PrivEscalate：面向 LLM 自动化 Linux 提权的 531 场景基准与 PrivEscAgent 增强方案

现有评测规模小、不可复现，也未测环境干扰，无法量化 LLM 智能体做 Linux 本地提权的能力。

• 场景：作者认为提权是初始访问与系统完全失陷之间的关键步骤，把受限用户立足点提升为 root。LLM 智能体已用于漏洞发现、渗透测试和利用生成，但复杂本地后利用任务的效果仍缺少量化。
• 现有不足：作者称在线靶场会漂移，离线基准 hackingBuddyGPT 只有 13 个手工场景，Perses 只在少数子类再增加少量场景。三者的问题是不可复现、缺少细粒度分类，以及漏洞放在干净环境里、未测环境干扰。
• 核心观察：作者认为提权要综合系统状态并推理多步利用链。模型能力因漏洞类而异，成功对配置扰动敏感，智能体架构会改变成功率并重排模型。
• 提出的东西：作者构建 PrivEscalate，含 531 个经审计的 Docker 场景、14 个子类，以及 329 个参数化变体。在此之上设计 PrivEscAgent，用确定性枚举、类别匹配和分步规划增强通用 ReAct，不改底层 LLM。
• 威胁模型：
  • 目标：初始访问之后的对手已有无特权交互式 shell，要提升到 root。
  • 知识：zero-knowledge。智能体不被告知漏洞类别、可利用二进制或利用路径，须从交互中发现。
  • 能力：完全通过自主 LLM 智能体发出任意 shell 命令；无 GUI，无 human-in-the-loop。可利用本地配置暴露的任何提权路径。
  • 范围外：跨主机横向移动、内核 CVE 利用，以及 root 之后的数据外传和持久化。

杀伤链其他阶段已有可执行基准，Linux 提权评测仍停在小规模离线集和会漂移的在线靶场。

杀伤链阶段基准

• Cybench [39] 与 NYU CTF Bench [32]：从 CTF write-up 构建可复现基准。
• AutoPenBench [12]：来自渗透测试流程。
• CVE-Bench [41]：来自 CVE 数据库，用于利用生成评测。

Linux 提权评测

• hackingBuddyGPT [14]：作者称它是当时唯一的离线提权基准，含 13 个手工场景，战术空间窄，缺少细粒度分类，且场景放在干净环境中。
• Perses [35]：只在少数子类再增加少量场景。
• 在线靶场：作者称跨研究不可复现。

智能体架构

• ReAct [37]：观察命令输出、推理、再发下一条 shell 命令，直到达成目标或用完步数预算。
• Planner-Summarizer 智能体 [27]：在 ReAct 循环上增加结构化记忆；论文以 HackSynth 作为该范式的实现。
• 传统枚举脚本：执行静态清单。作者认为 LLM 智能体可以解释新输出、串联多步利用，并从错误信息中恢复。

基线方法与基准

• 基线智能体：RQ1、RQ2 用 hackingBuddyGPT 的 wintermute（ReAct）。RQ3、RQ4 再与 HackSynth 对比。PrivEscAgent 的消融以 wintermute 和 HackSynth 为对照。
• 基准/数据集：PrivEscalate 的 531 个原始场景；329 个扰动变体；附录 F 在 13 个与 hackingBuddyGPT 重叠的场景上做二次对照。数据源为 GTFOBins 与 Exploit-DB。分类对照 MITRE ATT&CK，并与 GTFOBins、Exploit-DB 交叉验证。

作者把本文定位为带可执行验证和扰动测试的测量级基准，并在不改 LLM 的前提下用领域专用智能体包装提高 SR。

PrivEscalate 按 14 个子类构建可差分验证的 Docker 场景，评测在零知识条件下进行；PrivEscAgent 把确定性枚举、类别匹配和分步规划接到通用 ReAct 上。

