HYDRA × PDX¶

Pipeline de cybersécurité dual-use — recherche HYDRA SSH historique, deception web contrôlée et génération de données sécurité avec PDX.

Le problème¶

En cybersécurité, un honeypot est un faux serveur délibérément exposé sur internet pour attirer les attaquants. On les laisse entrer, on observe ce qu'ils font, et on apprend de leurs techniques.

Le problème : les honeypots actuels sont trivialement détectables. Un attaquant expérimenté tape uname -r et voit le mauvais noyau. Ou vérifie /proc/1/cgroup et repère les traces Docker. Des outils comme Cowrie — le honeypot SSH le plus populaire — sont identifiés en moins de 30 secondes.

Résultat : les attaquants se déconnectent instantanément. Vos logs sont du bruit, pas du renseignement.

L'hypothèse¶

Et si le terminal pouvait répondre intelligemment à n'importe quelle commande tapée par un attaquant — en temps réel, avec de la mémoire, et sans laisser aucune trace qu'il est faux ?

Et si les données capturées pouvaient automatiquement produire des datasets d'entraînement à la fois offensifs et défensifs — à partir des mêmes événements bruts ?

C'est ce que fait HYDRA × PDX.

Comment ça marche¶

graph TB
    A[Attaquant SSH historique] --> B[Archive HYDRA Honeypot]
    W[Visiteur / Bot / Scanner] --> X[Leurres portfolio contrôlés]
    P[Pentesteur via Burp] --> C[Extension Burp]
    B --> D[DataRouter]
    X --> D
    C --> D
    D --> E[Flux défensif]
    D --> F[Flux offensif]
    D --> G[ReAct combiné]
    E --> H[Fine-tuning
Unsloth / LoRA]
    F --> H
    G --> H
    H --> |feedback.yaml| B

Le système a trois sources de données possibles :

Toutes les sources peuvent produire des événements au même format .pdx. Elles convergent vers un DataRouter unique qui classifie chaque événement en flux défensif, offensif, ou les deux simultanément.

Run HYDRA historique¶

Contenu de la documentation¶

Liens¶

• Dépôt GitHub
• Article arXiv (à venir)
• LinkedIn