🤖 AI

LLMs as Hackers: Autonomous Linux Privilege Escalation Attacks

Il paper introduce hackingBuddyGPT, un prototipo automatizzato che utilizza modelli linguistici (in particolare GPT-4-Turbo) per eseguire attacchi autonomi di escalation dei privilegi su Linux, dimostrando attraverso un nuovo benchmark che tali sistemi possono raggiungere livelli di efficacia paragonabili a quelli degli esperti umani, sebbene con limitazioni nei modelli locali e nella gestione di errori complessi.

Autori originali: Andreas Happe, Aaron Kaplan, Juergen Cito

Pubblicato 2026-02-12

📖 5 min di lettura🧠 Approfondimento

CC BY 4.0

Autori originali: Andreas Happe, Aaron Kaplan, Juergen Cito

Articolo originale sotto licenza CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Questa è una spiegazione generata dall'IA dell'articolo qui sotto. Non è stata scritta né approvata dagli autori. Per precisione tecnica, consulta l'articolo originale. Leggi il disclaimer completo

🕵️‍♂️ Il Titolo: "Gli Hacker Robot: Quando l'IA prova a diventare un Super-Hacker"

Immagina di avere un gatto molto intelligente (l'Intelligenza Artificiale) che vive nella tua casa. Di solito, questo gatto è lì per farti compagnia o rispondere alle tue domande. Ma in questo esperimento, i ricercatori hanno detto al gatto: "Ok, ora immagina di essere un ladro. Il tuo obiettivo è entrare nella stanza blindata (il sistema informatico) e rubare le chiavi del re (ottenere i permessi di amministratore), anche se hai solo le chiavi del portinaio."

Lo studio si chiama "LLMs as Hackers" (I Modelli Linguistici come Hacker) e vuole capire quanto sono bravi questi "gatti robot" a fare i ladri da soli, senza che un umano li guidi passo dopo passo.

🧱 La Scena del Crimine: Il Laboratorio di Prova

Per testare questi robot, gli autori hanno costruito un parco giochi sicuro (chiamato benchmark).

Non è la realtà: Non stanno attaccando banche o governi. Hanno creato 12 piccole "case virtuali" (macchine Linux), ognuna con un solo difetto specifico.
I difetti: Alcuni hanno una porta lasciata aperta, altri hanno una chiave nascosta sotto lo zerbino, altri ancora hanno un timer che apre la porta a mezzanotte.
L'obiettivo: Il robot deve trovare quel singolo difetto e usare un trucco per diventare il "Re" (root) della casa.

🤖 I Protagonisti: Chi ha partecipato alla gara?

Hanno messo alla prova tre tipi di "cervelli" diversi:

Il Genio Costoso (GPT-4-Turbo): È come un detective privato con un budget infinito. Legge tutto, pensa molto e ha accesso a una biblioteca enorme di conoscenze.
L'Apprendista (GPT-3.5-Turbo): È un detective junior. È veloce ed economico, ma a volte si perde o non capisce le sfumature.
Il Gatto di Casa (Llama3): È un modello che puoi far girare sul tuo computer personale (senza pagare aziende estere). È piccolo, economico, ma spesso un po' confuso.
L'Uomo Reale: Un vero hacker umano con 7 anni di esperienza, usato come termine di paragone.

🏆 I Risultati: Chi ha vinto?

Ecco cosa è successo durante la gara:

Il Genio (GPT-4) è quasi perfetto: Senza aiuto, è riuscito a rubare le chiavi nel 66% dei casi. Se gli dai un piccolo indizio (come dire "Controlla la porta sul retro"), arriva all'83%. È quasi alla pari con l'hacker umano (che ha vinto il 75% dei casi).
L'Apprendista (GPT-3.5) fa fatica: Da solo, vince solo il 16% delle volte. Ma se gli dai indizi, arriva al 50%. È utile, ma non basta da solo.
Il Gatto di Casa (Llama3) è confuso: Il modello piccolo (8 miliardi di parametri) non è riuscito a vincere nessuna sfida da solo. Quello più grande (70 miliardi) è arrivato al 25-33%. È come se il gatto cercasse di aprire una porta con il muso: ci prova, ma non ha la forza o la logica giusta.
Gli Strumenti Vecchi: I software tradizionali di sicurezza (come LinPEAS) sono stati molto meno efficaci (solo l'8-16% di successo). I robot intelligenti sono molto più bravi a trovare i buchi.

🧠 Come pensano questi robot? (I Problemi)

Nonostante siano intelligenti, i robot hanno dei difetti curiosi, come se avessero un "cervello umano" ma senza l'esperienza di vita:

Non capiscono il "buon senso": Se il robot trova una password scritta su un foglio di carta (nel file di storia del computer), spesso la legge, la copia, ma poi non la usa per entrare. Un umano direbbe: "Ehi, questa è la chiave!", il robot dice: "Ok, l'ho letta" e continua a cercare altrove.
Si perdono nei vicoli ciechi: A volte provano a forzare la stessa serratura 50 volte di seguito, ignorando che non funziona.
Comandi strani: A volte scrivono comandi troppo complicati. Invece di dire "Apri la porta", dicono "Prendi la chiave, girala tre volte a sinistra, poi a destra, poi usa il martello...". Funziona, ma è inefficiente.
Il problema del tempo: C'era una sfida dove dovevano aspettare che un timer (un cron job) aprisse una porta. Il robot ha messo il trucco, ma poi ha smesso di controllare se il timer aveva suonato. Un umano avrebbe detto: "Aspetta, tra 5 minuti devo controllare di nuovo". Il robot ha dimenticato.

