💻 computer science

When LLMs Team Up: A Coordinated Attack Framework for Automated Cyber Intrusions

本文介绍了 CAESAR，这是一个协调多智能体框架，它将自动化入侵工作流分解为具有严格溯源和预算控制的专业角色，在夺旗任务中相较于单智能体基线展现了更高的成功率和更低的方差。

原作者： Minfeng Qi, Tianqing Zhu, Zijie Xu, Congcong Zhu, Qin Wang, Wanlei Zhou

发布于 2026-05-12

📖 1 分钟阅读☕ 轻松阅读

原作者： Minfeng Qi, Tianqing Zhu, Zijie Xu, Congcong Zhu, Qin Wang, Wanlei Zhou

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

想象一支黑客团队试图攻破一座高度安全的数字金库。在过去，他们可能依赖一位才华横溢的“超级黑客”来完成所有工作：观察大门、推测锁具机制、尝试撬锁，然后检查是否成功进入。但就像人类一样，这位单一的超级黑客可能会感到疲惫、困惑，或犯下破坏整个计划的错误。

本文介绍了CAESAR，这是一种让人工智能计算机（称为大型语言模型）作为协调团队协同工作以自动化这些网络攻击的新方法。CAESAR 不再让单一的人工智能包揽一切，而是将任务拆分为五个专业角色，就像一部劫案电影中的 crew（团队）一样。

五个角色（劫案团队）

侦探（The Detective）： 这位人工智能是侦察兵。它还不尝试闯入，只是四处观察。它收集线索、阅读文件，并记录目标的情况。
战略家（The Strategist）： 这位人工智能是策划者。它根据侦探的笔记，绘制出各种可能的进入路径。它创建不同的“如果……会怎样”的情景。
指挥官（The General）： 这位人工智能是项目经理。它审视战略家的计划，检查预算（他们拥有的计算时间和资金），并挑选出唯一最佳方案来执行。
执行者（The Executor）： 这位人工智能是执行力量。它实际运行工具、输入命令，并根据指挥官的计划尝试破解锁具。
验证者（The Validator）： 这是最重要的角色。它是质量控制检查员。它监视团队所做的一切。如果执行者犯了错误或发现了虚假内容，验证者会说：“不行，扔掉那个。”它只允许经过验证的可靠信息保存到下一轮。

他们如何协同工作：“回合”系统

团队并非随意聊天。他们按照严格的回合工作，就像电子游戏中的关卡一样。

第 1 回合： 侦探收集线索。战略家提出猜测。指挥官挑选计划。执行者尝试执行。
检查： 验证者审视结果。成功了吗？如果是，很好！如果不是，验证者会丢弃坏主意，只保存有用的线索。
第 2 回合： 团队重新开始，但这次他们拥有一个“记忆库”，记录了什么有效、什么无效。他们不会重犯同样的错误。

这与单一的人工智能不同，后者可能会陷入循环，反复尝试同一个坏主意，因为它忘记了自己已经失败过。CAESAR 迫使团队在进入下一步之前，从每一次失败中学习。

实验：夺旗赛（CTFs）与社会工程学

研究人员通过两种方式测试了该系统：

“夺旗”（CTF）游戏： 他们使用了 25 个真实的网络安全谜题（类似于解决复杂的数学问题或破解密码）。
- 结果： CAESAR 团队解决这些谜题的频率和速度都远高于单独工作的单一人工智能。即使单一人工智能非常聪明，它也会不断陷入困境。而拥有专业角色和质量控制的团队则能持续向前推进。
- 类比： 这就像试图拼凑一幅巨大的拼图。一个人可能会因沮丧而放弃。但如果有一个团队，其中一人负责整理边缘碎片，另一人寻找蓝天部分的碎片，还有一位主管检查碎片是否吻合，那么他们完成拼图的速度会快得多。
“社会工程学”测试： 他们还测试了这种团队结构在没有计算机可黑、而是需要欺骗人（由人工智能模拟）的情况下是否有效。
- 结果： 该团队更擅长诱骗模拟的“高管”泄露秘密而不被察觉。他们使用不同的声音和策略，并与验证者核对，以确保自己不会过于明显。
- 启示： 这表明，即使攻击不涉及代码而是涉及对话，“团队结构”依然有效。

