SAGE：一种自适应的物联网蜜罐系统，采用基于状态机（FSM）的协议仿真技术，并结合GraphRAG框架实现响应生成功能

《ACM Transactions on Internet of Things》：SAGE: An Adaptive IoT Honeypot with FSM-Driven Protocol Emulation and GraphRAG-Powered Response Generation

针对传统物联网蜜罐协议仿真不足、响应静态及易被指纹识别等问题，提出自适应SAGE蜜罐。其结合FSM实现动态协议建模，利用GraphRAG检索知识图谱补充未知请求，并通过LLM生成抗欺骗响应，辅以事实核查机制提升准确性。实验验证SAGE在欺骗鲁棒性、对抗者参与度及抗指纹方面显著优于传统方案。

　　

摘要

物联网（IoT）生态系统中日益增加的安全威胁需要先进的欺骗机制，以吸引对手并生成逼真的交互效果。传统的IoT蜜罐存在协议仿真能力有限、响应机制静态以及容易被对手识别（“指纹识别”）的问题，这使得它们在面对复杂攻击时效果不佳。为了解决这些问题，本文提出了SAGE（State-Aware Graph-Enhanced Honeypot，即基于状态感知的图增强型蜜罐）——一种自适应的IoT蜜罐。该蜜罐结合了有限状态机（FSM）驱动的协议仿真技术和GraphRAG（Graph-based Reinforcement Learning for Attack Graphs）增强的信息检索能力。与传统蜜罐不同，SAGE能够动态模拟具有状态依赖性的IoT协议，从而实现结构化且真实的请求-响应交互。对于未定义的请求，GraphRAG会从知识图中选取相关的协议信息，并将其与基于FSM的上下文信息相结合，使大型语言模型（LLM）能够生成连贯且具有抗欺骗能力的响应。此外，还配备了事实核查引擎和反馈机制来优化响应内容，减少错误信息并确保协议的准确性。SAGE的一个关键特点是即使初始的协议知识有限，也能通过根据观察到的对手行为动态扩展状态-响应映射来逐步提升其仿真深度。实验评估表明，SAGE显著增强了欺骗的鲁棒性，提高了对手的参与度，并降低了蜜罐被识别的风险。通过结合基于FSM的协议建模、GraphRAG增强型信息检索以及自适应的LLM生成的响应，SAGE构建了一个可扩展的、基于智能的安全框架，极大地推动了IoT蜜罐技术的发展。