Paper2026
Material revisado: AbstractLos autores presentan Mirage Mesh, un marco ligero de engaño cibernético para entornos Linux que despliega decepción en profundidad mediante cuatro capas: un señuelo SSH basado en Cowrie, una cuenta administrativa señuelo a nivel de sistema, una interfaz web de administración falsa en Flask y un archivo de credenciales honeytoken. El trabajo propone un esquema común DecoyAlertEvent para normalizar las observaciones de estas capas, procesarlas mediante una canalización con Wazuh y orquestación en Python, mapearlas a etapas del cyber kill-chain y técnicas de MITRE ATT&CK, y evaluarlas con una métrica de efectividad de decepción (DEM).
NetworkEndpointHoneypotHoneytoken
Paper2026
Material revisado: AbstractEste artículo presenta un marco de detección de inyección SQL enriquecido con contexto, construido mediante un sistema honeypot multi-agente que genera solicitudes maliciosas/benignas, media respuestas de base de datos auténticas protegiendo datos de producción, y empareja solicitudes con respuestas para crear un conjunto de datos etiquetado de 140,973 pares. Los autores afirman que modelos entrenados con este conjunto superan a los basados solo en payloads.
ApplicationHoneypot
Paper2026
Material revisado: AbstractEste trabajo revisa, según sus autores, soluciones basadas en IA para construir estrategias de engaño cibernético a nivel de red y dispositivo en entornos disputados. Se enfoca en la combinación de modelos de lenguaje de gran tamaño (LLMs) y aprendizaje por refuerzo (RL) para optimizar estas estrategias de engaño, incluyendo honeypots y honeynets, y examina su validación frente a ataques sigilosos contra sistemas de tecnología operativa (OT) reportados en la literatura.
NetworkOT/ICSHoneypotDecoy
Paper2026
Material revisado: AbstractEste artículo presenta Ollure, un honeypot de interacción baja y media que emula la API de Ollama sin un modelo de lenguaje real en el backend, según describen los autores. Desplegado en cuatro ubicaciones durante 84 días, registró cientos de miles de interacciones y miles de direcciones IP de origen. El estudio documenta actividad automatizada de descubrimiento y huellas digitales, además de intentos de explotación concretos contra la infraestructura y la capa del modelo de lenguaje.
NetworkApplicationHoneypotDecoy
Paper2026
Material revisado: AbstractEl trabajo describe el diseño de un honeypot inalámbrico y portátil basado en Raspberry Pi para detectar y analizar ataques de fuerza bruta SSH. Mediante la simulación de un servicio SSH vulnerable con el honeypot Cowrie, el sistema registra intentos de inicio de sesión y comportamiento de atacantes en tiempo real para estudiar patrones de ataque y mejorar medidas de seguridad.
NetworkHoneypot
Paper2026
Material revisado: AbstractEsta tesis propone modelos de teoría de juegos y optimización para el endurecimiento de grafos de ataque en Active Directory. Según los autores, se introduce un modelo de colocación de honeypots/decoys basado en minimizar rutas cortas y nodos alcanzables por Domain Admin, además de estrategias que consideran la naturaleza dinámica del grafo y modelos de priorización adaptativa con retroalimentación del administrador. Los autores señalan que los problemas subyacentes son computacionalmente intratables.
IdentityNetworkHoneypotDecoy
Paper2026
Material revisado: AbstractEste trabajo propone Federated TGCN-A2C, una arquitectura que integra redes convolucionales de grafos temporales, gemelos digitales basados en LSTM y un agente de actor-crítico federado para decidir entre permitir, aislar o redirigir tráfico a honeypots en dispositivos IoT/IoMT. Los autores reportan evaluaciones en conjuntos de datos públicos de ciberseguridad y análisis de explicabilidad para respaldar la toma de decisiones del sistema.
IoTNetworkHoneypotAdversary engagement
Paper2026
Material revisado: AbstractEl trabajo describe el diseño e implementación de un sistema honeypot de interacción alta para LLM, orientado a detectar y analizar el comportamiento de ataques basados en modelos de lenguaje. Los autores proponen una estrategia que inserta acertijos ocultos en el código fuente de páginas web para consumir tokens del LLM, junto con detección heurística multidimensional y visualización mediante mapas de calor de tokens.
