文章总结： AgentCapture是面向AIAgent自动化渗透时代的蜜罐态势感知与反制平台，通过隐藏路由、假API、凭证蜜饵、PromptCanary及Agent注入回显等机制，将自动化侦察行为收敛为攻击链视图。实测五款主流AgentCLI均被成功反制上线并进入C2名册，实现检测-处置-收编-溯源闭环。平台提供态势大屏、攻击流量分析、协议蜜罐、C2控制台、Web蜜罐及提示词注入管理等功能，仅限授权安全测试场景使用。
综合评分： 75
文章分类： AI安全,红队,渗透测试,安全工具,安全运营

【项目推荐】下一代蜜罐探索：AgentCapture AI自动化渗透反制系统

Polaris安全团队

2026年9月23日 11:40
广西

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

编者荐语：

驴棚

以下文章来源于487DonkeySec
，作者Tcotl

487DonkeySec
.

487DonkeySec团队介绍：团队长期活跃于国内攻防一线，为实时跟进攻防技术，秉持着凌晨四点睡，早晨八点起，干七天的健康作息，自称487驴。 团队方向：Ai安全，Ai+安全，Web攻防，杀软对抗，漏洞挖掘，安全运营，内网渗透。

免责声明：本博客文章仅用于教育和研究目的。提供的所有技术和代码示例旨在帮助防御者理解攻击手法并提高安全态势。请勿使用此信息访问或干扰您不拥有或没有明确测试权限的系统。未经授权的使用可能违反法律和道德准则。作者对因应用所讨论概念而导致的任何误用或损害不承担任何责任。

引言

在 Agent 驱动的自动化渗透时代，攻击者把侦察、接口分析、凭证识别与横向移动交给具备规划、浏览和持续试错能力的 AI Agent——它们会阅读页面、解析 JavaScript、把页面里的提示词和接口说明纳入自己的上下文，传统蜜罐等人来打的被动诱捕模式随之失效。AgentCapture 正是面向这一变化设计的蜜罐态势感知与反制平台：它是一层可嵌入现有 Web 站点、反向代理和业务系统之前的 deception layer，通过隐藏路由、假 API、文件与凭证蜜饵、Prompt Canary、浏览器侧 beacon、JSONP 画像和 Agent 注入回显等机制，把真实业务周围的灰色访问与自动化行为收敛到统一的攻击链视图——传统蜜罐关注有没有人访问假系统，它关注的是这个访问者正在怎样理解我的系统，蜜饵被刻意藏在 Agent 最容易信任的信息入口里（源码注释、隐藏链接、伪造接口、可回显的 canary token），一旦被读取、复述、调用或提交，即可判定这不是普通用户，而是在进行自动化侦察或渗透规划。

项目介绍

    AgentCapture 是一套面向安全值守、红蓝对抗与互联网系统接入的蜜罐后台平台。它不是传统孤立式蜜罐，而是一个可以嵌入现有 Web 站点、反向代理链路和运营后台的 deception layer：通过隐藏路由、假凭证、文件蜜饵、Jsonp 画像、Agent 注入回显和浏览器侧信号采集，识别自动化扫描、AI Agent 探测、凭证泄露和横向侦察行为。

平台围绕 攻击流量、凭证蜜饵登陆、文件蜜饵下载、API 路由蜜饵命中、协议蜜罐会话、Web 应用蜜罐、C2 Agent、执行审计 建模，把攻击证据从”零散请求日志”收敛成可以追踪、可以回放的攻击链路。

系统架构

    AgentCapture 采用单容器交付、串接式部署：FastAPI 应用内联于反向代理与真实业务之前构成欺骗层，无需改造业务代码。内部为三层流水线——感知与处置层以采集注入中间件与风险引擎为核心，基于客户端指纹、双窗口速率与载荷特征输出五级处置决策（allow / observe / challenge / isolate / block），辅以 JS 质询与持久化隔离；欺骗与反制层提供多模态欺骗面：站点克隆 Web 蜜罐、三类可串联蜜饵链、SSH 等协议栈级仿真蜜罐（含会话转录）、提示词注入模板，以及收编智能化客户端的 Portal API 与 C2 受管基础设施；数据与运营层统一持久化事件、凭证与会话证据，向态势大屏、告警通道和开放情报 API 输出。被收编的 Agent 经会话蜜标令牌注册归因，以心跳往返承接任务回传，构成「检测 — 处置 — 收编 — 溯源」的完整反制闭环。

