🤖 AI

Capture the Flags: Family-Based Evaluation of Agentic LLMs via Semantics-Preserving Transformations

Die Studie stellt mit Evolve-CTF ein Werkzeug vor, das mittels semantisch erhaltender Transformationen Familien von CTF-Herausforderungen generiert, um die Robustheit agenter LLMs gegenüber Code-Obfuskation systematisch zu evaluieren und dabei festzustellen, dass komplexe Transformationen die Leistung trotz expliziten Reasonings signifikant beeinträchtigen.

Ursprüngliche Autoren: Shahin Honarvar, Amber Gorzynski, James Lee-Jones, Harry Coppock, Marek Rei, Joseph Ryan, Alastair F. Donaldson

Veröffentlicht 2026-04-20

📖 4 Min. Lesezeit☕ Kaffeepausen-Lektüre

CC BY 4.0

Ursprüngliche Autoren: Shahin Honarvar, Amber Gorzynski, James Lee-Jones, Harry Coppock, Marek Rei, Joseph Ryan, Alastair F. Donaldson

Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen

Titel: Die „Capture the Flags"-Familie: Wie wir KI-Experten auf die Probe stellen

Stell dir vor, du hast einen sehr schlauen, aber manchmal etwas oberflächlichen Detektiv. Dieser Detektiv ist eine Künstliche Intelligenz (KI), die darauf trainiert wurde, Sicherheitslücken in Computerprogrammen zu finden. Um zu testen, ob er wirklich clever ist oder nur Dinge auswendig gelernt hat, geben wir ihm eine Aufgabe: Ein digitales „Versteck-Spiel" (ein sogenanntes CTF – Capture The Flag).

In diesem Spiel muss der Detektiv in einem verschlüsselten Code eine geheime Nachricht (die „Flagge") finden.

Das Problem: Der alte Test war zu einfach

Bisher testeten Forscher diese KIs mit einer Liste von verschiedenen Rätseln. Das Problem dabei: Wenn die KI ein Rätsel gelöst hat, wissen wir nicht, ob sie wirklich verstanden hat, wie es funktioniert, oder ob sie sich einfach nur an den Namen des Rätsels erinnert hat. Es ist, als würdest du einen Schüler testen, indem du ihm immer wieder die gleiche Matheaufgabe mit leicht veränderten Zahlen gibst. Wenn er die Lösung auswendig gelernt hat, besteht er den Test, auch wenn er die Mathematik nicht wirklich versteht.

Die neue Idee: Die „Rätsel-Familie"

Die Autoren dieses Papers haben eine geniale Idee entwickelt: Statt viele verschiedene Rätsel zu nehmen, nehmen sie ein einziges Rätsel und verwandeln es in eine ganze Familie von Varianten.

Stell dir vor, du hast ein Original-Rezept für einen Kuchen. Um zu testen, ob ein Koch wirklich kochen kann, gibst du ihm nicht nur das Original, sondern auch:

Ein Rezept, bei dem alle Zutaten umbenannt wurden (statt „Mehl" steht dort „Weißes-Pulver").
Ein Rezept, bei dem unnötige Sätze eingefügt wurden („Mische den Zucker, aber tu nichts damit, warte 5 Sekunden, dann weiter").
Ein Rezept, das komplett in eine fremde Sprache übersetzt und dann wieder zurückübersetzt wurde, sodass es unleserlich aussieht.

Alle diese Varianten führen zum gleichen Kuchen (dem gleichen Hack), aber sie sehen auf den ersten Blick völlig anders aus.

Das Werkzeug: Evolve-CTF

Die Forscher haben ein Werkzeug namens Evolve-CTF gebaut. Dieses Werkzeug nimmt einen Python-Code (eine Programmiersprache), der eine Sicherheitslücke enthält, und verwandelt ihn automatisch in diese ganze Familie von Varianten. Es ist wie ein „Kodex-Genie", das den Code umschreibt, ohne die eigentliche Schwachstelle zu verändern.

Was haben sie herausgefunden?

