Capture the Flags: Family-Based Evaluation of Agentic LLMs via Semantics-Preserving Transformations

Titolo

Valutazione basata su famiglie di Agentic LLM tramite trasformazioni semanticamente preservanti: Capture the Flags

1. Il Problema

I modelli linguistici di grandi dimensioni (LLM) agenti stanno diventando sempre più utilizzati in ambito cybersecurity per compiti come la scoperta di vulnerabilità, la generazione di exploit e i test di penetrazione automatizzati. Tuttavia, la valutazione attuale delle loro capacità si basa su benchmark "Capture The Flag" (CTF) esistenti (come Cybench e Intercode), che presentano limitazioni significative:

• Valutazione puntuale: I benchmark attuali trattano ogni sfida come un compito indipendente. Questo fornisce dati su come un modello performa su un set fisso di task eterogenei, ma offre poche informazioni sulla robustezza del modello rispetto a perturbazioni dell'input o sulla sua capacità di generalizzare.
• Contaminazione dei dati: Poiché molti CTF sono pubblici o derivano da competizioni pubbliche, i modelli potrebbero averli già visti durante l'addestramento, rendendo i risultati di valutazione inaffidabili (memorizzazione vs. ragionamento reale).
• Mancanza di controllo: Non è chiaro se un modello risolva una sfida grazie a una vera comprensione del codice o grazie a segnali superficiali (nomi di variabili familiari, struttura del codice riconoscibile).

2. Metodologia e Approccio

Gli autori propongono un nuovo paradigma di valutazione basato sulle "CTF Challenge Families" (Famiglie di sfide CTF).

Concetto Chiave: Famiglie di Sfide

Invece di testare un modello su sfide indipendenti, si parte da una sfida CTF originale e si genera una "famiglia" di varianti semanticamente equivalenti ma sintatticamente diverse.

• Equivalenza Semantica: Tutte le varianti nella famiglia condividono la stessa vulnerabilità e la stessa strategia di exploit sottostante.
• Variazione Sintattica: Le varianti differiscono per struttura del codice, nomi di variabili/funzioni, flusso di controllo e grado di offuscamento.
• Obiettivo: Verificare se un agente LLM può risolvere la sfida anche dopo modifiche superficiali, distinguendo il ragionamento reale dal pattern matching.

Strumento: Evolve-CTF

È stato sviluppato uno strumento chiamato Evolve-CTF che genera automaticamente queste famiglie partendo da sfide CTF in Python. Lo strumento applica una serie di trasformazioni semanticamente preservanti (il comportamento del programma non cambia, ma il codice sì):

1. R (Rename): Rinomina tutte le variabili, funzioni e classi con stringhe casuali o vocaboli di programmazione, rimuovendo i segnali semantici dei nomi originali.
2. T1 (Insert Loops): Inserisce cicli nidificati ridondanti (che non vengono mai eseguiti) con condizioni complesse per confondere l'analisi del flusso.
3. T2 (Insert Conditionals): Inserisce blocchi if ridondanti con condizioni sempre false o blocchi try-except non necessari.
4. T3 (Insert Functions): Aggiunge definizioni di funzioni o lambda ridondanti, talvolta con nomi simili al contesto originale per creare confusione.
5. T4 (Insert Comments): Aggiunge commenti sintetici, alcuni significativi e altri privi di senso (stringhe multilingue casuali).
6. T5 (Combine): Combina sequenzialmente T1-T4.
7. O (Obfuscation): Applica uno strumento di offuscamento esterno (PyObfuscator) che rinomina identificatori, rimuove docstring, cifra le stringhe e comprime il codice con gzip.

Le trasformazioni sono organizzate in una struttura ad albero (Figura 2 nel paper) per permettere un'analisi composizionale dell'impatto di ciascuna trasformazione.

Setup Sperimentale

• Dataset: 16 sfide CTF originali selezionate da Cybench e Intercode (categorie: Decrypt, Modify, Exec).
• Modelli: 13 configurazioni di LLM (9 modelli base) inclusi Claude, GPT-5, Gemini, DeepSeek, Kimi, ecc., alcuni con modalità di ragionamento esplicito abilitata.
• Framework: Utilizzo di Inspect, un framework open-source per la valutazione standardizzata di agenti LLM, con accesso a strumenti (shell, Python, ecc.).
• Protocollo: Ogni istanza di ogni famiglia è stata testata 5 volte con un budget di token di 200.000 per run.

