跳到正文
Berkeley RDI：Blog·· 2 小時前精選AI 評分77

CyberGym：大規模評估 AI 智能體的真實世界網絡安全能力

CyberGym: Evaluating AI Agents' Real-World Cybersecurity Capabilities at Scale

AI 導讀

Berkeley RDI 發表 CyberGym 基準，涵蓋 188 個開源項目的 1,507 個真實漏洞，並以執行測試評估 AI 智能體重現漏洞的能力。CyberGym 評測中，Claude-Sonnet-4.5 單次成功率為 28.9%，30 次試驗升至 66.7%；研究另確認 10 個此前未知的零日漏洞及 17 宗不完整修補案例。

推薦理由

CyberGym以1,507個真實漏洞評估智能體的漏洞重現能力，並列出發現零日漏洞及不完整修補的案例，呈現基準測試與實際安全工作的關聯。

正文 · 繁體中文

CyberGym

CyberGym：大規模評估 AI 代理在真實世界的網絡安全能力

我們如何評估和追蹤前沿 AI 對網絡安全的影響？如何有系統地評估 AI 代理處理真實世界漏洞的能力，而不只是解決玩具問題？

為解答這些問題，我們推出 CyberGym：一項大型基準測試，涵蓋 188 個廣泛使用的開源專案中的 1,507 個真實世界漏洞。有別於編程和網絡安全教育基準測試，CyberGym 會測試 AI 系統處理 OpenSSL 和 FFmpeg 等正式環境軟件中的實際漏洞，讓我們能以前所未有的規模進行以執行為本的客觀評估（規模是以往基準測試的 7.5×）。

Success

我們的評估顯示，這個領域正迅速進步。目前表現最佳的代理在 CyberGym 上單次試驗的成功率已達約 30%，進行 30 次試驗後則達約 67%。此外，進步速度尤其驚人：從近期多次迭代可見，模型的單次試驗成功率已由 10% 升至 30%（如上圖所示）。 除了靜態基準測試，我們亦展示了 AI 在實際安全工作上的影響：本研究中的代理自主發現了 35 個零日漏洞及 17 個歷來不完整的修補程式，證明 AI 現在已能大規模尋找漏洞。因此，必須加強準備，以應對 AI 對安全的影響。

CyberGym 提供有系統的框架，追蹤這些不斷演變的能力，讓機構瞭解並準備好應對 AI 帶動的網絡安全變化。 Anthropic 已在Claude-Sonnet-4.5 系統卡及評估 Claude-Sonnet-4.5 網絡安全能力的報告中使用 CyberGym。 在評估中，Claude-Sonnet-4.5 單次執行的成功率為 28.9%，進行 30 次試驗後則升至66.7%。

我們必須認識到這些能力具有雙重用途。前沿 AI 可以協助防禦者大規模尋找和修復漏洞，但同一批工具亦可能遭人濫用。隨着 AI 持續改變安全環境，主動評估、負責任地披露，以及及早防範新興風險，都成為不可或缺的要務。

如欲瞭解更多背景，請參閲我們的相關作品：

主要結果與發現

骨幹大型語言模型的重現成功率差異顯著

我們使用相同的 OpenHands 代理框架，評估了 11 個領先的大型語言模型，包括閉源模型、開放權重通用模型，以及為 SWE-bench 和 OpenHands 特別設計的模型。 除 o4-mini 外，我們均停用了思考模式，以控制推理成本。

Claude-Sonnet-4 整體排名第一，成功率達 17.9%，其次是 Claude-3.7-Sonnet 和 GPT-4.1。 專門針對 SWE-bench 的模型雖然在軟件修復任務上表現出色，卻未能泛化，在此基準測試中的得分均 ≤ 2%。這突顯 SWE-bench（專注一般錯誤修復）與我們的基準測試（專注重現漏洞）互為補足。 o4-mini 的表現不及預期。分析顯示，其安全對齊令它經常尋求用戶確認，而非自主行動；儘管它在其他方面具備出色的編碼能力，進展仍因此受限。

Different Models

測試時擴展提升成功率

我們使用 Qwen3-235B-A22B、GPT-5、Claude-3.7-Sonnet 和 Claude-Sonnet-4，在隨機選取的 300 項任務子集（約佔整個基準測試的 20%）上比較思考與非思考模式。如圖 4 所示，思考模式為其他模型帶來的提升有限，但令 GPT-5 的成功率由 7.7%（推理程度極低）升至 22.0%（推理程度高），超越 Claude-Sonnet-4。這種現象與 GPT-5 在其他基準測試中的結果一致。

Thinking Mode

此外，我們在這個子集上對 GPT-4.1 執行六次測試。 「Average」長條代表平均表現，平均成功率為 8.7 ± 0.7%。 「Union」長條顯示六次執行中至少一次成功時的整體成功率，達到 18.0%。 這些結果展示了測試時擴展帶來的顯著提升，並突顯前沿 AI 在網絡安全領域的巨大潛力。

Rollout

不同 Agent 即使成功率相近，仍展現出不同的行為特徵

我們評估兩種通用編碼 Agent——OpenHands 和 OpenAI Codex CLI，以及兩種用於解決 CTF 問題的網絡安全 Agent——EnIGMA 和 Cybench agent。 我們採用 GPT-4.1 作為骨幹大型語言模型，因為它在成本、速率限制和成功率之間取得良好平衡。

結果顯示，四種 Agent 的整體成功率相近。 然而，若把所有 Agent 的結果合併（即任何一個 Agent 成功便視為任務成功），整體成功率便達到 18.4%，幾乎是個別最佳結果的兩倍。這顯示不同 Agent 的成功案例重疊率很低，突顯它們的能力互為補足。我們進一步分析了詳細的工具使用統計等資料，發現這些 Agent 的行為模式各有不同。OpenHands 善於透過更有效率的工具呼叫展現能力，並在 Bash 中串連命令；相比之下，專門處理 CTF 的 Agent 更依賴編寫 Python 等腳本完成任務。

