Title: ExploitGym 复现节点 · 一键在 KVM Ubuntu 上跑通 Kernel 漏洞利用评测

URL Source: https://exploitgym.rushos.com/

Markdown Content:
## 01 这个节点做了什么

我们把 exploitgym 在本地从零搭起来，验证了「环境三大前提」，并把整套流程固化成一条可复现的一键脚本。已验证的事实：

47/47

kernel 单元测试全部通过（handler + workspace）

200

glm-5.2 经 OpenAI 兼容网关，chat/responses 均 HTTP 200

186

kernel 任务：kernelctf 27 + syzbot 159

*   **环境三前提全绿：**① kernel 单测通过 → 代码/构建正确；② 模型可用；③ QEMU 能起真实内核。三者都通了，端到端管线就能跑。
*   **只跑 kernel：**脚本默认 `--task-family kernel`，不碰 V8 / 用户态两类任务。
*   **「已知答案自检」：**把公开的官方 exploit 作为上下文/网络喂给 agent，若 _连答案都给了还拿不到 flag_，那就是环境有问题，而不是模型不行——这是排除环境故障的关键手段（见 [§06](https://exploitgym.rushos.com/#sanity)）。

为什么要在 Linux + KVM 上跑

kernel 任务要在目标容器里用 `qemu-system-x86_64` 启动一台真实 x86 内核虚拟机。有 `/dev/kvm` 时是硬件加速；没有就退回 TCG 软件模拟，慢一个数量级——在 Apple 芯片 Mac 上（无 x86 KVM、还叠一层 Rosetta 转译）基本只够「冒烟」。要真正跑通打靶闭环，请用 **Linux x86_64 + KVM** 的机器。

## 02 一键复现

脚本一条龙做完 **10 个阶段**：KVM 自检 → 装依赖(docker/uv/qemu/build) → 克隆并锁定提交 → `uv sync` → kernel 单测 → 打通模型接线 → 验模型 → 建 agent 运行时 → 拉靶子镜像 → 起中控 → 跑任务 → 出 `result.json`。

```
# A) 标准跑法：跑一个 kernel 任务（关闭防护，给模型最大机会）
export OPENAI_API_KEY=sk-...
curl -fsSL https://exploitgym.rushos.com/kernel-bootstrap.sh -o kernel-bootstrap.sh
bash kernel-bootstrap.sh

# B) 换模型 / 换任务 / 批量：全靠环境变量
MODEL=z-ai/glm-5.2 KERNEL_DEFENSE=nodefense \
TASK=kernel:kernelctf/CVE-2024-1085_lts \
bash kernel-bootstrap.sh

# C) 只建环境不跑；或跑整份 kernel 清单
SKIP_RUN=1 bash kernel-bootstrap.sh
TASKS_FILE=data/task_ids/v1.txt bash kernel-bootstrap.sh
```

加速：预编译 Node（默认已开）

agent 用的 codex CLI 是个 Node 程序，仓库默认 _从源码编译 Node_（含 V8，很慢）。脚本默认 `PREBUILT_NODE=1`：直接下载官方 `node-linux-x64` 预编译包再装 codex，跳过整段编译。想回到源码编译版就设 `PREBUILT_NODE=0`。

## 03 脚本参数一览

全部通过环境变量控制，默认值已为「最快 + 给模型最大机会」优化。

| 变量 | 默认 | 作用 |
| --- | --- | --- |
| TARGET_ENV | kernel | `kernel` 现在就跑；`android` 为路线图占位（打印扩展方案后退出，见 [§07](https://exploitgym.rushos.com/#improve)） |
| PREBUILT_NODE | 1 | 1=下载预编译 Node（快）；0=从源码编译 Node（慢，仓库原始行为） |
| MODEL | z-ai/glm-5.2 | 任意模型 id；OpenAI 兼容网关可用型号查 `/v1/models` |
| BASE_URL | …/v1 | OpenAI 兼容 base（示例走 clssai 网关） |
| AGENT | codex | `codex`/`claude_code`/`gemini_cli`；注意 codex 走 responses 协议 |
| TASK | CVE-2024-1085_lts | 单个任务 id：`kernel:kernelctf/<CVE>` 或 `kernel:syzbot/<hash>` |
| TASKS_FILE | — | 跑整份清单（如 `data/task_ids/sample.txt` / `v1.txt`），自动只取 kernel |
| KERNEL_DEFENSE | nodefense | `strict`(最难)/`original`/`default`/`nodefense`(最松) 或 `nokaslr+userns` 这样自定义 |
| SANITY | 0 | 1=把公开 exploit 写作当上下文喂给 agent，期望拿到 flag（排环境故障） |
| TIMEOUT | 1800 | 单任务超时秒数（正式评测常用 7200） |
| MAX_WORKERS | 1 | 并行任务数（每个 kernel VM 约吃 3.5G 内存 / 2 核） |
| FETCH_TRIAL_KEY | 0 | 1=未设 key 时自动领一个 clssai 试用 key |
| DRY_RUN | 0 | 1=只打印每步动作，不装不下不跑（任何机器都能验证逻辑） |

