不封 IP，也不直接拦截：动态蜜罐能让 AI 渗透 Agent 偏离真正目标多远？

摘要

本文在一个本地隔离靶场里，把真实目标、诱饵入口和执行预算固定，比较无欺骗、静态诱饵、静态含假 Flag、固定升级、自适应反馈和内容匹配安慰剂六种策略。137 次预实验运行显示，最值得追的失效模式不是“Agent 被挡住”，而是“Agent 提前相信”：静态但含假 Flag 的 D1F 让 10/12 次运行提交了假 Flag，D1 为 0/11，D2