分类与场景规格

• 分类：从 ATT&CK 战术 TA0004 出发枚举可实现本地提权的技术，滤掉不能在 Docker 中稳定复现的子技术，再用 GTFOBins 与 Exploit-DB 做交叉验证，并确认 hackingBuddyGPT 的每个场景都能落入该分类。得到 14 个子类，归入 5 个分析类：Misconfiguration、Environment、Scheduled Tasks、Credentials、Container。Table 1 给出各类与 ATT&CK 编号。
• ScenarioSpec：统一模板含 template_id、category、attack_technique、description、docker_run_args、params 与 status（Figure 2）。后续 Scaffolder、Exploiter、Verifier 都只消费这一结构。

构建流水线

• 数据：GTFOBins 取 SUID、sudo、capabilities；Exploit-DB 取 Linux 本地提权条目。结构化来源用静态表映射；描述型来源先做 LLM 的 Docker 可行性分类，再解析成 ScenarioSpec。已验证场景进入同类参考池，作为 Scaffolder 的 one-shot。
• Scaffolder：先做基础加固，保留需认证的 SUID/SGID，并锁住陈旧 cron、多余 sudoers 等旁路，使注入的漏洞成为唯一提权路径。LLM 一次生成漏洞 Dockerfile 与去掉该漏洞的配对 Dockerfile；构建失败则根据日志再生成。
• Exploiter：按确定规则三档取用。精确匹配则直接复用参考利用；无精确匹配则让 LLM 改同类参考的参数；两者都不适用则从头生成。
• Verifier：三重检查。（1）漏洞镜像与修复镜像都能构建运行；（2）利用脚本在漏洞容器升到 root、在修复容器失败；（3）在修复容器上探测 SUID/SGID、sudo、cron、capabilities、可写敏感文件和 shell 用户，标出非标准向量。失败时 Manager 根据诊断把修复派给 Scaffolder 或 Exploiter，每场景最多 3 次重试。构建用 Claude Opus 4.6。
• 审计与定稿：流水线验证 512/1,067（48.0%）。种子为 13 个 hackingBuddyGPT 场景，另手写 8 个以补零覆盖子类。专家审计后去掉 2 个在现代发行版上原语无效的场景，并改正 9 个子类标签。最终评测集为 531：523 个审计保留、2 个弱权限、6 个专家编写。

扰动变体

• 来源：取 wintermute 下至少一个模型在原始集上成功的场景，得到 329 个唯一变体。其中 154 个来自至少两个模型都成功的场景，用于 Pearson VR。
• 五条变换轴：改用户名、密码和 root 密码；改主机名；加入 3 个不可利用 SUID、2 个诱饵账户和 2 条无害 cron；加入自定义 MOTD 和与真实漏洞无关的 shell 历史；预装常见网络与文件检查工具。变体保留原漏洞机制。
• 指标：某模型在原始集上成功的场景中，扰动后仍成功的比例为 retention。配对比较用 McNemar 检验。

PrivEscAgent

• 包装对象：不修改底层 LLM，在通用 ReAct 上加三个领域模块。作者称动机来自失败分析：错误方法多于未尝试，失败轨迹里枚举占比高，且多数模型会在同一策略类上反复尝试。
• 确定性枚举：用固定探测列出 SUID/SGID、sudo 规则、capabilities、cron、可写敏感文件等，减少模型自己决定枚举命令。
• 类别匹配：把枚举结果对应到 14 个子类，缩小后续利用的候选类。
• 分步规划：按枚举、识别、执行的阶段给出下一步，而不是每步都由模型自由选择命令。附录 J 称完整系统提示词随工件发布；论文未在正文列出提示词约束。
• 评测判定：智能体从低权限 SSH 立足点出发，在最多 20 步、temperature 0 下达到 uid=0(root) 记为成功。步数上限沿用 hackingBuddyGPT 与 Perses，是上限而不是固定轨迹长度，得到 root 即停止。主指标是 SR，即预算内达到 root 的场景比例。