3. Risultati Chiave

Robustezza alle Trasformazioni

• Rinominazione e Commenti: I modelli sono altamente robusti al rinominamento degli identificatori (R) e all'inserimento di commenti fuorvianti (T4). Le prestazioni rimangono quasi invariate rispetto alla sfida originale.
• Inserimento di Codice Isolato: L'inserimento di singoli cicli o funzioni ridondanti (T1-T3) ha un impatto limitato sulla capacità di risoluzione.
• Trasformazioni Composte (T5): La combinazione di più trasformazioni (T5) causa un crollo significativo delle prestazioni. Questo dimostra che la composizione di riscritture semanticamente preservanti è sufficiente a sfidare i modelli all'avanguardia, anche senza offuscamento pesante.
• Offuscamento (O): L'uso di PyObfuscator degrada drasticamente le prestazioni (solvibilità < 10% per molte famiglie). I modelli faticano a decifrare il codice compresso e cifrato.

Uso degli Strumenti (Tool Use)

• Aumento delle Chiamate: Quando le sfide diventano più complesse (specialmente con T5 e O), i modelli aumentano notevolmente il numero di chiamate agli strumenti (es. grep, sed, script Python personalizzati).
• Strategie: I modelli tentano strategie sofisticate come cercare parole chiave di sicurezza, ispezionare regioni di codice circostanti o scrivere script per decomprimere il codice offuscato. Tuttavia, spesso falliscono a causa di errori di sintassi negli script di decompressione o esaurimento del budget di token.
• Categorie Triviali: Le sfide di tipo "Exec" (eseguire uno script fornito) sono state risolte da tutti i modelli indipendentemente dalle trasformazioni, indicando che questi benchmark attuali mancano di potere discriminatorio.

Impatto del Ragionamento Esplicito

• L'abilitazione di modalità di "ragionamento esplicito" (high-reasoning) ha avuto poco o nessun impatto sulle percentuali di successo. In alcuni casi ha addirittura leggermente peggiorato le prestazioni, suggerendo che per questi task specifici il ragionamento aggiuntivo non compensa la difficoltà sintattica.

Analisi dei Fallimenti

• Il 97,9% dei fallimenti è dovuto all'esaurimento del budget di token (200k), non a flag errati. Le trasformazioni costringono i modelli a lavorare molto di più, generando script e analisi che superano i limiti computazionali prima di trovare la soluzione.

4. Contributi Principali

1. Metodologia di Valutazione: Introduzione del concetto di "CTF Families" per valutare la robustezza e la generalizzazione degli agenti LLM in modo controllato.
2. Strumento Evolve-CTF: Uno strumento open-source per generare automaticamente famiglie di sfide CTF in Python tramite trasformazioni semantiche.
3. Dataset e Risultati: Una valutazione su larga scala di 13 configurazioni di modelli su 16 famiglie di CTF, fornendo il primo dataset dettagliato sulle capacità attuali degli agenti LLM in scenari di cybersecurity offuscati.
4. Scoperte Critiche:
   • I modelli attuali sono robusti a semplici offuscamenti (rinominazione) ma fragili di fronte a trasformazioni composte e offuscamento profondo.
   • Molti benchmark CTF esistenti (specialmente Intercode) sono troppo semplici e non discriminano le capacità reali degli agenti.
   • Il ragionamento esplicito non è una panacea per la robustezza in questi contesti.

5. Significato e Implicazioni

Questo lavoro cambia il modo in cui valutiamo gli agenti LLM per la cybersecurity:

• Oltre il Benchmark Statico: Sposta il focus dalla semplice risoluzione di task statici alla capacità di gestire variazioni sintattiche, simulando scenari reali dove il codice può essere offuscato o modificato.
• Diagnosi dei Benchmark: Offre un metodo per identificare quali sfide nei benchmark esistenti sono troppo semplici o non informative.
• Sicurezza e Affidabilità: Dimostra che, sebbene i modelli siano potenti, la loro affidabilità diminuisce drasticamente quando il codice perde la sua leggibilità sintattica standard, evidenziando la necessità di migliorare le capacità di ragionamento su codice offuscato e l'uso strategico degli strumenti.

In sintesi, il paper stabilisce che la vera capacità di un agente LLM in cybersecurity non si misura solo sulla risoluzione di una sfida nota, ma sulla sua resilienza di fronte a una famiglia di varianti sintatticamente diverse della stessa vulnerabilità.