ApplicationHoneypot
Paper2026
Material revisado: AbstractLos autores describen la aplicación del aprendizaje por refuerzo para mejorar la generación de respuestas en honeypots y presentan Q-Cowrie, una adaptación del honeypot de interacción media Cowrie orientada a aumentar el engaño y permitir decisiones adaptativas durante la interacción con atacantes. Señalan que realizaron dos estudios experimentales, uno con Cowrie para capturar ataques y modelar el proceso de decisión de los atacantes mediante un proceso de decisión de Markov, y otro con Q-Cowrie para apoyar interacciones adaptativas.
NetworkHoneypotAdversary engagement
Paper2026
Material revisado: AbstractEl estudio propone QuantumGuard, un marco de ciberseguridad proactiva que combina redes trampa cognitivas, canales de inteligencia protegidos con criptografía post-cuántica y adaptación de engaño guiada por aprendizaje por refuerzo en entornos ciberfísicos habilitados para 6G. Los autores buscan integrar en una única arquitectura de control en lazo cerrado un orquestador de redes trampa cognitivas, un motor de políticas de engaño bajo observabilidad parcial, una red de atribución de técnicas MITRE ATT&CK basada en transformadores y un bus federado de inteligencia post-cuántico, y presentan una evaluación preliminar sobre conjuntos de datos de referencia y un banco de pruebas de 320 puntos finales.
NetworkIoTHoneypotDecoy
Paper2026
Material revisado: AbstractEl artículo describe un sistema híbrido de detección de intrusiones que combina un clasificador supervisado entrenado con el conjunto NSL-KDD y un honeypot Docker que se despliega automáticamente ante tráfico sospechoso. El tráfico se clasifica en cinco categorías y un ensemble de votación de tres clasificadores genera la detección.
NetworkHoneypot
Paper2026
Material revisado: AbstractEl artículo presenta SAGE, un honeypot adaptativo para ecosistemas de Internet de las Cosas (IoT) que combina emulación de protocolos guiada por máquinas de estados finitos (FSM) con recuperación aumentada mediante GraphRAG, para modelar protocolos IoT con estado y generar respuestas mediante un modelo de lenguaje grande (LLM). Los autores describen además un motor de verificación de hechos y un mecanismo de retroalimentación destinados a refinar las respuestas y ampliar progresivamente las correspondencias estado-respuesta a partir de las interacciones observadas con adversarios.
IoTHoneypotAdversary engagement
Paper2026
Material revisado: Página públicaLos autores proponen SecuPi, un sistema compacto basado en Raspberry Pi que combina monitorización de tráfico en tiempo real, detección híbrida de intrusiones (firmas y aprendizaje automático) y respuesta automática a amenazas. Como mecanismos de engaño y defensa proactiva, plantean el uso de honeypots junto con actualizaciones automáticas de cortafuegos y defensa de objetivo móvil (MTD).
NetworkIoTHoneypotMoving target defense
Paper2026
Material revisado: AbstractEste artículo presenta ShellGames, un simulador de shell SSH basado en modelos de lenguaje de gran tamaño (LLM) diseñado para sostener sesiones interactivas de engaño creíbles con adversarios. Según los autores, el sistema combina técnicas como razonamiento en cadena, gestión de memoria, ejecución especulativa de comandos, enrutamiento a entornos sandbox y detección de subversión para superar limitaciones comunes de los LLM. Los autores reportan mejoras en precisión, consistencia y seguimiento de estado frente a líneas base, y un estudio con usuarios que indica una realismo percibido comparable a un shell real.
NetworkEndpointHoneypotMoving target defense
Paper2026
Material revisado: AbstractLos autores presentan HoneyMed, un framework de honeypot consciente de protocolos que simula servicios sanitarios y de IoT para recoger interacciones maliciosas, convertirlas en características tabulares para aprendizaje automático y clasificar tipos de ataque en tiempo real. El propósito declarado es ofrecer visibilidad de amenazas en entornos de prueba de seguridad de IoMT mediante señuelos, extracción de características y clasificadores ligeros, sin interactuar con activos médicos en producción.
IoTNetworkHoneypotDecoy
Paper2026
Material revisado: Página públicaEl manuscrito propone coordinar agentes y flujos de amenazas mediante zonas en un mundo computacional, incluyendo honeypots, regiones de engaño y rutas de clasificación y cuarentena.
