🤖 AI

LLM4CodeRE: Generative AI for Code Decompilation Analysis and Reverse Engineering

تقترح الورقة البحثية LLM4CodeRE، وهو إطار عمل لنماذج لغوية كبيرة متكيفة مع المجال، يستخدم استراتيجيات ضبط دقيق متعددة المهايئات ومشروطة بالمهام لتحقيق هندسة عكسية ثنائية الاتجاه قوية للكود، متفوقاً بذلك على الأدوات الحالية في فك تشفير البرمجيات الخبيثة المموّهة وترجمة الكود المصدري إلى لغة التجميع.

المؤلفون الأصليون: Hamed Jelodar, Samita Bai, Tochukwu Emmanuel Nwankwo, Parisa Hamedi, Mohammad Meymani, Roozbeh Razavi-Far, Ali A. Ghorbani

نُشر 2026-04-08

📖 4 دقيقة قراءة☕ قراءة في استراحة قهوة

CC BY 4.0

المؤلفون الأصليون: Hamed Jelodar, Samita Bai, Tochukwu Emmanuel Nwankwo, Parisa Hamedi, Mohammad Meymani, Roozbeh Razavi-Far, Ali A. Ghorbani

البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل

تخيل أنك محقق تحاول حل جريمة، لكن الدليل الوحيد الذي تملكه هو مذكرات ممزقة، ومبعثرة، ومشفرة بلغة سرية. هذا هو بالضبط ما يواجهه خبراء الأمن السيبراني عندما يحاولون تحليل البرمجيات الخبيثة (Malware) (البرامج الضارة للحاسوب).

غالباً ما يكون الكود الأصلي للفيروس مخفياً، أو مجرداً من التسميات، أو مشوهاً عمداً (وهي عملية تسمى "التعمية" أو Obfuscation) لإخفاء غرضه الحقيقي. لفهم ما يفعله الفيروس، يجب على الخبراء القيام بـ الهندسة العكسية (Reverse Engineering): حيث يتعين عليهم أخذ لغة الآلة منخفضة المستوى (لغة التجميع - Assembly code) وترجمتها مرة أخرى إلى كود مصدري مفهوم للبشر.

هذا الأمر صعب للغاية، تماماً مثل محاولة إعادة بناء قلعة "ليجو" معقدة بمجرد النظر إلى كومة من الطوب السائب والمختلط.

المشكلة: المترجم "العام"

مؤخراً، أصبحت نماذج الذكاء الاصطناي القوية (المعروفة بـ LLMs) بارعة في ترجمة اللغات وكتابة الأكواد. ومع ذلك، فإن معظم هذه الأنظمة تم تدريبها على أكواد "جيدة" — مثل البرمجيات مفتوحة المصدر أو التطبيقات التي تحملها من متاجر التطبيقات. إنها تشبه المترجمين الذين يتحدثون فقط "الإنجليزية المهذبة".

عندما تطلب منهم ترجمة "اللغة الروسية للملفات الخبيثة" (الكود المبعثر والضار)، يصابون بالارتباك. فهم لا يفهمون المصطلحات العامية، أو الحيل المخفية، أو الطرق المحددة التي يستخدمها المجرمون لإخفاء آثارهم. إنهم يحاولون إجبار الكود الخبيث على اتخاذ شكل "مهذب"، مما يؤدي غالباً إلى إجابات خاطئة.

الحل: LLM4CodeRE

قام مؤلفو هذه الورقة البحثية بإنشاء نظام ذكاء اصطناعي جديد يسمى LLM4CodeRE. فكر في هذا النظام كأنه مترجم محقق متخصص قضى سنوات في دراسة المذكرات الإجرامية، وليس فقط الروايات المهذبة.

إليك كيف بنوا هذا النظام، باستخدام تشبيهات بسيطة:

1. "التدريب المتخصص" (Pretraining التكيفي مع المجال)

بدلاً من مجرد إعطاء الذكاء الاصطناعي كتاباً عاماً للأكواد، قام الباحثون بتغذيته بمكتبة ضخمة من البرمجيات الخبيثة الواقعية. لقد أظهروا للذكاء الاصطناعي ملايين الأمثلة لكيفية تشويه وفك تشفير الفيروسات.