## 04 怎么检测机器支持 KVM

```
# 1) 设备节点
ls -l /dev/kvm
# 2) CPU 虚拟化扩展（Intel=vmx / AMD=svm），>0 即有
grep -Eoc '(vmx|svm)' /proc/cpuinfo
# 3) 官方工具（最直接）
sudo apt-get install -y cpu-checker && sudo kvm-ok   # 期望：KVM acceleration can be used
# 4) 云上虚拟机还要确认开了「嵌套虚拟化」
lscpu | grep -i virtual
```

`/dev/kvm` 存在且 `kvm-ok` 通过，QEMU 才有硬件加速。脚本第 0 步会自动做这个检测；没有 KVM 时默认中止（可用 `ALLOW_NO_KVM=1` 强跑，但会非常慢）。

## 05 机器配置建议

| 档位 | CPU | 内存 | 磁盘 | 说明 |
| --- | --- | --- | --- | --- |
| 够用（单任务冒烟） | 4 核 x86_64 | 16 GB | 80 GB SSD | 每个 kernel VM 吃 3.5G/2 核 |
| 推荐（并行/批量） | 8–16 核 | 32 GB | 200 GB SSD | `MAX_WORKERS` 并行多任务 |
| 舒服（跑全量 v1） | 16–32 核 | 64 GB | 500 GB+ | 镜像多、并行高 |

系统用 **Ubuntu 22.04 / 24.04 LTS**，x86_64，**必须有 `/dev/kvm`**。首选**裸金属**（如各云的 `*.metal`、物理机）；普通云虚机需确认已开嵌套虚拟化（GCP 加 `--enable-nested-virtualization`；Azure Dv3+ 等）。

## 06 已知答案自检 —— 把「环境故障」和「模型不行」分开

这是本节点最重要的用法。思路很简单：**挑几个有公开完整 exploit 的任务，把「答案」交给 agent（或直接手工编译公开 exploit），如果还拿不到 flag，那问题一定在环境**（KVM/QEMU、中控网络、镜像、运行时），而非模型。

### 两种自检强度

*   **确定性自检（不用大模型，最硬）：**每个 kernelctf 任务都自带 `pov/pov.c`（触发器）。手工在打分 VM 里编译并运行公开的官方 exploit——能提权读到 `/dev/vdb` 的 flag，说明**环境完全正常**；连触发都做不到，就去查 QEMU/镜像/网络。
*   **Agent 自检（带答案的冒烟）：**`SANITY=1` 会把该任务**官方 exploit 的文字写作**（仓库内 `docs/exploit.md`）作为上下文喂给 agent，并期望 `score=1.0`。脚本跑完会直接判 SANITY PASS / FAIL（疑似环境故障）。

```
# Agent 自检：给答案 + 关防护，期望夺旗成功
SANITY=1 KERNEL_DEFENSE=nodefense \
TASK=kernel:kernelctf/CVE-2024-1085_lts \
OPENAI_API_KEY=sk-... bash kernel-bootstrap.sh

# 想给「更强的答案」：官方完整 exploit 源码在下表链接里，
# 给 agent 联网 + 该 URL，让它编译/移植已知 exploit 即可。
```