Different Models

現實世界的安全影響

除了基準測試外，CyberGym 亦展現具體的現實價值：這些 Agent 不但重現已知漏洞，還發現不完整的修補程式及此前未知的零日漏洞。

為 CyberGym 生成的 PoC 揭示不完整修補程式

評估期間，部分生成的概念驗證（PoC）在程式的已修補版本上仍意外引發崩潰，顯示某些修正只完成了一部分。 在所有生成的 PoC 中，有 759 個在 60 個項目中觸發崩潰；經人工檢查確認，當中有涉及 15 個項目的 17 宗不完整修補案例。 雖然這些案例均未影響最新軟件版本，但結果顯示，AI 生成的 PoC 有助識別現有安全修補程式中的缺陷，否則這些缺陷可能不會被察覺。

為 CyberGym 生成的 PoC 揭示零日漏洞

對這些修補後仍會崩潰的情況作進一步驗證，發現有 35 個 PoC 仍會令相關程式的最新版本崩潰。 去重及分析後，這些 PoC 對應 10 個獨立且此前未知的零日漏洞；這些漏洞在被發現前平均已存在 969 天。

大規模執行代理式漏洞發現

為測試開放式漏洞發現能力，我們使用 GPT-4.1 和 GPT-5 執行 OpenHands，涵蓋 431 個 OSS-Fuzz 專案及 1,748 個可執行檔，並採用 Level-0 設定（僅提供程式碼庫）。

  • GPT-4.1 觸發 16 次崩潰，並發現 7 個已確認的零日漏洞。
  • GPT-5 觸發 56 次崩潰，並發現 22 個已確認的零日漏洞；其中 4 個漏洞與另一個模型重疊。

這些結果證實，現代 LLM 代理能夠自主大規模發現新漏洞，而且在 SysName 上的表現與現實世界的漏洞發現能力高度相關。 所有發現均已按負責任的方式披露；截至目前，已有 3 個 CVE 編號獲分配，並有 6 個漏洞已修補。

基準測試集的建構

以下詳述 CyberGym 如何大規模建構及維護，涵蓋從現實世界漏洞的資料來源、任務設計到嚴格的品質控制。

規模與多樣性

CyberGym 收錄 1,507 個漏洞，涵蓋 188 個開源專案，範疇包括網絡、密碼學、作業系統核心及多媒體。 專案包括 OpenSSL、FFmpeg 和 OpenCV 等熱門項目，涵蓋各種規模的程式碼庫（由數萬行至數百萬行），以及 28 種不同的崩潰類型（例如緩衝區溢位、空指標解參照）。 這種多樣性提供了豐富的測試場景，讓能力較強的代理持續展現較高的成功率。

任務設計

每個基準測試項目都要求代理重現現實世界中的漏洞。 每項任務都會向代理提供修補前的程式碼庫，以及已知漏洞的文字描述，當中包括位置、類型和根本原因等線索。 代理必須產生概念驗證（PoC），在修補前版本成功觸發漏洞，同時確認漏洞在修補後版本已不再出現。 這套設計仿照安全研究中重現現實世界漏洞的工作流程，並可進行以執行結果為依據的客觀評估。 系統會在啟用 sanitizer 的情況下執行 PoC，自動驗證是否成功。

OSS-Fuzz 數據來源

我們從 OSS-Fuzz 漏洞語料庫自動建立基準測試項目。 透過追蹤每個漏洞的修補提交，我們會提取： (1) 修補前和修補後的程式碼庫，以及相應的 Docker 化建置環境； (2) 原始 OSS-Fuzz PoC； (3) 已套用的修補程式； (4) 提交訊息（我們會使用 GPT-4.1 改寫，以製作漏洞描述）。 這個流程確保數據來自真實的開源漏洞，並且切合實際、可供驗證。

Vulnerability Life Cycle

品質保證

為確保數據集質素，我們會同時進行自動及人工篩選：

資訊充足：剔除缺乏詳細漏洞背景資訊或涵蓋多項修補的提交。

可重現：在修補前及修補後的可執行檔上重新執行基準 PoC，以確保其行為正確。

非冗餘：透過比較崩潰追蹤，排除已識別的重複或重疊漏洞。

成功的 Agent 執行追蹤示例

此例中，CyberGym 提供漏洞描述及修補前的程式碼庫，而 Agent 根據提供的描述和程式碼庫成功重現目標漏洞。Agent 首先使用給定的關鍵字瀏覽相關檔案，然後利用取得的資訊建立測試案例，再對測試案例進行變異，最終觸發崩潰。

Example Trace

如果你覺得這篇網誌有用，歡迎引用我們的研究成果：

@misc{wang2025cybergym,
      title={CyberGym: Evaluating AI Agents' Cybersecurity Capabilities with Real-World Vulnerabilities at Scale},
      author={Zhun Wang and Tianneng Shi and Jingxuan He and Matthew Cai and Jialin Zhang and Dawn Song},
      year={2025},
      eprint={2506.02548},
      archivePrefix={arXiv},
      primaryClass={cs.CR},
      url={https://arxiv.org/abs/2506.02548},
}

Berkeley RDI

推動去中心化及 AI 領域的科學、技術與教育發展，促進負責任的數碼經濟。

版權所有 © 2025 UC Regents；保留所有權利

來源：Berkeley RDI：Blog · rdi.berkeley.edu

#論文/研究#Agent#編碼#Anthropic#OpenAI