问题
公开赛里的 Agent 在密码、逆向上能排到前面，前提是题目本地可复现、规则清楚。范围外扫描，或者没有依据却给出确定答案，要在工具链上先拦住。
只允许本地靶场或官方授权题，工具白名单，日志可回放。
工具链长什么样
大致三层：
- 模型：本地或网关后的对话/代码模型（复用 A100 上的推理服务）
- Agent 循环：读题 → 提议命令 → 在沙箱执行 → 读输出 → 再推理
- 人：批准高风险动作、否定明显跑偏、决定何时弃题
命令执行放在隔离容器：能跑 python、常见取证/逆向辅助工具，不能碰比赛无关的内网资产。提示词里写死：只解决当前题目附件与描述，不做范围外扫描。
人机怎么分工才不翻车
| 更适合 Agent | 更适合人 |
|---|---|
| 写解密脚本草稿、跑通样例 | 判断题型、选攻击面 |
| 扫字符串、整理函数列表 | 否决无效方向，避免空转烧 token |
| 总结报错、改脚本 | 最终提交前的正确性确认 |
公开赛里也有类似结论：短时限、局部可复现的题，Agent 效率高；要长期经营、要社会工程或复杂链式环境时，人仍是主导。
研究里记下的指标
- 单题 token 与墙钟时间
- 无效命令占比（同一错误重复多少次）
- 人介入次数与介入原因
- 最终是否解出，以及「差点解出但方向错」的案例
无效命令占比一高，多半是工具输出太长、上下文被噪声淹没——需要截断 stdout、结构化回传。
边界
这类研究只服务学习与授权比赛。不把比赛 Agent 接到未授权目标上；不把可利用脚本当「通用攻击产品」外传。能力演示和滥用之间，差的就是范围控制与审计。
转载请注明：周志洋的博客 » 用AI打CTF的研究笔记：工具链与人机分工
