[论文解读] LLM Agents can Autonomously Exploit One-day Vulnerabilities

Richard Fang, Rohan Bindu+2 more|arXiv (Cornell University)|Apr 11, 2024

Web Application Security Vulnerabilities被引用 9

一句话总结

本论文表明，基于 GPT-4 的 LLM 代理在给出 CVE 描述和工具时，能够自主利用现实世界的一日漏洞，成功率为 87%，而其他模型和扫描程序则失败。

ABSTRACT

LLMs have becoming increasingly powerful, both in their benign and malicious uses. With the increase in capabilities, researchers have been increasingly interested in their ability to exploit cybersecurity vulnerabilities. In particular, recent work has conducted preliminary studies on the ability of LLM agents to autonomously hack websites. However, these studies are limited to simple vulnerabilities. In this work, we show that LLM agents can autonomously exploit one-day vulnerabilities in real-world systems. To show this, we collected a dataset of 15 one-day vulnerabilities that include ones categorized as critical severity in the CVE description. When given the CVE description, GPT-4 is capable of exploiting 87% of these vulnerabilities compared to 0% for every other model we test (GPT-3.5, open-source LLMs) and open-source vulnerability scanners (ZAP and Metasploit). Fortunately, our GPT-4 agent requires the CVE description for high performance: without the description, GPT-4 can exploit only 7% of the vulnerabilities. Our findings raise questions around the widespread deployment of highly capable LLM agents.

研究动机与目标

• 演示 LLM 代理是否能够自主利用现实世界的一日漏洞。
• 创建一个可重复测试的开源、真实世界 CVE 基准。
• 在该基准上对 GPT-4 与其他 LLM 以及漏洞扫描器进行评估。
• 分析提供 CVE 描述与不提供 CVE 描述对利用成功率的影响。
• 估算基于 LLM 的自动化利用的成本和可行性。

提出的方法

• 从 CVEs 和学术来源构建一个包含 15 个现实世界一日漏洞的基准。
• 构建一个基于 ReAct 的最小代理（91 行代码），可访问工具（浏览器、终端、网页结果、文件编辑器、代码解释器）。
• 以 GPT-4 为基础模型，在相同设置下与 GPT-3.5 和 8 个开源模型进行比较。
• 对开源扫描器（ZAP、Metasploit）进行评估：它们不会自主利用漏洞。
• 进行端到端实验，测量 pass at 5、总体成功率和基于 token 的成本。

实验结果

研究问题

• RQ1 在给出 CVE 描述的情况下，LLM 代理是否能够自主利用现实世界的一日漏洞？
• RQ2 在该基准上，GPT-4 的性能如何与其他 LLM 以及漏洞扫描器相比？
• RQ3 移除 CVE 描述对利用成功率和漏洞识别有何影响？
• RQ4 使用 GPT-4 运行此类利用的实际成本是什么？
• RQ5 规划增强或子代理是否能提高利用任务的性能？

主要发现

• 在给出 CVE 描述时，GPT-4 在 15 个漏洞的基准测试上实现了 87% 的总体成功率（pass @ 5）。
• GPT-4 胜过 GPT-3.5、8 个开源模型，以及在该基准上均达到 0% 利用成功率的开源扫描器。
• 若不提供 CVE 描述，GPT-4 的成功率降至 7%，且漏洞识别难度显著增加。
• 开源扫描器（ZAP、Metasploit）不能自主利用这些漏洞，强调了扫描与利用能力之间的差距。
• 该代理的表现表明 GPT-4 具有新兴能力，规划、子代理和更大工具使用容量可能带来改进。
• 在使用 CVE 描述时，每个漏洞的平均行动次数在各漏洞之间变化，表明任务复杂性和导航需求。