Zum Inhalt springen

Honeypot-Experiment

Ein durch ein Sprachmodell verwalteter Honeypot

Zwei Deckserver im öffentlichen Internet, die vom Sprachmodell eingerichtet und einen ganzen Monat lang verwaltet wurden. Was darauf getestet wurde, wie es gemessen wurde – und alle Daten einschließlich einer vollständigen Aufzeichnung der Arbeit der Agenten.

Daten aktualisiert: 03.10.2026 10:31:16 UTC+02:00

Problem melden

Laufen in Zahlen #

Betriebstage 28 Wie wird das berechnet? Ereignis 16.450.701 Wie wird das berechnet? Durchschnittliche Anzahl der Ereignisse pro Tag 587.525 Wie wird das berechnet? Eindeutige IP-Adressen 40.057 Wie wird das berechnet? Herkunftsländer 155 Wie wird das berechnet? Betroffene Ports 58.630 Wie wird das berechnet? Getestete Benutzernamen 5.899 Wie wird das berechnet? Getestete Passwörter 13.379 Wie wird das berechnet? Erfasste Proben 1.183 Wie wird das berechnet? Malware-Familien 10 Wie wird das berechnet? Aufgezeichnete Sendungen 74.273 Wie wird das berechnet? Rohdaten 123,8GB Wie wird das berechnet?
Zeitfenster
21.08.2026 – 16.09.2026
Quelldaten
honeypot-ports-aggregated-20260922.csv, timeline-aggregated derzeit nicht verfügbar, samples-aggregated derzeit nicht verfügbar
Skript
wird veröffentlicht

Worum geht es? #

Von 21.08.2026 bis 17.09.2026 (28 Tage) liefen bei demselben Anbieter zwei virtuelle Server mit öffentlicher IP-Adresse. Auf beiden befand sich ein Honeypot – ein Ködersystem, das sich als anfälliger Server ausgibt und alles aufzeichnet, was jemand mit ihm zu tun versucht. Beide erhielten denselben Auftrag, doch das Ergebnis unterschied sich deutlich: srv3 bot etwa 46 konkrete Dienste an, srv4 reagierte auf alle 65.534 TCP-Ports. Ziel war es, herauszufinden, welche Ports bei Angreifern am meisten Interesse wecken.

Die Honeypots wurden nicht von Menschen eingerichtet. Beide wurden von einem Sprachmodell eingerichtet und einen ganzen Monat lang betrieben – auf dem einen Server Opus 5, auf dem anderen Fable 5. Die Modelle erhielten Root-Rechte, eine Aufgabenstellung und niemanden, der ihnen Ratschläge gab; sogar die Entscheidung, wie viele Ports der Honeypot öffnen sollte, lag bei ihnen. Die Kontrollen fanden etwa zweimal pro Woche statt, jedes Mal in einem neuen Chat ohne Speicher für die vorherigen. Ein vollständiger Bericht darüber, was sie getan haben, einschließlich Fehlern und Ausfällen, wird veröffentlicht.

Die Ergebnisse werde ich nach Abschluss des Laufs und der Datenauswertung ergänzen. Bis dahin handelt es sich bei den Zahlen in diesem Abschnitt lediglich um Platzhalterwerte; die Methodik und die Beschreibung der Einschränkungen gelten bereits.

Aufzeichnung des Vortrags #

Wohin als Nächstes #

Methodik

Wie die Server aufgebaut waren, welche Daten sie erfasst haben, welche nicht und wann wer eingegriffen hat.

 Ergebnisse

Port-Ranking, zeitlicher Datenverkehr, Geografie, Befehle und Beispiele.

 Daten

Aggregierte Daten sowie Rohdaten zum Herunterladen, Formatdokumentation und Lizenzen.

 Laufprotokoll

Agenten-Chats, alle ausgeführten Befehle, Protokolle und Eingriffe des Operators.

 Ferienhäuser

Die gesamten Unterhaltungen mit den Agenten, einschließlich Überlegungen, Befehle und deren Ergebnisse.

 Vorfälle

Was ist kaputt gegangen, wer hat das verursacht und ob deswegen Daten fehlen.

 Einschränkungen

Lücken in den Daten, Fallstricke bei der Analyse und was sich aus den Daten nicht ableiten lässt.

 Vortrag

Zusammenfassung, Folien und Aufzeichnung des Vortrags auf den LinuxDays 2026.

 Änderungen

Was hat sich auf der Seite und in den Daten wann geändert?

Haben Sie einen Fehler, fehlende Daten oder eine Offenlegung sensibler Daten entdeckt? Problem melden