【编译】大语言模型重构逆向工程：SentinelOne基于OpenAI将恶意软件分析耗时缩短至数小时

## 恶意软件逆向工程的算力与人力瓶颈 现代高级持续性威胁（APT）与高对抗性恶意软件（如定制化勒索软件、复杂根凭证窃取程序）的逆向工程，长期以来是网络安全运营中人力成本最高、专业门槛最严苛的环节。 面对加壳（Packing）、多层动态解密混淆、控制流平坦化（Control Flow Flattening）、间接系统调用（Indirect Syscalls）以及反调试/反沙箱探测等反分析技术，安全研究员通常需要经历以下高耗时流水线： 1. **静态分流与脱壳（Static Triage & Unpacking）**：从内存转储中提取原始可执行镜像，重构畸变的导入地址表（IAT）与节区头。 2. **控制流与代码还原（CFG Recovery & Deobfuscation）**：使用 IDA Pro、Ghidra 等逆向工程工具反编译生成伪代码，但混淆导致的垃圾指令和虚假分支使得控制流图（CFG）规模呈指数级膨胀。 3. **行为与协议推导（Behavioral & Protocol Deduction）**：人工追溯关键 API 调用链、加解密算法（如定制化 AES/ChaCha20 实现）以及命令与控制（C2）通信协议数据结构。 4. **威胁情报提取（IOC & Signature Generation）**：编写 YARA 规则、提取网络与主机失陷指标（IOCs），并将攻击特征映射至 MITRE ATT&CK 框架。 在高度复杂的恶意样本分析中，上述流程往往需要高级逆向专家数天甚至数周的全力投入。随着日均新增恶意样本数量的爆发式增长，有限的人力供给与海量样本吞吐之间的矛盾日益激化。 --- ## OpenAI Daybreak：专为复杂代码推理构建的模型范式 为了打破这一对抗僵局，SentinelOne 与 OpenAI 展开深度合作，在威胁分析管线中引入专门针对复杂长上下文推理与深度代码理解场景构建的模型方案 **OpenAI Daybreak**。 与通用对话大模型不同，面向系统级二进制逆向场景的大模型需要解决三大核心工程与算法挑战： ### 1. 极低抽象层级的语义恢复（Semantic Abstraction Lift） 反汇编输出或反编译生成的 C 伪代码通常缺乏类型信息、符号名与高层数据结构抽象。模型需要基于有限的寄存器操作、栈帧偏移和内存读写模式，推断出原本的函数意图。Daybreak 具备对汇编指令语义的高维表征能力，能够识别编译器特定优化（如常量折叠、内联展开、循环向量化）并将其反向归纳为可读逻辑。 ### 2. 长程控制依赖与数据流分析（Interprocedural Data-Flow Tracking） 恶意软件通常将解密密钥、动态加载的函数指针在多个深层嵌套子例程中传递。通用大语言模型在跨多函数追溯污点数据（Taint Analysis）时容易出现上下文注意力漂移。Daybreak 依托优化的长上下文机制与指令级状态追踪能力，能够跨越数万个 token 精准定位解密缓冲区与 C2 数据包构造函数。 ### 3. 抗混淆模式匹配与代码解构 针对控制流平坦化中的主分发器循环（Dispatcher Loops）与不透明谓词（Opaque Predicates），Daybreak 能够利用模式识别能力快速剪枝死分支，将混乱的基本块重构成线性或标准的条件分支逻辑，直接生成精简的逻辑伪代码。 --- ## 架构实现：SentinelOne 自动化分析引擎的流水线重构 SentinelOne 将 Daybreak 深度无缝嵌入其 Singularity 平台与安全分析核心系统，重构了从样本采集到响应规则下发的技术闭环： ``` [海量未标记/可疑二进制样本] │ ▼ ┌───────────────────────────────────────────────┐ │ 预处理与静态反汇编管线 (Ghidra / Custom Tools) │ │ - PE/ELF 解析与节区熵值计算 │ │ - 函数切片 (Function Slicing) 与调用图提取 │ └───────────────────────┬───────────────────────┘ │ 反编译伪代码 / 汇编块切片 ▼ ┌───────────────────────────────────────────────┐ │ OpenAI Daybreak 分析核心 │ │ ├─ 代码语义重构与重命名 (Var/Func Renaming) │ │ ├─ 不透明谓词剪枝与逻辑去混淆 │ │ ├─ 关键行为推断 (C2 协议、加密流程、持久化) │ │ └─ 威胁能力打标 (MITRE ATT&CK Mapping) │ └───────────────────────┬───────────────────────┘ │ 结构化 JSON / 逆向分析报告 ▼ ┌───────────────────────────────────────────────┐ │ 规则合成与威胁情报消费 (SentinelOne Platform) │ │ - 自动生成精确 YARA-L / Sigma 规则 │ │ - 端点代理 (EDR/XDR) 防护策略秒级同步 │ └───────────────────────────────────────────────┘ ``` ### 阶段一：AST 与反编译伪代码的智能切片（Intelligent Slicing） 恶意软件二进制体积通常从数百 KB 到数十 MB 不等，直接向模型输入整段反编译文本是不切实际的。预处理模块首先通过静态调用图（Call Graph）分析与 API 引用热点，提取出核心函数簇（如加解密子过程、Socket 连接封装、进程注入 API 封装）。 系统利用抽象语法树（AST）将大型函数拆分为连贯的代码切片（Code Slices），并在保留必要类型上下文的前提下，将其封装为结构化 prompt 交付模型。 ### 阶段二：自动化变量推断与代码去混淆 Daybreak 针对输入切片执行上下文增强的符号还原： - **自动变量与函数重命名**：将 `sub_401020(v1, v2)` 自动重构为具有明确语义的 `decrypt_c2_payload(encrypted_buffer, key)`。 - **反加密算法推导**：通过识别特定 S-Box 常量或移位异或循环，精准判定加密算法属于 RC4 变种或自定义 XOR 算法，并直接提取内置的硬编码密钥。 ### 阶段三：C2 协议逆向与网络载荷解包 模型不仅分析逻辑，更进一步推导网络通信契约。通过分析恶意代码如何将系统信息（MAC 地址、计算机名、杀软列表）序列化并添加 Header，Daybreak 能够生成用于网络流量解密和验证的模拟解码脚本（如 Python 提取器），使得分析师无需启动动态调试器即可完全解析通信协议。 ### 阶段四：自动化特征工程与策略合成 分析完成后，系统利用 Daybreak 输出的结构化威胁行为图，直接合成防御策略： 1. **高置信度 YARA 规则**：针对模型识别出的独特字节序列与代码模式，自动编写具备高检出率、零误报率的特征规则。 2. **ATT&CK 矩阵对齐**：将执行链精确标注为具体技术子项（如 T1055.012 - Process Hollowing、T1071.001 - Web Protocols）。 --- ## 实战成效：从数周到数小时的数量级跃迁 根据 SentinelOne 的工程实践验证，引入基于 Daybreak 的自动化流水线后，分析效率产生了质的改变： * **单样本深度分析耗时骤降**：过去分析一款全加壳、高混淆的新型变种样本，逆向工程团队通常需要 2 至 3 周才能彻底理清其内部逻辑与 C2 结构。如今，核心反混淆、协议推断与报告生成在 **2 到 3 小时内** 即可由模型配合半自动化管线完成，最终仅需安全分析师进行合规性验证与边界审查。 * **调查吞吐量（Investigation Capacity）实现跨越**：逆向专家的工作重心地从繁琐的机械代码梳理，转移至高阶威胁溯源与防御策略制定。单团队处理的未知样本深度分析数量提升了近一个数量级。 * **应急响应时间窗口显著收窄**：在应对零日漏洞利用或突发供应链投毒事件时，分钟级的行为推断与小时级的特征交付，直接将防御方与攻击方的"时间窗口对抗"扭转为有利于防御侧的态势。 --- ## 结语：LLM 驱动的下一代自主安全防御 SentinelOne 与 OpenAI 的合作证明：大语言模型在网络安全领域的价值，绝不仅限于客服式问答或自然语言警报汇总，而是在极其底层、高精度的系统级逆向工程中扮演"认知级协处理器"。 随着代码推理能力、静态符号推断及跨平台系统理解技术的持续进化，AI 与二进制安全分析的深度结合，正在将网络攻防从纯粹的高强度人力消耗，全面推向自动化、智能化的全新维度。 --- > 声明：本文系编译转载自国内外知名人工智能实验室公开技术成果，仅供国内开发者个人技术交流与学术学习。 > 原文机构：OpenAI 官方博客 > 原文标题：SentinelOne cuts malware analysis from weeks to hours > 原文链接：https://openai.com/index/sentinelone