Generatieve AI stelt beveiligingsteams in staat om op eenvoudige wijze diverse honeypots te creëren, zoals Linux-shells of Internet of Things (IoT)-apparaten, via simpele tekstinstructies. Dit maakt het inzetten van complexe en overtuigende misleidende omgevingen veel eenvoudiger en beter schaalbaar dan traditionele methoden.

AI-gedreven aanvallen richten zich vaak op snelheid in plaats van op stealth, waardoor ze kwetsbaar zijn voor deze gesimuleerde systemen. Dit biedt verdedigers de mogelijkheid om geautomatiseerde bedreigingen te vangen en te analyseren die anders menselijke teams zouden kunnen overweldigen. De strategie verschuift hiermee van louter detectie naar actieve manipulatie en misleiding van dreigingsactoren. Organisaties kunnen zo in een gecontroleerde omgeving, een soort "hal van spiegels", realtime het gedrag van aanvallers observeren.

Doordat AI-systemen geen bewustzijn hebben, genereren ze plausibele reacties op basis van context en input, maar kunnen ze worden misleid door bijvoorbeeld promptinjectie of door interactie met systemen die niet zijn wat ze lijken. Honeypots worden al langer ingezet om informatie te verzamelen over kwaadaardige activiteiten. De komst van generatieve AI maakt het mogelijk om honeypots te laten optreden als kwetsbare systemen en deze met minimale inspanning breed uit te rollen.

De implementatie van zo’n AI-gestuurde honeypot bestaat uit drie onderdelen: een listener die netwerkverbindingen accepteert, een gesimuleerde kwetsbaarheid die toegang verleent zodra deze wordt geactiveerd, en een AI-framework dat reageert op instructies van de aanvaller. In een voorbeeld moet een aanvaller eerst inloggen met de gebruikersnaam “admin” en het wachtwoord “password123” om toegang te krijgen. Hoewel deze kwetsbaarheid eenvoudig is, kan deze worden uitgebreid naar complexere scenario’s, zoals bijvoorbeeld port knocking.

Door het gebruik van AI-orchestratie ruilen aanvallers stealth in voor meer mogelijkheden, wat hun zichtbaarheid vergroot. Deze verhoogde zichtbaarheid kunnen verdedigers benutten om aanvallen beter te detecteren en te analyseren. Zo wordt de automatisering van aanvallers een zwakte in plaats van een kracht.