这对防御为何重要

该论文警告称，随着人工智能变得更强，恶意行为者不会仅仅使用一个“超级聪明”的人工智能来攻击我们。他们将使用像这样协同工作的人工智能团队。

问题： 当前的安全系统一次只查看一条消息。他们可能会看到侦探在问一个无害的问题，指挥官在问一个正常的后续问题，然后心想：“这没问题。”他们忽略了这些消息实际上是一个协调的多步骤攻击计划的一部分。
解决方案： 防御者需要停止仅仅关注文字，转而开始观察结构。他们需要寻找团队的迹象：侦探在收集信息，验证者在检查信息，以及角色随时间推移协同工作的模式。

总结

CAESAR表明，当人工智能代理在一个结构化的团队中工作，拥有明确的角色和严格的“质量控制”步骤时，它们比单独工作的单一人工智能变得更加危险（且更有效）。它们不仅变得更聪明，而且更擅长不放弃，也不重犯同样的错误。该论文得出结论：为了防御这种攻击，我们需要关注这些“团队行为”，而不仅仅是试图过滤掉坏词。

技术摘要：CAESAR——用于自动化网络入侵的协调多智能体框架

1. 问题陈述

大型语言模型（LLM）已在漏洞分类和漏洞利用草案编写等进攻性安全任务中展现出能力。然而，当前的单智能体方法将整个入侵工作流程（证据提取、规划、执行和验证）压缩到单一对话上下文中。这种压缩导致了上下文漂移、错误传播和幻觉，特别是在像高级持续性威胁（APTs）这样复杂的多阶段行动中。

现实世界的入侵行动需要相互依赖的阶段（侦察、假设形成、漏洞利用构建、攻陷后活动），这些阶段超出了单次 LLM 调用的实际令牌预算和内存连贯性。现有的多智能体系统通常侧重于通用协作或辩论，但未能明确建模对抗性多阶段推理所需的角色边界、工件溯源和严格成本约束（令牌、时间、风险）。因此，单智能体流水线往往退化为试错序列，在二进制分析或代数推理等异构领域中无法收敛。

2. 方法论：CAESAR 框架

本文提出了CAESAR（协调对抗执行与战略推理），这是一个协调多智能体框架，旨在通过结构化的回合制协议将入侵风格的工作流程操作化。

A. 形式化模型与架构

CAESAR 被形式化为一个元组 $F = \langle R, E, K, W, \Pi, V \rangle$ ，在目标环境 $E$ 上运行，并受限于操作预算 $\Gamma = \langle c_{tok}, c_{time}, c_{risk} \rangle$ 。该框架将工作流程分解为五个类型化的角色算子：

侦探（Detective, D）： 从目标环境中提取显著特征和证据。
战略家（Strategist, S）： 将证据组织成假设图，构建替代解决方案路径。
指挥官（General, G）： 根据预算向量评估假设，选择可执行计划，并将任务分配给特定执行者。
执行者（Executor, E）： 调用特定领域工具（如调试器、反汇编器）以执行原子操作。
验证器（Validator, V）： 检查执行痕迹，验证结果，并将可靠模式准入到持久知识库中。

B. 回合协议

该框架以离散的回合执行，每个回合经过六个阶段：

初始化： 为当前回合创建持久知识库（ $K$ ）的只读快照。
证据收集： 侦探发出有界观察操作，生成结构化证据工件。
假设构建： 战略家利用当前证据和来自 $K$ 的可重用模式构建假设图。
计划形成： 指挥官使用效用函数 $U_G$ 对假设进行评分，该函数在成功概率与令牌、时间和风险成本之间取得平衡。计划经过协商后分配给执行者。
任务执行： 执行者调用工具并发出结构化痕迹。
评估与准入： 验证器对所有工件进行评分。只有超过准入阈值 $\tau_{prom}$ 的工件才会作为类型化条目（模式、能力或反馈）提交到持久知识库 $K$ 。

