DarKnight: RAG-Agent knackt CAPTCHAs im Darknet

Hintergrund

Ermittler für Cyber-Bedrohungsaufklärung (CTI) überwachen Darknet-Marktplätze, um geleakte Zugangsdaten und Listen von Datenlecks aufzuspüren. Bevor ein Crawler eine einzige Seite sieht, muss er die CAPTCHAs lösen, die die Betreiber gegen automatisiertes Sammeln aufstellen. Diese Hürden unterscheiden sich von Seite zu Seite. Der Zugang ist daher ein tägliches operatives Problem und kein seltener Sonderfall.

Heute gibt es zwei Wege. Der erste trainiert ein Modell per Feintuning für jede einzelne Website. Bei einem neuen Marktplatz müssen neue Daten gesammelt und neu trainiert werden. Das ist teuer und lässt sich nicht skalieren. Der zweite Weg ruft die API eines kommerziellen Vision-Language-Modells (VLM) auf. Damit gibt der Ermittler die Kontrolle ab. Eine geänderte Anbieterrichtlinie, gesperrte Tor-Exit-Knoten, staatliche Regulierung oder ein Modell-Update ohne Vorwarnung können den Löser über Nacht lahmlegen oder sein Verhalten verändern. Jeder Aufruf und jeder neue Versuch kostet außerdem Geld.

DarKnight setzt genau an dieser Stelle an. Das Framework ist agentisch und verbessert sich selbst. Es läuft auf einer einzelnen Workstation-GPU neben dem Tor-Crawler des Ermittlers und nutzt nur ein kleines, lokal betriebenes Open-Weight-VLM. Es braucht kein Training pro Marktplatz und keinen Drittanbieter. Keine Entscheidung eines Dienstleisters kann dem Ermittler den Löser wegnehmen.

Tiefenanalyse

Die Kernidee: Ein kleines Modell soll erst planen und dann antworten, statt einfach größer zu werden. Für jedes CAPTCHA ruft das System zunächst frühere Versuche bei ähnlichen Bildern ab, und zwar Erfolge und Fehlschläge. Die Autoren nennen das Dual-Signal-RAG (Retrieval-Augmented Generation). Erfolgreiche Fälle zeigen, was funktioniert hat. Gescheiterte Fälle zeigen, was sich schon als Sackgasse erwiesen hat. Zusammen helfen beide Signale besser, bekannte Fehler zu vermeiden, als ein Gedächtnis, das nur Erfolge speichert. Als Nächstes baut das Framework eine Vorverarbeitungs-Pipeline für genau dieses Bild. Es wählt aus den verfügbaren Bildwerkzeugen einige aus und bringt sie in eine sinnvolle Reihenfolge. Auf alle Bilder dieselbe feste Behandlung anzuwenden, vermeidet es bewusst. Das ist wichtig, denn eine einheitliche Vorverarbeitung kann Bilder verschlechtern, die ohnehin gut lesbar waren. Den Abschluss bildet eine Rückkopplungsschleife. Die Zielseite meldet zu jeder Antwort, ob sie bestanden wurde oder nicht. DarKnight behandelt dieses Ergebnis als echtes Lernsignal und legt es für spätere Abrufe bei ähnlichen Bildern ab. Laut der Quelle sind dafür weder Gewichtsaktualisierungen noch menschliche Annotation nötig. Das System wird im Betrieb besser und bleibt trotzdem lokal und ohne Training pro Marktplatz einsetzbar.

Die Belege stammen aus einer Fallstudie mit vier echten Darknet-Marktplätzen, die unterschiedlich stark geschützt sind. Auf dem am besten geschützten Marktplatz erreichte ein einsetzbares Open-Weight-VLM mit DarKnight 83,2 %. Das sind 37,2 Prozentpunkte mehr als dasselbe Modell ohne das Framework. Es liegt auch über dem Spitzenmodell Claude Opus 5 mit 44 %. In dieser Studie war die agentische Werkzeugauswahl also wirksamer als eine größere Modellgröße. Die Studie zeigt auch, wie sich einzelne Ergebnisse verschieben. DarKnight behob 48,2 % der Basisfehler. Dem stehen 7,6 % Rückschritte gegenüber, also Fälle, die das Basismodell gelöst hatte und die nun falsch sind. Dieser geringe Wert stützt die These der Autoren: Wer Werkzeuge pro Bild wählt, vermeidet den größten Teil des Verlusts, den eine einheitliche Vorverarbeitung verursacht.

Branchenwirkung

Für Sicherheitsteams liegt der wichtigste Gewinn in der Kontrolle. Ein Löser, den Anbieterrichtlinien, regionale Sperren oder ein neuer Modellstand unterbrechen können, ist ein schwaches Glied in einer langlaufenden Aufklärungskette. Ein lokales Open-Weight-Modell beseitigt diese Abhängigkeit. Es entfallen auch die Gebühren pro Aufruf und pro Wiederholung, die mit dem Crawl-Volumen wachsen. Der Betrieb auf einer GPU neben dem Tor-Crawler bleibt für ein kleines Ermittlerteam machbar.

Das Ergebnis liefert zudem ein Muster über diese Nische hinaus. Der Vergleich von 83,2 % gegen 44 % legt nahe, dass ein kleines Modell mit Retrieval und Werkzeugen bei einer eng umrissenen visuellen Aufgabe ein viel größeres kommerzielles Modell schlagen kann. Teams, die in abgeschotteten Umgebungen arbeiten oder sich nicht auf externe APIs stützen dürfen, können die Idee übernehmen. Das Modell gewinnt dabei Können zur Laufzeit aus gespeicherter Erfahrung und externen Werkzeugen, nicht aus zusätzlichen Parametern.

Eine Doppelverwendung sollten Leser im Blick behalten. Dieselbe Fähigkeit, die Ermittlern hilft, von Betreibern gesetzte Hürden zu überwinden, ist grundsätzlich ein Verfahren zum Lösen von CAPTCHAs. Die Quelle rahmt die Arbeit als CTI-Überwachung, und dieser Beitrag folgt dieser Einordnung.

Ausblick

Die Belege der Studie beschränken sich auf vier Marktplätze. Ob die Gewinne auf mehr Seiten und über längere Zeiträume halten, ist noch nicht gezeigt. Betreiber könnten ihre CAPTCHAs als Reaktion ändern. Da das Framework auf das Feedback der Seite angewiesen ist, muss sein Gedächtnis mit solchen Änderungen Schritt halten.

Aus dem Entwurf ergeben sich mehrere offene Fragen. Wie soll das Dual-Signal-Gedächtnis seine gespeicherten Erfahrungen auswählen und aktualisieren? Wie groß darf der Werkzeugkasten werden, bevor die Auswahl schwerer fällt? Lässt sich die Rückschrittquote von 7,6 % weiter senken, ohne die Korrekturquote von 48,2 % zu verringern? Die Antworten entscheiden darüber, ob der gezielte Werkzeugeinsatz von einer vielversprechenden Fallstudie zu einer verlässlichen Praxis für CTI-Teams werden kann.