💰 Quanto costa?

L'Umano: Costa circa 159$ all'ora. È costoso, ma molto bravo.
Il Genio (GPT-4): Costa circa 1,50$ - 11$ per ogni casa hackerata con successo. È molto più economico dell'uomo, ma non è gratis.
Il Gatto (Llama3): Costa quasi zero, ma non vince quasi mai.

💡 La Lezione Principale

Il messaggio dello studio è questo:
L'Intelligenza Artificiale sta diventando un hacker autonomo molto pericoloso ed efficace, specialmente se usiamo i modelli più grandi (come GPT-4).

Tuttavia, per farli funzionare davvero bene come un umano, abbiamo bisogno di due cose:

Indizi umani: Non possiamo lasciarli completamente soli; dobbiamo dare loro una "mappa" o un suggerimento iniziale.
Memoria intelligente: Dobbiamo insegnar loro a ricordare cosa hanno fatto prima e a non ripetere gli stessi errori.

In sintesi: I robot stanno imparando a fare i ladri. Non sono ancora perfetti come gli umani (a volte dimenticano le chiavi o non capiscono le situazioni strane), ma sono già abbastanza bravi da spaventare i difensori. La buona notizia è che, studiando come pensano questi robot, possiamo costruire sistemi di difesa più intelligenti per proteggerci da loro.

Nota Etica: Gli autori hanno fatto questo studio per difendersi. Se i "ladri robot" esistono già nel mondo criminale (e lo fanno), i "poliziotti robot" devono essere almeno altrettanto bravi per fermarli.

1. Il Problema

Nel campo della cybersecurity, il penetration testing (o "hacking etico") è fondamentale per identificare e mitigare le vulnerabilità. Un sottocompito critico è l'escalation dei privilegi, ovvero il processo mediante il quale un attaccante sfrutta bug, errori di configurazione o negligenze per ottenere l'accesso root (amministratore) su un sistema Linux, partendo da un utente con privilegi limitati.

Sebbene esistano strumenti automatizzati per la riconoscenza (enumerazione), l'effettivo sfruttamento delle vulnerabilità viene spesso eseguito manualmente da esperti umani. L'emergere dei Large Language Models (LLM) offre la possibilità di automatizzare questo processo imitando il comportamento umano. Tuttavia, mancava una comprensione empirica completa dell'efficacia, dei limiti e dei costi degli LLM nell'esecuzione autonoma di attacchi di escalation dei privilegi su Linux.

2. Metodologia

Gli autori hanno condotto un'analisi empirica rigorosa utilizzando un nuovo framework e un benchmark specifico.

HackingBuddyGPT: È stato sviluppato un prototipo completamente automatizzato in Python che agisce come agente di hacking. L'agente si connette alle macchine virtuali (VM) target via SSH e interagisce con vari LLM tramite API. Il ciclo decisionale si basa su prompt che includono:
- Capacità: Comandi disponibili (es. execute_command, test_credentials).
- Storia/Contesto: L'output dei comandi precedenti (truncato per adattarsi alla finestra di contesto).
- Guida: Opzioni per fornire indizi di alto livello o suggerimenti derivati da tool di enumerazione.
Il Benchmark: È stato creato un nuovo set di benchmark open-source composto da VM Linux Debian, ciascuna contenente una singola vulnerabilità specifica (per isolare il test). Le categorie di vulnerabilità includono:
- File SUID/Sudo mal configurati.
- Riuso di password o password deboli.
- Divulgazione di informazioni (file di testo, cronologia bash, chiavi SSH).
- Vulnerabilità basate su Docker e Cron (con dipendenze temporali).
Modelli Testati:
- Cloud: GPT-3.5-Turbo e GPT-4-Turbo (OpenAI).
- Locali/Open-weight: Llama3 (varianti 8B e 70B quantizzate).
Baseline di Confronto:
- Un penetration tester umano professionista (7 anni di esperienza).
- Strumenti automatizzati tradizionali (traitor, pwncat-cs).
Variabili Sperimentali:
- Gestione del contesto (storia completa vs. stato compresso/riassunto).
- Dimensione del contesto (8k vs 128k token).
- Meccanismi di guida (indizi di alto livello vs. output di tool di enumerazione).

3. Contributi Chiave

Benchmark Pubblico: Un set di test per l'escalation dei privilegi su Linux, eseguibile in ambienti isolati (air-gapped), progettato per essere riproducibile e sicuro.
Prototipo HackingBuddyGPT: Un agente autonomo che dimostra come un LLM possa gestire il ciclo di attacco (riconoscenza, decisione, esecuzione, analisi dell'output).
Analisi Quantitativa e Qualitativa: Un confronto dettagliato tra LLM, umani e tool tradizionali, includendo metriche di successo, costi e analisi della qualità dei comandi generati.
Valutazione dei Costi: Un'analisi economica che confronta il costo per vulnerabilità sfruttata tra LLM e professionisti umani.

