HYDRA × PDX¶

Pipeline de cybersécurité dual-use — honeypot propulsé par LLM + générateur de données d'entraînement sécurité.

Le problème¶

En cybersécurité, un honeypot est un faux serveur délibérément exposé sur internet pour attirer les attaquants. On les laisse entrer, on observe ce qu'ils font, et on apprend de leurs techniques.

Le problème : les honeypots actuels sont trivialement détectables. Un attaquant expérimenté tape uname -r et voit le mauvais noyau. Ou vérifie /proc/1/cgroup et repère les traces Docker. Des outils comme Cowrie — le honeypot SSH le plus populaire — sont identifiés en moins de 30 secondes.

Résultat : les attaquants se déconnectent instantanément. Vos logs sont du bruit, pas du renseignement.

L'hypothèse¶

Et si le terminal pouvait répondre intelligemment à n'importe quelle commande tapée par un attaquant — en temps réel, avec de la mémoire, et sans laisser aucune trace qu'il est faux ?

Et si les données capturées pouvaient automatiquement produire des datasets d'entraînement à la fois offensifs et défensifs — à partir des mêmes événements bruts ?

C'est ce que fait HYDRA × PDX.

Comment ça marche¶

graph TB
    A[Attaquant via SSH] --> B[HYDRA Honeypot]
    P[Pentesteur via Burp] --> C[Extension Burp]
    B --> D[DataRouter]
    C --> D
    D --> E[Flux défensif]
    D --> F[Flux offensif]
    D --> G[ReAct combiné]
    E --> H[Fine-tuning
Unsloth / LoRA]
    F --> H
    G --> H
    H --> |feedback.yaml| B

Le système a deux sources de données :

Les deux sources produisent des événements au même format .pdx. Les deux convergent vers un DataRouter unique qui classifie chaque événement en flux défensif, offensif, ou les deux simultanément.

Chiffres clés¶

Contenu de la documentation¶

Liens¶

• Dépôt GitHub
• Article arXiv (à venir)
• LinkedIn