[原创] 看雪·2026 KCTF > 第九题：丑寅同墟·星海抉择-CTF对抗-看雪安全社区

[原创] 看雪·2026 KCTF > 第九题：丑寅同墟·星海抉择

发表于: 2026-8-22 13:35 40

[原创] 看雪·2026 KCTF > 第九题：丑寅同墟·星海抉择

htg

2026-8-22 13:35

# KCTF2026 AI 题 Writeup
这次换了一个模型：gpt-5.6-sol。
工具：AgentRouter + VSCode + Codex 插件
速度的确很快耗时4分31秒
 ![](upload/attach/202608/542902_34BSCHXABUEUA5K.webp)

以下是 Writeup
## 1. 模型结构

由 `model_def.py` 可知，输入字符串首先被转换为字符 ID：

```text
0123456789abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ
```

对应 ID 范围为 `0..61`，不足 16 位时使用 `0` 补齐。

模型计算过程为：

```python
h = ReLU(W @ x + b)
logits = lm_head(h)
```

其中 `x` 是长度为 16 的整数向量，`W` 的形状为 `21 x 16`。

## 2. 分析输出层

从 `model.safetensors` 中提取 `lm_head`：

- token `0..61` 的 bias 都是 `-10000`
- token `62`（`<success>`）的权重为：

```text
[1, -1e10, -1e10, ..., -1e10]
```

bias 为：

```text
-376131.21875
```

- token `63`（`<fail>`）的 logit 恒为：

```text
0.4
```

因此，要输出 `<success>`，必须满足：

```text
h[1] = h[2] = ... = h[20] = 0
```

否则 success logit 会因为 `-1e10 * h[i]` 变成极小值。

同时需要：

```text
h[0] - 376131.21875 > 0.4
```

第 0 行 bias 为 `311558.71875`，且权重均为整数，因此条件等价于：

```text
W[0] @ x >= 64573
```

## 3. 转换为整数规划

对输入向量 `x` 求解：

```text
W[1:] @ x + b[1:] <= 0
W[0] @ x >= 64573
0 <= x[i] <= 61
x[i] 为整数
```

使用 `scipy.optimize.milp` 求解，得到：

```text
x = [15, 1, 10, 16, 2, 0, 2, 6,
     12, 7, 15, 10, 1, 6, 6, 6]
```

按照 tokenizer 反解：

```text
15 -> f
1  -> 1
10 -> a
16 -> g
2  -> 2
0  -> 0
6  -> 6
12 -> c
7  -> 7
```

得到字符串：

```text
f1ag2026c7fa1666
```

## 4. 最终验证

该输入经过第一层后的隐藏状态为：

```text
[376131.71875, 0, 0, ..., 0]
```

因此：

```text
logit(<success>) = 376131.71875 - 376131.21875 = 0.5
logit(<fail>)    = 0.4
```

`0.5 > 0.4`，模型输出 token `62`，即 `<success>`。

## Flag

```text
f1ag2026c7fa1666
```

冰与火的战歌：Windows内核攻防实战高级班！从零到实战，融合AI与Windows内核攻防全技术栈，打造具备自动化能力的内核开发高手。

收藏・0

点赞・0

打赏