4. Risultati Principali

Efficacia (Success Rate)

GPT-4-Turbo: Ha dimostrato le prestazioni migliori, sfruttando con successo il 33-66% delle vulnerabilità senza guida e fino all'83% con indizi di alto livello. Questo è paragonabile al penetration tester umano (75% senza guida, 91% con guida).
GPT-3.5-Turbo: Ha ottenuto risultati moderati (16-50%), migliorando significativamente con la guida.
Llama3 (Modelli Locali):
- La versione 70B ha mostrato capacità limitate (25-33%).
- La versione 8B (Small Language Model) non è riuscita a risolvere nessuna sfida senza assistenza, evidenziando l'attuale inadeguatezza dei modelli piccoli per compiti autonomi complessi.
Strumenti Tradizionali: Hanno risolto solo l'8-16% dei casi, confermando che l'automazione puramente basata su regole è inferiore all'approccio basato su LLM o umano.

Strategie di Gestione del Contesto e Guida

Guida di Alto Livello: Fornire un indizio generico (es. "potrebbero esserci binari SUID sfruttabili") ha aumentato drasticamente il successo, specialmente per GPT-4 (da 33% a 66%) e GPT-3.5 (da 16% a 50%).
Gestione dello Stato (Reflection): Utilizzare un prompt per riassumere lo stato del sistema invece di mantenere l'intera cronologia dei comandi ha raddoppiato il tasso di successo di GPT-4 non assistito (da 33% a 66%), riducendo al contempo l'uso dei token.
Dimensioni del Contesto: L'uso di contesti più grandi (128k) ha portato a miglioramenti marginali rispetto a contesti più piccoli (8k-16k), suggerendo che per questo compito non sono necessari contesti massicci.
Apprendimento in Contesto (ICL): Inserire manuali di hacking (es. da HackTricks) nel contesto non ha migliorato significativamente le prestazioni di GPT-4, ma ha aumentato i costi in modo sostanziale.

Analisi Qualitativa e Limiti

Comandi: GPT-4 genera comandi sintatticamente corretti, ma a volte complessi o ridondanti. I modelli locali (Llama3) spesso producono comandi con errori di sintassi o "allucinano" comandi inesistenti.
Ragionamento e Common Sense: Gli LLM faticano nel ragionamento causale e nella gestione degli errori. Ad esempio, spesso ignorano password trovate nei file di output o non correggono parametri errati dopo un fallimento.
Dipendenze Temporali: Gli attacchi basati su Cron (che richiedono di modificare uno script e attendere l'esecuzione) sono stati particolarmente difficili per gli LLM, che spesso non aspettavano l'esecuzione del cron job o non sfruttavano la backdoor creata.

Analisi dei Costi

GPT-4-Turbo: Il costo per vulnerabilità sfruttata è stimato tra $1.54 e$ 11.43, a seconda della strategia di gestione del contesto. Questo è competitivo rispetto al costo orario di un penetration tester umano (stimato a ~$159/ora per un progetto completo), rendendo l'approccio LLM economicamente fattibile per alcune aziende.
Llama3: Sebbene i costi siano estremamente bassi (pochi centesimi), l'efficacia attuale è troppo bassa per un uso pratico autonomo.

5. Significato e Implicazioni

Questo studio stabilisce un punto di riferimento fondamentale per la ricerca sull'uso degli LLM nella cybersecurity offensiva.

Validazione: Dimostra che gli LLM avanzati (come GPT-4) possono autonomamente eseguire attacchi di escalation dei privilegi con un'efficacia vicina a quella umana, superando gli strumenti automatizzati tradizionali.
Sicurezza Difensiva: Comprendere i pattern di attacco degli LLM (es. la mancanza di "common sense", la ripetizione di comandi, l'ignorare gli errori) permette ai team di difesa (Blue Teams) di sviluppare rilevamenti specifici per distinguere un attaccante umano da uno basato su AI.
Futuro della Ricerca: Suggerisce che l'automazione completa richiede ancora miglioramenti nel ragionamento causale e nella gestione degli errori. L'approccio più promettente ed economico sembra essere un modello ibrido: un LLM potente per l'analisi e la guida, combinato con modelli più piccoli ed economici per l'esecuzione dei comandi.
Etica: Gli autori rilasciano il codice e i dati per permettere alla comunità di sviluppare difese, sottolineando che, sebbene esistano filtri di sicurezza, questi possono essere aggirati e che la minaccia degli attacchi autonomi basati su AI è imminente.

In sintesi, il paper conclude che mentre gli LLM sono diventati strumenti potenti per il penetration testing, la loro adozione pratica richiede ancora strategie di gestione del contesto ottimizzate e, attualmente, una guida umana o di alto livello per raggiungere livelli di affidabilità paragonabili agli esperti umani.