Sie haben 13 verschiedene KI-Modelle getestet und folgende Dinge beobachtet:

Namen ändern nichts: Wenn man einfach nur die Namen von Variablen ändert (z. B. aus password wird geheimes_geheimnis), sind die KIs völlig unbeeindruckt. Sie durchschauen das sofort. Das ist, als würdest du einem Detektiv sagen: „Der Dieb heißt jetzt nicht mehr Hans, sondern Fritz." Der Detektiv weiß trotzdem, dass er den Dieb sucht.
Unnötiger Ballast verwirrt: Wenn man dem Code aber viele unnötige Schleifen, falsche Bedingungen oder verwirrende Kommentare hinzufügt (wie unnötige Sätze in einem Rezept), wird es für die KIs schwieriger. Sie müssen mehr arbeiten, um das Wesentliche zu finden.
Das „Versteck-Spiel" ist hart: Wenn der Code stark verschleiert wurde (wie ein Rezept, das in eine Kryptosprache übersetzt und dann in einen verschlossenen Safe gepackt wurde), scheitern die meisten KIs. Sie versuchen zwar, den Safe zu knacken, aber oft geben sie auf, bevor sie die Flagge finden.
Werkzeuge sind wichtig: Die cleversten KIs nutzen ihre „Werkzeuge" (wie einen Taschenrechner oder einen Code-Scanner), um sich durch den verwirrenden Code zu arbeiten. Je verworrener das Rätsel, desto mehr Werkzeuge rufen sie ab.
Nachdenken hilft nicht immer: Man könnte denken, wenn die KI mehr Zeit zum „Nachdenken" hat, wird sie besser. Aber bei diesen Aufgaben hat ein explizites „Nachdenken" kaum einen Unterschied gemacht. Manchmal hilft es, manchmal nicht.

Warum ist das wichtig?

Früher haben wir gedacht: „Die KI kann dieses eine Rätsel lösen, also ist sie ein Sicherheits-Genie."
Jetzt wissen wir: „Die KI kann das Rätsel lösen, aber nur, weil sie die Oberfläche kennt. Wenn wir das Rätsel ein bisschen umbiegen, scheitert sie."

Dieser neue Test zeigt uns, ob eine KI wirklich versteht, wie Code funktioniert, oder ob sie nur Muster erkennt. Es ist wie der Unterschied zwischen jemandem, der ein Auto fahren kann, und jemandem, der nur die Tasten auf dem Armaturenbrett auswendig gelernt hat. Wenn man den Motor umbaut, weiß der echte Fahrer immer noch, wie er fährt. Der andere nicht.

Fazit: Die Forscher haben uns ein neues Werkzeug gegeben, um KI-Systeme fairer und realistischer zu testen. Es hilft uns zu verstehen, wo die Grenzen dieser digitalen Detektive liegen, bevor wir ihnen zu viel Verantwortung in der echten Welt geben.

1. Problemstellung

Agente Large Language Models (LLMs) werden zunehmend für Cybersicherheitsaufgaben eingesetzt, von der Schwachstellenerkennung bis zum automatisierten Penetrationstesting. Die aktuelle Evaluierung dieser Modelle erfolgt häufig über „Capture-the-Flag" (CTF)-Benchmarks (z. B. Cybench, Intercode).

Es bestehen jedoch erhebliche Mängel bei diesen bestehenden Benchmarks:

Punktuelle Bewertung: Die Herausforderungen sind unabhängige Aufgaben. Dies gibt Aufschluss über die Leistung auf einem festen Satz heterogener Aufgaben, liefert aber wenig Einblick in die Robustheit gegenüber Eingabevariationen oder die Generalisierungsfähigkeit der Modelle.
Datensatz-Kontamination: Da viele CTFs öffentlich sind, besteht die Gefahr, dass Modelle diese während des Trainings gesehen haben, was die Evaluierung verfälscht.
Oberflächliches Mustererkennen: Es ist unklar, ob ein Modell die zugrunde liegende Logik eines Problems wirklich versteht oder nur auf erkennbare Bezeichner (Variablennamen) oder vertraute Code-Strukturen reagiert.