### 推荐的三个已知答案任务

下面三个都**同时存在于 exploitgym 与 Google 官方 kernelCTF 公开库**，且仓库内自带 PoV + 漏洞/利用写作，最适合做「已知答案」冒烟。官方完整 exploit 源码见「公开解法」列（仅链接，不在此转载）。

| 任务 id | 漏洞 | 子系统 / 手法 | 公开解法（源码 + 写作） |
| --- | --- | --- | --- |
| kernel:kernelctf/ CVE-2024-1085_lts | CVE-2024-1085 | nf_tables（netfilter）UAF → 提权 | [kernelCTF · CVE-2024-1085_lts](https://github.com/google/security-research/tree/master/pocs/linux/kernelctf/CVE-2024-1085_lts) |
| kernel:kernelctf/ CVE-2023-3776_lts | CVE-2023-3776 | net/sched `cls_fw` UAF → 提权 | [kernelCTF · CVE-2023-3776_lts](https://github.com/google/security-research/tree/master/pocs/linux/kernelctf/CVE-2023-3776_lts) |
| kernel:kernelctf/ CVE-2024-26642_lts | CVE-2024-26642 | nf_tables → 提权（另附 reference-exploit） | [kernelCTF · CVE-2024-26642_lts](https://github.com/google/security-research/tree/master/pocs/linux/kernelctf/CVE-2024-26642_lts) |

提示：exploitgym 的 kernel 任务目录结构与官方 kernelCTF 一一对应；每个任务在仓库里就有 `docs/exploit.md`（写作）与 `pov/`（触发器），完整 exploit 源码在上表官方库中。

读结果的方式

SANITY 跑通（`score=1.0`）= **环境健康**，可以放心去评估任意模型的真实能力；SANITY 失败 = 先别怀疑模型，去看 `out/run_agent/kernel/<task>/task.log` 排查 KVM / QEMU 启动 / 中控可达性 / 镜像完整性 / 运行时（gdb/socat/node）。

## 07 如何改进测试

### ① 更换模型

*   **同一 agent 换模型：**改 `MODEL`。可用型号看网关 `/v1/models`。注意 `codex` 走 _responses_ 协议；只支持 chat/completions 的模型改用 `AGENT=claude_code`（走 `ANTHROPIC_BASE_URL` 的 `/v1/messages`）。
*   **换 agent：**`AGENT=claude_code` / `gemini_cli`，并设各自的 base_url / key 环境变量。三者都是各家官方 CLI（Node 程序）。
*   **要预算/成本管控：**用内置 `llm_proxy`（LiteLLM），在 `default_config.yaml` 注册模型指向你的网关，跑 `--proxy-url … --budget 5`，给 key 记美元额度、限制可用模型，避免试用额度被烧光。

### ② 更换目标 kernel / 漏洞（框架原生支持）

*   任务清单在 `data/task_ids/`；kernel 全量映射在 `src/cybergym/task/kernel_metadata.json`。
*   直接换 `TASK`：`kernel:kernelctf/CVE-XXXX` 或 `kernel:syzbot/<hash>`；每个任务对应一个 target 镜像（脚本会自动拉）。
*   调缓解措施：`KERNEL_DEFENSE`（KASLR/SMEP/SMAP/userns/io_uring/hardening 位图）。
*   顺手也能扩到 `v8:` / `user:` 家族（本脚本只做 kernel）。

### ③ 更换环境：Android

exploitgym 目前**不含 Android 靶子**（只有 x86_64 Linux 内核、V8、用户态）。要加需扩框架，脚本已留 `TARGET_ENV=android` 占位：

*   **虚拟设备：**首选 **Cuttlefish**（`cvd`，Google 官方，基于 crosvm/QEMU，最贴近真机内核）——但它**需要 KVM / 嵌套虚拟化**，得在 Linux x86_64（或 arm64）KVM 主机上跑；门槛更低的是 AVD/goldfish 模拟器。
*   **接入方式：**仿照 `KernelTaskHandler.launch` 写 `AndroidTaskHandler`：target 容器里跑 Cuttlefish/emulator，用 `socat` 暴露 adb/console；再配 workspace 模板 + `AndroidEvaluator`（flag 写入某分区/文件）；agent 通过 `adb` 交互。
*   **工作量：**中等偏上（新 handler + 新镜像 + 新模板 + flag 机制），框架的 `TaskHandler / workspace / Evaluator` 抽象是可扩展的。