实验设置

• 模型：GPT-5.4（带推理的前沿模型）、Claude Sonnet 4.6、GPT-4.1、Claude Haiku 4.5、DeepSeek v3.2、Qwen-Plus（快照 qwen-plus-2025-12-01）。这六个模型都未参与基准构建。构建流水线使用 Claude Opus 4.6。
• 数据：原始集 531 个场景，Table 5 给出子类样本量，其中 Sudo 293、SUID/SGID 203，其余子类 N 为 1–10。扰动集 329 个变体，共享面板 154 对。附录 F 另用 13 个 hackingBuddyGPT 重叠场景。
• 智能体：RQ1、RQ2 为 wintermute。RQ3、RQ4 比较 wintermute 与 HackSynth。PrivEscAgent 为第三种架构。
• 协议：零知识、低权限 SSH、任意 shell 命令、最多 20 步、temperature 0。成功定义为预算内 uid=0(root)。主评测每个元组跑一次；Section 6.3 另有一次 wintermute 可重复性检查。
• 统计：同一场景集上的配对比较用 McNemar 检验。RQ2 主指标是 success retention，并报告共享 154 对上的 Pearson VR。RQ4 用官方按 token 计价，GPT-5.4 的推理 token 按输出价计费。
• 审计样本：82/525，作者称 95% 置信、±10% 误差幅度。两名审计员独立评分，专家裁决。

主结果

据 Table 4，wintermute、531 个原始场景的 SR（%）：

表格较宽，可左右滑动

模型	SUID	Sudo	Cap.	Other	Overall
GPT-5.4	45.8	39.9	0.0	25.9	40.9
Claude Sonnet 4.6	27.6	46.1	12.5	29.6	37.7
DeepSeek v3.2	13.3	37.5	12.5	18.5	26.9
Claude Haiku 4.5	8.9	32.8	12.5	14.8	22.4
GPT-4.1	12.3	30.4	12.5	7.4	22.0
Qwen-Plus	3.4	15.0	12.5	7.4	10.2

• 作者称没有单一模型主导高发类：GPT-5.4 领先总体（40.9%）和 SUID/SGID（45.8%），Claude Sonnet 4.6 领先 Sudo（46.1%）。作者称最强与最弱总体差距为 4.0 倍（40.9% 对 10.2%）。
• 并集：六模型并集为 329/531（62.0%），作者称约比最佳单模型的 40.9% 高 50%。GPT-5.4 与 Claude Sonnet 4.6 合计 298/531（56.1%），已覆盖六模型上限的 90%，另外四个模型只再增加 5.8 个百分点。GPT-5.4 独解 63 个场景（占其解出集的 29.0%），Claude Sonnet 独解 30 个（15.0%）。
• Capabilities 上 GPT-5.4 为 0.0%，其余五模型均为 12.5%（Table 4）。Table 5 中 Polkit、D-Bus、PATH、Systemd、DB credential 的 N=1，六模型 SR 均为 0.0%。

失败模式与策略固化

• 失败模式：六模型共 2,336 次失败（Table 6）。加权平均 Wrong-method 81.6%、No-attempt 14.1%、Loop 4.3%，失败运行中枚举命令占 57.8%。五个非推理模型的 Wrong-method 为 79.5%。GPT-5.4 的枚举占比为 21.7%，其余模型为 42.0%–72.4%。Qwen-Plus 的 Loop 为 15.1%，其他五个模型不超过 2.2%。
• 作者解读：作者认为瓶颈在利用方法选择，而不是是否尝试。Finding 3 称失败运行的命令预算以重复枚举为主。
• 固化：连续三条或以上命令调用同一二进制（允许参数变化）记为 fixated。Qwen-Plus 98.5%，Claude Haiku 4.5 95.6%，Claude Sonnet 4.6 83.7%，GPT-4.1 81.4%，GPT-5.4 67.8%，DeepSeek v3.2 44.3%。

