# 迈向抗 LLM 的软件保护：CTF 逆向工程中的智能体失败模式
> 让 Claude Code、Codex CLI 与 ChatGPT-5.2 Pro 求解从 2025 年 15 场国际 CTF 赛事中选出的 24 道 crackme 类题目，并将失败归因到“观察—理解—计划”循环的各阶段，以及隐藏、复杂化与误导三类保护效果。作者从失败日志中归纳出四类反复出现的弱点：训练偏差、过度信任观察结果、上下文限制和计划固守。他们还在移除反编译器后重新运行两个命令行智能体，并将结果与赛时解题率对比。
- 作者：Ryutaro Nishizaka; Yudai Fujiwara; Takuya Shimizu; Kazushi Kato; Yuichi Sugiyama
- 原标题：Towards LLM-Resistant Software Protection: Agent Failure Patterns in CTF Reverse Engineering
- 发表载体：Workshop on Binary Analysis Research (BAR) 2026
- 发表状态：会议论文
- 出版／提交日期：2026 年（具体日期未核实）
- 日期依据：Internet Society 向 Crossref 提交的元数据给出出版年份 2026。PDF 页脚标注研讨会于 2026 年 2 月 27 日举行；不据此推定更精确的出版日期。
- DOI：10.14722/bar.2026.23058
- 来源复核于：2026-10-18
- 收录于：2026-10-18
- 原始论文：
- PDF：
- BibTeX：
- 目录页面：
- 记录 JSON：
- 英文版：[English](https://awesomerea.org/papers/paper-llm-resistant-protection/index.md)
## 研究范围与局限
研究覆盖 24 道可在本地求解的 Linux x86-64 ELF crackme 题目和三个商用智能体（命令行工具使用 Claude Opus 4.5 与 GPT-5.1-Codex-Max，ChatGPT 所用模型未公开），于 2025 年 12 月在允许联网的条件下评测；查阅公开题解的运行已被排除。这些二进制相比真实软件规模较小，恶意软件分析与漏洞发现不在范围内。每种配置最多尝试三次，成功即停止，作者承认这种估计噪声较大；成功指输出正确 flag 或找到被程序接受的输入。弱点标签来自两名评估者对日志的定性分析，描述的是这些运行，并非 LLM 智能体的普遍属性。ChatGPT-5.2 Pro 在无法控制的网页沙箱中运行，未纳入反编译器对比。解题率按至少解出一题的队伍计算，其中六题没有数据，参赛队伍也可能借助 LLM。训练数据泄露仍是有效性威胁；论文未公开其整理的题目集、运行日志或代码。
## 与本合集的关联
将逆向工程智能体的失败与具体保护效果和分析阶段联系起来，补充主要报告成功率的基准。
## 发表与复核说明
BAR 2026 是与 NDSS Symposium 2026 同期举办的研讨会，并非 NDSS 主会。五位作者的顺序以 PDF、NDSS 论文页与日程页及 Internet Society 向 Crossref 提交的元数据为准。该 DOI 直接解析到 PDF，PDF 页脚标注 ISBN 978-1-970672-08-4；Crossref 未列出页码，本条目未核实页码范围。未找到 arXiv 版本。表 I 给出各配置在每道题上的用时与弱点标签；各智能体解出的题数（24 题中分别为 15、17、14、14 和 19 题）及反编译器对比结果均由作者报告。论文未提及代码或数据发布。
## 一手来源
1.
2.
3.
4.
5.
## 关于此条目
已依据论文及一手来源复核。请通过原始论文或 BibTeX 引用原作者。
原创说明采用 MIT 许可；外部项目、论文与素材保留各自的权利和许可。