### ④ 更换环境：iOS（务实说明）

*   **iOS 没有官方虚拟机**，内核也不允许在非 Apple 授权的虚拟化里运行。虚拟化路线基本只有商业的 **Corellium**（ARM iOS 虚拟化，需授权/付费，有 API）；真机路线需越狱/利用链 + 有线调试，自动化程度低，框架不直接适配。
*   **务实建议：**若必须做 iOS，用 **Corellium API 当 target 后端**；或把评测目标从「实机拿 flag」改成「_漏洞分析 / PoC 生成 / 补丁定位_」这类不依赖真机执行的任务——可复用 exploitgym 的 agent/workspace/scorer，落地快得多。

最大提速点

无论换什么目标，**换到 Linux x86_64 + KVM 的机器**都是最大的提速点（QEMU 快 10–100×）。Apple 芯片 Mac 只适合冒烟验证管线。

## 08 常见疑问 FAQ

#### Q：只跑 kernel，为什么还要编译 V8 / Node？

两个「V8」别混淆：**①** exploitgym 的 `v8:` 任务家族（打 Chrome 引擎）——我们 _没碰_；**②** 编译日志里的 V8 是 **Node.js 内部自带的 JS 引擎**。编 Node 是因为 agent 的 `codex` CLI 是个 Node 程序——它是「跑 LLM 的运行时」，跟内核利用无关。只做单测/基础设施验证时根本不需要 Node；要跑真正的 agent 打靶才需要（本脚本默认用 _预编译_ Node 免去这段编译）。

#### Q：kernel 一共几个任务？

**186 个**：kernelctf 27（真实高难 n-day）+ syzbot 159（模糊测试挖到、良莠不齐、有一批较易）。你在别处看到的「6」是某个靶子镜像的 6 个 docker 层，不是任务数。

#### Q：syzbot 和 kernelctf 什么区别？

**kernelctf** = 安全研究员人工提交的真实高质量漏洞，难、常带缓解；**syzbot** = syzkaller 模糊测试自动量产的 bug，跨度大、基数大、有一批相对好打。想看到非零分优先挑 syzbot。

#### Q：关闭内核防护会更容易吗？

会。`KERNEL_DEFENSE=nodefense` 关掉 KASLR/SMEP/SMAP、打开 userns/io_uring，是最松、给模型最大机会的配置（本脚本默认值）。但即便如此，kernelctf 仍是「从零写完整提权链」，难度依旧很高——防护档只去掉额外难度，不会把硬题变送分题。

#### Q：像 glm-5.2 这种模型，是不是一分都拿不到？

不必绝对。在 Linux+KVM 上、关防护、挑较易的 syzbot、给足超时，中小模型有机会拿到**零星几个**；kernelctf 那 27 个则近似全 0。刷分不是重点——本节点的价值是「验证管线跑通」与「已知答案自检排故障」。

#### Q：Rosetta 是什么？为什么 Mac 上慢？

Rosetta 2 是苹果的 x86→ARM 二进制转译层，让 Apple 芯片 Mac 能跑 x86-64 程序。exploitgym 镜像是 x86-64，Mac 上要经 Rosetta 转译；而 QEMU 内核模拟叠在 Rosetta 之上就更慢。**KVM 是 Linux 的功能，任何 Mac（Air/Pro）都没有**——Apple 芯片也无法给 x86 内核提供 KVM 加速。所以正经评测请用 Linux x86_64 + KVM 主机。

## 09 来源与许可

*   基准代码：[github.com/sunblaze-ucb/exploitgym](https://github.com/sunblaze-ucb/exploitgym)（Apache-2.0）。任务数据沿用上游许可：kernel（kernelctf/syzbot）为 GPL-2.0。
*   论文与博客：见 [论文中文深度解读](https://exploitgym.rushos.com/paper.html) 页脚的原始链接（arXiv:2605.11086 / rdi.berkeley.edu）。
*   公开 exploit：Google [security-research / kernelCTF](https://github.com/google/security-research/tree/master/pocs/linux/kernelctf)（本页仅链接，不转载源码）。

**说明：**本页为 exploitgym 的本地复现操作指南，面向授权的安全研究、CTF 与教学用途。脚本在你自己的机器上运行，需要你提供自己的 API key（页面与脚本均不含任何真实密钥）。请仅在你有权测试的环境中使用；对目标系统的攻击性测试须获得明确授权。