扰动、架构与成本

• 扰动（Table 7）：保留率从 GPT-5.4 的 128/217（59.0%）到 Claude Haiku 4.5 的 93/119（78.2%）。Claude Sonnet 4.6 为 156/200（78.0%），GPT-4.1 为 80/117（68.4%），Qwen-Plus 为 36/54（66.7%），DeepSeek v3.2 为 94/143（65.7%）。作者称扰动去掉先前成功的 21.8%–41.0%，配置轮换只能部分降低风险。GPT-5.4 总体 SR 最高但保留率最低。Figure 5 在共享 154 对上标注 Sonnet +0.6%、DeepSeek −14.9%、Haiku −4.5%、GPT-4.1 −6.5%、GPT-5.4 −9.1%、Qwen-Plus −5.2%。Qwen-Plus 的 VR 为 0.638，Claude Sonnet 4.6 为 0.151。
• 架构（Table 8）：HackSynth 相对 wintermute，Claude Sonnet 4.6 +28.8 个百分点并达到 66.5%，Qwen-Plus +14.7 个百分点，Claude Haiku 4.5 +10.6 个百分点，GPT-4.1 +7.2 个百分点，GPT-5.4 +6.4 个百分点至 47.3%；DeepSeek v3.2 为 −7.7 个百分点。作者称 Claude Sonnet 4.6 与 Qwen-Plus 的 McNemar p < 0.001，GPT-5.4 的 p = 0.09。HackSynth 下排序反转：Sonnet 66.5% 高于 GPT-5.4 的 47.3%，差 19.2 个百分点。
• 成本（Table 9，wintermute）：Steps/Succ. 为 Claude Haiku 4.5 的 7.3 到 GPT-5.4 的 10.4。Cost/Succ.：DeepSeek v3.2 $0.02，Claude Haiku 4.5 $0.20，Claude Sonnet 4.6 $0.44，GPT-4.1 $0.85，GPT-5.4 $1.22。GPT-5.4 的 Cost/Scen. 为 $0.500、总计 $265.38；DeepSeek v3.2 的 Cost/Scen. 为 $0.006、总计 $3.11。wintermute 每步一次 LLM 调用，HackSynth 每步两次。Table 9 的 Qwen-Plus 行在所附文本中未完整保留，此处不写。

其他消融与分析

• 构建：1,067 个候选中验证 512（48.0%）；失败 555 个中，Scaffolder 105（18.9%）、构建检查 217（39.1%）、漏洞镜像利用检查 214（38.6%）、修复镜像 19（3.4%）。有成本日志的已验证场景，生成加验证均价 $0.76，日志总计 $1,044。
• Table 2：Capabilities 8/10（80%）、Sudo 290/479（61%）、SUID/SGID 204/462（44%）、Cron 8/30（27%）、Password 2/18（11%）；Polkit、D-Bus、PATH、LD_PRELOAD、Systemd、SSH key、DB cred.、Docker escape 的自动验证率为 0%。
• 审计（Table 3，n=82）：Dockerfile 一致通过 71（86.6%）、一致标记 5（6.1%）、分歧 6（7.3%）；利用有效性为 72（87.8%）、3（3.7%）、7（8.5%）。场景级一致通过 68（82.9%）。裁决后 79/82（96.3%）Dockerfile 正确，80/82（97.6%）利用有效。
• 附录 F，13 个重叠场景：Claude Sonnet 4.6 为 6/13（46.2%），GPT-5.4 为 5/13（38.5%），GPT-4.1 为 4/13（30.8%）。所附文本未给出其余三个模型的数字。
• 摘要与引言：PrivEscAgent 提高全部六个模型的 SR，并把最弱模型提升到最强 wintermute 基线的水平；对最强非推理模型约提高 34 个百分点。所附文本在 PrivEscAgent 分模型表处中断，分模型数字未完整出现，故不逐模型填写。
• Section 6.3 的 wintermute 可重复性检查在所附文本中没有数字结果。