C. 关键机制

验证器准入的知识准入： 为防止错误放大，只有经过验证的高置信度工件才会被准入至 $K$ 。这确保了后续回合建立在已验证的观察之上，而非幻觉状态。
类型化工件与溯源： 每个工件都携带类型、内容哈希和溯源链接，允许验证器根据规范审计中间产物。
预算感知规划： 指挥官显式地针对权衡向量进行优化，确保计划保持在令牌、时间和风险限制之内。
写入隔离： 角色对其特定的工作空间分区拥有隔离的写入权限，而验证器作为共享知识库的唯一写入者。

3. 主要贡献

框架提案： 提出了 CAESAR，它在形式化类型化回合协议下实现了角色专业化、验证器准入的内存机制以及预算感知规划。
系统评估： 在25 个真实世界的 CTF 挑战（逆向、Pwn、密码、杂项、Web）上，针对四种当代 LLM 后端（GPT-5、Gemini 2.5、Grok-4、DeepSeek-R1）进行了全面评估。
泛化研究： 一项次级研究证明，该协调模式可迁移至社会工程渗透场景，相比单智能体基线实现了更高的提取成功率和更低的检测风险。
防御见解： 实证证据表明，协调结构而非原始模型能力是驱动涌现攻击强度的因素，这意味着需要对角色动态进行结构性监控。

4. 结果与分析

评估在相同的工具访问和预算约束下，将 CAESAR 与单智能体基线进行了比较。

成功率与效率： CAESAR 在所有五个 CTF 类别中一致地提高了任务成功率并缩短了求解时间。例如，在 GPT-5 的逆向类别中，成功率提高了**+0.36**，求解时间从单智能体的约 54 分钟降至多智能体的约 24 分钟。
自适应行为： 该框架展示了自适应学习能力。在少量成功回合后性能趋于稳定，验证器准入的内存抑制了错误放大。角色评分（由验证器分配）显示在成功运行附近发生了重新配置，表明系统从已验证的反馈中进行了学习。
后端无关性： 协调的优势在所有四种 LLM 后端中保持一致。虽然原始性能因模型而异（例如，Grok-4 在密码任务上显示出更高的推理分数），但多智能体结构提供的相对增益是稳定的。这表明改进源于协调协议而非特定模型能力。
社会工程迁移： 在社会工程研究中，多智能体团队在第 10 回合前实现了3/3 的秘密获取且未被检测，而单智能体基线仅达到1/3。多智能体方法成功从触发检测的直接探测转向了间接诱导策略。

5. 意义与主张

本文主张，协调而非原始模型智能是观察到的攻击有效性的主导因素。

结构性漏洞： 研究结果表明，未来的 AI 驱动对手更可能表现为分布式集合，在回合间交换部分信息并完善策略，而非单一的“超级智能”实例。
防御启示： 当前的内容级安全措施（输入/输出过滤器、对齐层）是不够的，因为它们孤立地评估消息。协调型攻击者将意图分散到角色和回合中，使得有害信号仅在消息被关联时才显现。
防御转变： 作者认为，防御必须从基于内容的过滤转向对角色动态、工件溯源和跨消息策略形成的结构性监控。CAESAR 外化的协议级信号（例如，跨代理对受保护实体的重复引用、渐进的角色专业化）被提议为结构性防御所需的量化指标。

承认的局限性

作者明确指出：

CTF 挑战是真实入侵的简化代理，缺乏主动防御者和持久约束。
该框架尚未经过针对实时、加固的生产系统的测试。
社会工程研究使用了基于 LLM 的角色扮演，而非真实人类，限制了对针对实际人类认知的操作有效性的主张。
该协议假设智能体是合作的；拜占庭或欺骗性角色不在研究范围内。