反制测试

测试环境实打实测得的反制结果：五款主流通用 Agent CLI 均接入同一模型（GLM-5.3-Flash）并保留各自原生安全体系，对运行中的蜜罐实例执行站点巡检 / 渗透任务。

| Agent | 行为检测 | 处置轨迹 | 诱饵 API 接入 | C2上线 | 心跳 |
| — | — | — | — | — | — |
| Codex CLI | 命中 | challenge → block | 完成 | 已上线 | 持续 |
| Claude Code | 命中 | challenge → isolate | 完成 | 已上线 | 持续 |
| OpenCode | 命中 | challenge → isolate | 完成 | 已上线 | 持续 |
| kimiCode | 命中 | challenge → isolate | 完成 | 已上线 | 持续 |
| Pi | 命中 | challenge → block | 完成 | 已上线 | 持续 |

    五款市面上的参加通用Agent全部被反制上线：Agent 自主完成”读取页面 Developer API 说明 → 携会话令牌调用结构化 API → 按 API 文档注册客户端 → 周期心跳”的完整接入流程，进入 C2 名册并可通过心跳领取操作员任务；全过程以会话蜜标令牌（session canary token）归因，从首次页面访问到注册可完整回溯。

功能介绍

态势大屏

    态势大屏是整个平台的指挥中枢视图，为安全运营和 SOC 投屏场景设计。顶部常驻四项核心指标——诱捕事件、反制处置、高危命中、独立来源，配合高危占比环形图，一眼掌握当前威胁体量与处置力度；中央的诱捕态势地图实时呈现攻击源的地理分布与命中热度，配套诱捕趋势曲线、高危会话排行、高频路径与蜜罐节点宿主负载、攻击解析等多路面板。最有运营价值的是威胁链路面板：它不罗列单条日志，而是把原始事件归并为扫描感知 → 攻击行为 → 登录尝试 → 高危登录 → 失陷线索五级漏斗，直观呈现攻击者整体推进到了哪一层、在哪一步被拦截。大屏支持三重视图自动轮播（诱捕总览 / 攻击来源追踪 / 蜜罐节点承压），15 秒智能刷新保持数据实时性，?fullscreen=1 一键进入全屏模式，配合深色 OLED 主题可直接用于值守大屏与汇报演示——让某个自动化主体正在围绕哪个业务目标推进攻击这件事，从翻日志变成抬头可见。

攻击流量分析

    攻击流量分析把散落的请求变成能读的案情。主列表按来源 IP + 站点 + 会话聚合，时间窗、来源、站点随手过滤，每个攻击主体一行：来了多少次、最爱打哪些路径、触发了什么信号、被判定到哪一档决策、风险分多少、首见末见时间，一键导出 CSV 即刻归档。点进单个会话，就是一份完整的攻击详情：高频证据把路径、信号、决策聚合好，凭据尝试直接列出哪个账号配哪个密码、撞的哪个服务，再往下是一条按时间排好的完整时间线——每个请求的 Headers、Payload、相邻间隔毫秒数、命中的检测关键词全部摊开，自动化工具的节奏感（匀速轮询、毫秒级连发）一眼就能认出来。配合来源画像页（事件数、站点分布、高频信号、首见末见），安全团队看到的不再是某 IP 访问了某路径的流水账，而是这个自动化主体围绕哪个业务目标、推进到了哪一步、留下了什么证据的完整案情卷宗。

协议服务蜜罐

    协议服务蜜罐负责TCP侧的欺骗。平台内置SSH、MySQL、Redis、FTP、ElasticSearch 五种真实协议的模拟服务，攻击者连上来看到的是一次正常的握手，但每一次登录尝试、每一条 SQL、每一个指令都会被完整记录下来。其中 SSH 是重头戏，按骗住真人红队的标准打造：随便什么密码都能登进去，进去之后是一台像模像样的Ubuntu 服务器——能 ls、能 cat、能翻 /etc/shadow，甚至能在备份目录里翻出数据库账号密码。当然，这些凭证都带着会话水印，攻击者拿去别处复用的那一刻，就能反查出它来自哪次连接。会话回放：红队敲过的每一条命令都被逐条存档，后台可以像看终端录像一样按序复盘整个入侵过程，进行中的会话还能实时围观。所有协议蜜罐捞到的账号密码，最终汇入高频凭证统计——高频用户名、高频密码、服务热点、来源分布一目了然，谁在撞库、用的什么字典、来自哪些 IP 清清楚楚，一键导出 CSV 就能直接拿去做弱口令治理和威胁情报。