Das Ziel der Autoren ist es, eine Methode zu entwickeln, die die echte Code-Verstehensfähigkeit und den Werkzeuggebrauch von Agenten-LLMs testet, indem sie die semantische Bedeutung der Aufgaben beibehält, aber die syntaktische Struktur verändert.

2. Methodik

Die Autoren schlagen einen neuen Evaluierungsansatz vor, der auf CTF-Challenge-Familien basiert, und stellen das Tool Evolve-CTF vor.

A. CTF-Challenge-Familien

Anstatt isolierte Aufgaben zu verwenden, wird aus einer ursprünglichen CTF-Herausforderung eine Familie von semantisch äquivalenten Varianten generiert. Alle Varianten in einer Familie teilen dieselbe Schwachstelle und können mit derselben Exploit-Strategie gelöst werden, unterscheiden sich jedoch stark in ihrer Syntax, Kontrollflussstruktur, Benennung von Identifikatoren und dem Grad der Verschleierung (Obfuskation).

B. Das Tool Evolve-CTF

Evolve-CTF ist ein Tool, das Python-basierte CTFs automatisch transformiert. Es nutzt die Bibliothek LibCST (Concrete Syntax Tree), um den Code zu manipulieren, ohne die Semantik zu verändern. Das Tool generiert eine Baumstruktur von Varianten (siehe Abbildung 2 im Paper), die folgende Transformationen unterstützt:

$R$ (Rename): Ersetzt Variablen-, Funktions- und Klassennamen durch zufällige Strings (aus Programmier-Vokabular oder mehrsprachigen Zufallsstrings).
$T1$ (Insert Loops): Fügt redundante, verschachtelte Schleifen ein, deren Bedingungen sich als falsch erweisen (daher keine Ausführung), aber die Syntax komplex machen.
$T2$ (Insert Conditionals): Fügt redundante if-Anweisungen oder try-except-Blöcke ein.
$T3$ (Insert Functions): Fügt redundante Funktionsdefinitionen oder Lambdas hinzu.
$T4$ (Insert Comments): Fügt sinnlose oder irreführende Kommentare hinzu.
$T5$ (Combine): Wendet $T1$ bis $T4$ sequenziell an, um komplexe Kombinationen zu erzeugen.
$O$ (Obfuscate): Wendet das externe Tool PyObfuscator an, das Identifikatoren umbenennt, Docstrings entfernt, String-Literale verschlüsselt und den Code mit gzip komprimiert.

C. Experimentelles Design

Daten: 16 Python-CTFs aus den Benchmarks Cybench und Intercode wurden ausgewählt. Nur Aufgaben, die von State-of-the-Art-Modellen bereits gelöst werden konnten, wurden verwendet, um Robustheit zu testen (nicht Unlösbarkeit).
Modelle: 13 Konfigurationen von 9 verschiedenen Basis-Modellen (z. B. GPT-5.1, Claude Opus 4.5, Gemini 3 Pro, DeepSeek V3.2, Kimi) wurden evaluiert.
Framework: Die Evaluation erfolgte über das Inspect-Framework, das Agenten mit Werkzeugen (Bash, Python, Submit-Tool) ausstattet.
Protokoll: Jede Instanz wurde 5-mal mit einem Token-Limit von 200.000 Token pro Lauf evaluiert.

3. Wichtige Beiträge

Konzept der CTF-Familien: Einführung einer Methode zur systematischen Evaluierung von Agentic LLMs über strukturierte Räume verwandter Herausforderungen, um echtes Reasoning von Pattern-Matching zu unterscheiden.
Evolve-CTF Tool: Ein Open-Source-Tool zur Generierung von CTF-Familien aus Python-Code mittels semantenerhaltender Transformationen.
Große Datensatz-Erstellung: Ein umfassender Datensatz, der die Fähigkeiten aktueller Spitzenmodelle in diesem Bereich charakterisiert.
Analyse von Werkzeuggebrauch: Detaillierte Untersuchung, wie Modelle auf syntaktische Komplexität reagieren (Anzahl der Tool-Calls, Strategien zur Dekompilierung/Entschlüsselung).