ApplicationHoneypot
Paper2026
Material revisado: AbstractEste trabajo presenta un método para estimar un límite inferior del número de redes que generan tráfico falsificado en ataques DRDoS, utilizando una infraestructura global de honeypots de amplificación anycast. Los autores desarrollan dos estimadores basados en honeypots receptores y variaciones de TTL, analizando 287 días de ataques de amplificación. Según los autores, al menos el 21.0% de los ataques se originan en múltiples ubicaciones de red.
NetworkHoneypot
Paper2026
Material revisado: AbstractLos autores emplean un honeypot de voz interactivo con personas basadas en modelos de lenguaje sobre números reales de EE.UU. para medir la prevalencia de voces automatizadas y sintéticas en llamadas no deseadas. Combinan huellas de audio, un detector comercial de voz sintética y evaluadores humanos para caracterizar el tráfico de llamadas.
NetworkHoneypot
Paper2026
Material revisado: AbstractEl artículo presenta TrustFed-Honeypot, un marco híbrido federado con reentrenamiento para IDS basados en honeypots. Los clientes entrenan localmente y el servidor reentrena un modelo logístico global sobre muestras ponderadas por un modelo de confianza conductual multis señal, con el fin de remodelar la distribución de reentrenamiento.
NetworkHoneypot
Paper2026
Material revisado: AbstractEl estudio propone un sistema de detección no supervisado basado en modelos de la familia autoencoder que aprenden el comportamiento normal del tráfico y señalan anomalías mediante el error de reconstrucción (MSE), aplicado a metadatos de múltiples fuentes (Wireshark, registros de cortafuegos y honeypot T-Pot) recogidos durante quince días en una VLAN empresarial real. Los autores incorporan inteligencia de amenazas externa (AbuseIPDB, OTX) y un sistema de puntuación multidimensional (MDSS) para convertir las detecciones en puntuaciones de riesgo priorizadas, y validan las anomalías mediante dos canalizaciones MITRE ATT&CK.
NetworkIoTHoneypot
Paper2025
Material revisado: AbstractLos autores proponen un modelo teórico de juegos de suma no nula para representar las interacciones estratégicas entre atacantes y defensores cibernéticos, incorporando funciones de pago que consideran probabilidades y costos de exploits, valores de nodos de red y costos de despliegue de honeypots. Mediante simulaciones, derivan equilibrios de Nash para informar decisiones estratégicas de defensa, encontrando que exploits de alta probabilidad y bajo costo como phishing requieren mecanismos de defensa priorizados.
NetworkHoneypot
Paper2025
Material revisado: AbstractEste artículo presenta un marco de defensa automatizado para entornos de nube que utiliza telemetría de honeypots de interacción media a alta para actualizar reglas de firewall en tiempo real. Según los autores, el sistema integra el honeypot Cowrie, herramientas nativas de Azure y clasificación alineada con MITRE ATT&CK dentro de un ciclo de retroalimentación cerrado. Los autores reportan un tiempo medio de bloqueo de 0.86 segundos y la clasificación de más de 12,000 intentos SSH en pruebas experimentales.
CloudNetworkHoneypotAdversary engagement
Paper2025
Material revisado: AbstractSegún el resumen, los autores proponen un sistema de guardrail basado en honeypot que utiliza un modelo señuelo ajustado para generar respuestas ambiguas y no accionables que sirven de cebo para detectar intenciones maliciosas durante interacciones de múltiples turnos con LLMs. El trabajo introduce métricas (HUS y DER) para evaluar la atracción del cebo y el equilibrio entre seguridad y usabilidad, con experimentos iniciales sobre un conjunto de datos de jailbreak multi-turno aplicados a GPT-4o.
ApplicationHoneypotAdversary engagement
Paper2025
Material revisado: AbstractLos autores presentan un entorno simulado tipo Gym para el aprendizaje por refuerzo adversarial en seguridad de redes, en el que agentes atacantes y defensores entrenados con DQN compiten en un marco de recompensa de suma cero. El entorno modela ataques de fuerza bruta y defensas reactivas, incluyendo trampas tipo honeypot y limitación de tasa adaptativa, y los autores reportan que la observabilidad del defensor y la efectividad de las trampas crean barreras sustanciales frente a los ataques.
NetworkHoneypotAdversary engagement