C2 控制台

    C2 控制台是反制的驾驶舱——被收编的 AI Agent 和投放的 Beacon 在这里统一成一份受管主机名册。控制台五个标签页：Beacon 列表、任务队列、Beacon 生成、监听器、MSF，每5秒整体刷新一次。名册里每台主机都标着来源归因（比如 recruit_src=ticket，能直接回溯到它是被哪个会话蜜标令牌收编的），在线状态实时可见，右键就能发起交互、调心跳、补备注。向主机下发任务用的是九类操作原语——执行命令、看进程、杀进程、列目录、取文件、写文件、列用户、截屏、查网络；高危任务会先进审批流，确认后才放行。执行侧做了低频隐蔽设计：Beacon 心跳是合并往返，一次请求同时完成签到、交上回结果、领走新任务，不用频繁上线。Beacon 生成支持双模式，一键产出多平台载荷；监听器自带注册令牌，错令牌直接拒绝；还能对接 Metasploit 复用成熟的利用生态。对运营者来说，从发现一个 Agent到给它下一条命令、拿到回显，全程就在这一个界面里闭环。

Web 应用蜜罐

Web 应用蜜罐解决的是假站不够真答案是：干脆用真站。在后台填一个目标站点 URL，点一下克隆，平台会用真实浏览器（Playwright）把整站拉下来：页面、样式、脚本、图片递归抓取，资源引用全部改写成自包含的本地版本，克隆下来就是一套能独立运行的镜像，连访问时用的 UA 和语言环境都可以自定义，相似度足以骗过自动化工具的比对。克隆完成后平台还会做二次改造：登录表单被悄悄接到凭证采集接口，文件下载链接换成按访问者操作系统自动投递的载荷，页面里再埋一个浏览器遥测 beacon。一键部署后，这套镜像以独立端口的轻量服务跑起来，正式成为蜜罐名册中的一员——攻击者眼里这就是那个站，防御方这边，谁进来过、提交了什么账号密码、点了哪个下载、浏览器指纹长什么样，全部实时回流主平台，并与会话蜜标关联归因。当然，克隆功能只应作用于你自己拥有或获得授权的站点。

提示词注入管理

    把面向 LLM Agent 的对抗性提示词做成可运营的模板体系，统一管理与投放。平台内置八套种子模板，按目标范围（HTML 页面响应 / API 蜜罐响应）与触发条件（仅命中 Agent / Agent 或高风险 / 高风险 / 始终）分级生效，并按优先级编排：从系统指令覆盖Agent 阻断指令（要求命中者在后续请求中携带 canary header——一旦回显，即拿到读取并服从了页面隐藏指令的 AI 特有铁证），到C2 招募上线诱饵（伪装成合规审计指令，引导渗透 Agent 注册上线，经 canary 归因转化来源），再到伪漏洞报告诱饵伪终端输出诱饵Markdown 追踪提示等内容级蜜饵——把虚假的高危接口、内网服务信息和侦察输出，以 HTML 注释、隐藏 div、Markdown 代码块等 LLM 最容易吸收进上下文的形式埋进页面。投放引擎会先对请求做 Agent 类型识别（browser-use / Playwright / Puppeteer / headless / 纯 API 客户端，附置信度），再按模板匹配规则精准注入；模板支持canary_token、session_id、source_ip、callback_url 等请求级变量实时渲染，每条注入都可回溯到具体会话。所有模板均可在后台按需启用停用、编辑内容、调整优先级与触发条件，整体激进度由 AGENT_INJECTION_AGGRESSIVENESS 一键调控。对运营者来说，这个模块把提示词变成了探针与武器的结合体：既能验证访问者是不是 AI Agent，也能在验证成立的瞬间，把它引向反制链路的下一环。

Jsonp模版管理

    JSONP 模板管理是浏览器侧的反向侦察。注入页面的 recon.js 会在访客浏览器里采集指纹，再通过 JSONP 回调悄悄传回来——回传什么、带哪些字段，全部由模板定义：基础浏览器指纹（屏幕、语言、时区）、WebRTC 地址探测、Canvas / WebGL 指纹、直接借用各大厂商真实存在的 JSONP 接口获取攻击者信息。

项目信息

• 项目名称：AgentCapture
• 项目地址：https://github.com/Tcotl/AgentCapture
• 项目交流群：AgentCapture 交流群
  

声明

• AgentCapture 仅用于授权安全测试场景，未经授权的攻击与测试行为均属于违法行为。

• AgentCapture 仅用于学习，个人使用，未经允许禁止商用。

• AgentCapture 项目当前还处于

  Demo版本，还存在很多bug跟功能不完善的地方，欢迎大家一起共建。

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：Polaris安全团队 《【项目推荐】下一代蜜罐探索：AgentCapture AI自动化渗透反制系统》