作者指出的局限与后续方向

• 分布：作者在引言和贡献中写明，最终分布反映可复现、可执行材料的可得性，Sudo 与 SUID/SGID 多于依赖服务或基础设施的向量（Section 1）。
• 排除项：威胁模型排除跨主机横向移动、内核 CVE 利用，以及数据外传和持久化等 root 之后目标（Section 2.3）。附录写明 Exploit-DB 过滤掉内核利用和难以容器化的条目。
• 自动构建覆盖：作者报告 Polkit、D-Bus、systemd、LD_PRELOAD、PATH 等交互密集类，以及 Docker escape、SSH key、DB credential 等受基础设施约束的类，流水线验证率为 0%，后者与共享内核的 Docker 设置有关（Section 3.3）。零覆盖子类用手写场景补齐。
• 配置轮换：作者称环境扰动去掉一部分已展示的成功，配置轮换不能消除测到的风险（摘要与 Finding 5）。
• 发布计划：作者称将 PrivEscalate 作为开源、Docker 化的测量工具发布，用于智能体评测、防御工具验证和红队训练（摘要）。按论文表述，这是发布声明；正文未报告该发布已经完成的外部证据。
• 提示词：附录 J 称构建流水线和 PrivEscAgent 的完整提示词放在工件中，正文不包含这些提示词。

实验覆盖范围

• 模型与架构：被测模型为 GPT-5.4、Claude Sonnet 4.6、GPT-4.1、Claude Haiku 4.5、DeepSeek v3.2、Qwen-Plus，共 6 个。架构比较包括 wintermute、HackSynth，以及 PrivEscAgent（Section 4）。
• 场景规模：原始评测集 531，扰动变体 329，其中 154 对用于共享面板。Table 5 中 9 个子类的 N 为 1 或 2。
• 重复：主评测每个元组在固定配置下评估一次；另有一次 wintermute 可重复性检查，论文将其放在 Section 6.3，所附文本未给出该检查的数字。
• 判定：成功由容器内 uid=0(root) 判定，不是 LLM 评审。审计样本为 82 个场景、两名审计员加一名五年攻防经验的专家。
• 成本日志：Table 9 来自可用的 wintermute 与 HackSynth 日志，按官方 token 价格计算。论文报告了每步 LLM 调用次数的架构差异。

PrivEscalate 是一个带可执行验证和环境扰动的 Linux 提权测量基准，PrivEscAgent 是不改 LLM 的领域包装器。

• 问题：LLM 智能体已被用于进攻流程，但本地提权评测要么不可复现，要么只有十几个干净场景。对手设定是零知识、无特权 SSH，目标是 root，排除横向移动、内核 CVE 和 root 之后的目标。
• 做法：从 ATT&CK 得到 14 个子类，用多智能体流水线把 GTFOBins 与 Exploit-DB 做成成对 Docker 环境，并以“漏洞容器能到 root、修复容器不能”做差分验证。1,067 个候选验证 512 个（48.0%），审计后评测集为 531。再从已成功场景派生 329 个变体。
• 结果：wintermute 下 GPT-5.4 总体 SR 40.9%、SUID 45.8%，Claude Sonnet 4.6 的 Sudo 为 46.1%，Qwen-Plus 总体 10.2%。六模型并集 329/531（62.0%）。失败以 Wrong-method 为主（加权 81.6%）。扰动保留率 59.0%（GPT-5.4，128/217）至 78.2%（Claude Haiku 4.5，93/119）。
• 架构与成本：HackSynth 使 Claude Sonnet 4.6 到 66.5%（+28.8 个百分点），高于 GPT-5.4 的 47.3%，但使 DeepSeek v3.2 下降 7.7 个百分点。wintermute 下每次成功的成本从 DeepSeek v3.2 的 $0.02 到 GPT-5.4 的 $1.22。成功轨迹平均约 7.3–10.4 步。
• 作者的结论：能力随漏洞类变化，评估应看多个维度；配置轮换会打掉一部分成功，但不能消除风险；架构可以改变 SR 并重排模型，幅度取决于模型。PrivEscAgent 提高全部六个模型的 SR，作者称对最强非推理模型约提高 34 个百分点，并把最弱模型提升到最强 wintermute 基线的水平。