exactement ce mot de code.
Les agents travaillent au rythme de leur modèle : plus vite et plus régulièrement qu'un humain, plus lentement qu'un script. Le profil temporel d'une session est un indice fort.
Quelques secondes s'écoulent entre deux commandes, sans pauses de frappe et sans l'uniformité d'un script.
Des outils, clés et fichiers qu'aucun processus légitime n'utilise. Un appel montre qu'un agent a été manipulé ou qu'il recherche délibérément des identifiants.
Sur un serveur MCP leurre, un agent appelle l'outil « export_credentials », qui n'apparaît dans aucun flux de travail réel.
Langage naturel dans les commandes, commentaires explicatifs, autocorrection après des erreurs et enchaînements d'étapes orientés vers un objectif sur de nombreuses actions.
Un message d'erreur est suivi d'une commande corrigée, accompagnée d'un commentaire indiquant de rechercher d'abord des fichiers de configuration.
Chaque classification est assortie d'un niveau de confiance : soupçon ou confirmation. L'équipe examine manuellement les cas limites.
Les données brutes des capteurs ne sont qu'un point de départ. Nous les préparons pour que les équipes sécurité et GRC puissent s'en servir : sous forme d'indicateurs, de schémas et de données d'entrée étayées pour l'évaluation des risques.
VamiGRC : le risque étayé par des données mesuréesLe type et le nombre des attaques observées entrent, comme données d'entrée, dans le catalogue de menaces et l'évaluation des risques. La probabilité d'occurrence repose alors sur des attaques mesurées plutôt que sur des estimations.prévu
VamiRedteam : des tests calqués sur le réelLes modes opératoires observés chez des agents deviennent des cas de test pour des tests d'intrusion multi-agents.prévu
VamiReverse : comprendre les charges utilesNous analysons les scripts et programmes malveillants capturés à l'aide du reverse engineering assisté par IA.prévu (ouvre un site externe)Détection des attaques : des règles issues du terrainLes schémas issus de VamiHoney deviennent des règles de détection pour le SOC et le Managed Detection & Response.prévuToutes ces connexions se construisent au fil de la mise en place du programme. Nous indiquerons ici ce qui est disponible en production dès que ce sera le cas.
En Allemagne, les honeypots sont licites tant que leur exploitant les fait fonctionner sur sa propre infrastructure. VamiHoney suit pour cela des règles fermes, sur les plans technique, juridique et éthique.
Tous les leurres fonctionnent sur des systèmes que nous exploitons nous-mêmes. Pas de hack back, pas de contre-attaques, aucun accès aux systèmes des attaquants.
Les capteurs sont isolés, le trafic sortant est limité et surveillé. Un leurre ne doit jamais devenir une rampe de lancement pour des attaques contre des tiers.
Les adresses IP sont des données à caractère personnel. Nous les traitons pour assurer la sécurité des réseaux et des informations, une finalité que le RGPD reconnaît expressément, les pseudonymisons tôt, supprimons les données brutes après un court délai et ne publions que des résultats agrégés.
Si nous découvrons de nouvelles vulnérabilités ou campagnes, nous informons les éditeurs et les organismes compétents avant de publier des détails.
Les leurres ne font l'objet d'aucune promotion ni d'aucun lien. Les utilisateurs légitimes n'ont aucune raison d'y accéder.
Nous pilotons l'architecture, les bases légales, les durées de conservation et les validations dans notre propre système de management, avec VamiGRC.
Le lancement de chaque alvéole est précédé d'un examen juridique et de protection des données documenté. Cette page ne remplace pas un conseil juridique au cas par cas.
VamiHoney se développe par étapes. Chaque étape ne commence que lorsque la précédente fonctionne de manière stable et a fait l'objet d'un examen juridique.
Lucas Murtfeld dirige VamiHoney et fait appel, selon l'alvéole, à des collègues issus du pentest, de la sécurité cloud et OT, de la détection des attaques et de la GRC. Les résultats alimentent les domaines de recherche de Vami Research.
VamiHoney se renforce à mesure que de nouvelles perspectives viennent l'enrichir. Nous recherchons des partenaires pour trois formes de collaboration.
Les références étayant l'ensemble des chiffres et des observations de cette page, ainsi que les briques open source mentionnées.
Ce que fait le programme, ce qu'il ne fait pas et comment vous pouvez y participer.
VamiHoney est le programme de recherche sur les honeypots de Vami Research, l'activité de recherche de VamiSec GmbH. Il exploite des systèmes leurres pour les applications web, l'infrastructure et les services d'IA afin d'observer, de détecter et d'analyser les attaques agentiques, c'est-à-dire les attaques que des agents IA exécutent en tout ou en partie.
Oui, il est licite de les exploiter sur sa propre infrastructure. Les contre-attaques visant des systèmes tiers sont en revanche interdites. C'est pourquoi VamiHoney n'exploite que ses propres leurres, les cloisonne et n'attaque jamais activement.
Des données de connexion telles que les adresses IP et les horodatages, des commandes, des requêtes, des appels d'outils et des fichiers introduits. Les adresses IP sont des données à caractère personnel. Nous les traitons pour assurer la sécurité des réseaux et des informations, les pseudonymisons tôt, supprimons les données brutes après un court délai et ne publions que des résultats agrégés, sans adresses IP d'attaquants.
Par une combinaison de signaux : des instructions cachées que seuls les modèles de langage suivent, le profil temporel d'une session, des appels d'outils leurres ainsi que des traces de langage et de planification dans les commandes. Aucune observation isolée ne suffit ; chaque classification est assortie d'un niveau de confiance.
Le programme est en cours de construction. Nous publierons des résultats dès que les premières alvéoles fonctionneront de manière stable et que les données seront fiables : sur cette page, dans le fil d'actualité de Vami Research et sur LinkedIn.
Il est prévu que VamiGRC reprenne le type et le nombre des attaques observées comme données d'entrée pour le catalogue de menaces et l'évaluation des risques. La probabilité d'occurrence d'un risque reposera alors sur des attaques mesurées plutôt que sur des estimations.
Oui. Nous recherchons des partenaires de recherche, des partenaires capteurs et des échanges avec la communauté. Écrivez à contact@vamisec.com avec l'objet « VamiHoney » ou réservez directement un entretien.
Vous souhaitez savoir quelles attaques agentiques pourraient toucher vos systèmes, ou soutenir VamiHoney en tant que partenaire ? Parlez-nous-en.
