捕获旗帜赛中认知偏差的证据
密码学与安全
2025-10-08 v1 计算机与社会
人机交互
摘要
了解认知偏差如何影响对抗性决策对于开发有效的网络防御至关重要。捕获旗帜（Capture-the-Flag, CTF）比赛提供了一个生态学上有效的测试环境，用于大规模地研究攻击者行为，在压力下模拟真实的入侵场景。我们分析了来自 picoCTF 这一大型教育 CTF 平台超过 50 万次提交日志，以识别具有防御意义的认知偏差行为特征。我们聚焦于可得性偏差和沉没成本谬误，采用混合方法，结合定性编码、描述性统计和广义线性模型。我们的发现表明，参与者常常提交包含正确内容但格式错误的旗帜（可得性偏差），并且即使在反复失败且成功概率下降的情况下仍坚持尝试挑战（沉没成本谬误）。这些模式揭示了认知偏差在对抗情境中自然地塑造攻击者行为的方式。基于这些见解，我们概述了一种面向偏差感知的自适应防御框架，旨在预测而非仅仅反应性地应对对手行动。
引用
@article{arxiv.2510.05771,
title = {Evidence of Cognitive Biases in Capture-the-Flag Cybersecurity Competitions},
author = {Carolina Carreira and Anu Aggarwal and Alejandro Cuevas and Maria José Ferreira and Hanan Hibshi and Cleotilde Gonzalez},
journal= {arXiv preprint arXiv:2510.05771},
year = {2025}
}