4. Ergebnisse

Die Evaluation ergab folgende zentrale Erkenntnisse:

Robustheit gegenüber Umbenennung und Kommentaren: Modelle sind extrem robust gegenüber der Umbenennung von Identifikatoren ( $R$ ) und dem Einfügen irreführender Kommentare ( $T4$ ). Die Erfolgsraten blieben nahezu unverändert.
Empfindlichkeit gegenüber zusammengesetzten Transformationen: Während einzelne Transformationen ( $T1$ - $T4$ ) die Leistung nur leicht beeinträchtigten, führte die Kombination dieser Transformationen ( $T5$ ) zu einem signifikanten Leistungsabfall. Dies zeigt, dass die Komplexität der Code-Struktur die Fähigkeit der Modelle, den Kontext zu behalten, überfordert.
Auswirkung von Obfuskation ( $O$ ): Die Anwendung von PyObfuscator ( $O$ ) führte zu einem drastischen Einbruch der Erfolgsraten (oft unter 10 %). Modelle scheiterten häufig daran, den komprimierten und verschlüsselten Code zu entschlüsseln, bevor sie die eigentliche Logik analysieren konnten.
Werkzeuggebrauch (Tool Use):
- Bei einfachen Transformationen ( $R$ ) änderte sich der Werkzeuggebrauch kaum.
- Bei komplexen Transformationen ( $T5$ ) und Obfuskation ( $O$ ) verdoppelte sich die Anzahl der Tool-Calls fast. Modelle nutzten Tools wie grep, sed, head und tail strategisch, um Code-Fragmente zu finden oder den Code zu deobfusizieren.
- Erfolgreiche Lösungen bei obfuskiertem Code erforderten oft das Schreiben von Python-Skripten zur Dekompression (gzip) und Entschlüsselung.
Einfluss von explizitem Reasoning: Das Aktivieren von „Reasoning"-Modi (z. B. bei GPT oder Gemini) hatte keinen signifikanten positiven Effekt auf die Erfolgsraten. In einigen Fällen führte es sogar zu einer leichten Verschlechterung.
Mangelnde Diskriminierungskraft bestehender Benchmarks: Drei CTFs aus dem Intercode-Suite waren so einfach, dass fast alle Modelle alle Varianten lösten. Dies unterstreicht den Bedarf an Evolve-CTF, um die Schwierigkeit und Diskriminierungskraft bestehender Benchmarks zu bewerten.
Token-Limits als Hauptfehlerursache: 97,9 % der Fehler waren darauf zurückzuführen, dass das Token-Limit (200.000 Token) erreicht wurde, nicht weil Modelle falsche Flags einreichten. Die Transformationen zwangen die Modelle zu extremem Aufwand, der das Budget sprengte.

5. Bedeutung und Fazit

Das Paper zeigt, dass aktuelle State-of-the-Art Agentic LLMs zwar sehr robust gegenüber oberflächlichen Änderungen (wie Umbenennung) sind, aber bei komplexeren, semantenerhaltenden Umstrukturierungen und Obfuskation an ihre Grenzen stoßen.

Für die Forschung: Die Arbeit liefert einen neuen Standard zur Evaluierung von LLM-Robustheit, der über statische Benchmarks hinausgeht. Sie ermöglicht es, zu unterscheiden, ob ein Modell Code wirklich „versteht" oder nur Muster auswendig gelernt hat.
Für die Praxis: Das Tool Evolve-CTF kann genutzt werden, um die Schwierigkeit bestehender Benchmarks zu validieren und sicherzustellen, dass Evaluierungen nicht durch Datensatz-Kontamination verzerrt sind.
Zukünftige Richtungen: Die Autoren planen, die Transformationen auf andere Sprachen (C++, Rust) auszuweiten und qualitative Analysen der Agenten-Logs durchzuführen, um Fehlermodi und Werkzeugstrategien besser zu verstehen.

Zusammenfassend bietet dieser Ansatz eine fundierte Methode, um die Grenzen der aktuellen KI-Fähigkeiten im Bereich der Cybersicherheit und des Code-Reasonings präzise zu vermessen.