التشبيه: تخيل طالباً لتعلم اللغة درس فقط أعمال شكسبير. إذا طلبت منه ترجمة لغة العصابات العامية، فسيفشل. ولكن إذا أرسلته للعيش في حي العصابات لمدة عام (التدريب على البرمجيات الخبيثة)، فسيتعلم المصطلحات الخاصة، والمعاني الخفية، والحيل. هذا هو ما يفعله LLM4CodeRE.

2. "الطريق ذو الاتجاهين" (الترجمة ثنائية الاتجاه)

معظم الأدوات تسير في اتجاه واحد فقط: كود الآلة $\leftarrow$ الكود البشري. لكن LLM4CodeRE هو مترجم ثنائي الاتجاه.

إعادة التجميع (Decompilation) (من لغة التجميع $\leftarrow$ إلى الكود المصدري): أخذ كود الآلة المبعثر وتحويله مرة أخرى إلى كود قابل للقراءة.
إعادة البرمجة (Recompilation) (من الكود المصدري $\leftarrow$ إلى لغة التجميع): أخذ الكود القابل للقراءة وتحويله مرة أخرى إلى كود آلة.
التشبيه: إنه يشبه المترجم ثنائي اللغة الذي لا يستطيع فقط ترجمة خطاب من الإنجليزية إلى الفرنسية، بل يمكنه أيضاً أخذ خطاب فرنسي وترجمته مرة أخرى إلى الإنجليزية بدقة، مما يضمن عدم تغير المعنى. هذا يساعد في التحقق مما إذا كانت الترجمة صحيحة بالفعل.

3. "الملحقات الذكية" (Multi-Adapter & Seq2Seq)

لم يرغب الباحثون في إعادة بناء عقل الذكاء الاصطناعي بالكامل لكل مهمة جديدة. بدلاً من ذلك، استخدموا استراتيجية ذكية:

المهايئ المتعدد (Multi-Adapter): تخيل أن الذكاء الاصطناعي هو "سكين سويسري". المقبض الرئيسي هو نفسه، لكنهم يلحقون به "شفرات" (مهايئات) مختلفة لمهام مختلفة. شفرة لترجمة لغة التجميع إلى الكود المصدري، وأخرى لترجمة الكود المصدري إلى لغة التجميع. هذا يحافظ على سرعة وكفاءة الذكاء الاصطناعي.
النموذج الموحد (Seq2Seq Unified): بدلاً من ذلك، استخدموا "علامات سحرية" (بادئات). أنت تخبر الذكاء الاصطناعي: "إليك مهمة: ترجم هذا"، ويعرف الذكاء الاصطناعي تماماً كيفية التعامل معها دون الحاجة إلى شفرة جديدة.

4. "الاختبار الواقعي" (قابلية إعادة التنفيذ - Re-executability)

هذا هو الجزء الأهم. العديد من أدوات الذكاء الاصطناعي تنتج أكواداً تبدو صحيحة ولكنها لا تعمل.

التشبيه: تخيل أن الذكاء الاصطناعي كتب وصفة لكعكة. تبدو مثالية على الورق، ولكن إذا خبزتها، تتحول إلى قطعة طوب.
الابتكار: لم يكتفِ الباحثون بالتحقق مما إذا كان الكود يبدو مشابهاً للأصل فحسب، بل قاموا بالفعل بترجمة وتشغيل الكود في بيئة معزولة وآمنة (ساحة لعب رقمية). إذا عمل الكود بنجاح دون حدوث انهيار، فقد منحوه درجة عالية. إذا فشل، عرفوا أن الذكاء الاصطناعي كان يخدعهم.

النتائج

عندما اختبروا هذا المترجم المحقق الجديد (LLM4CodeRE) مقابل الأدوات الموجودة:

فهم "اللغة العامية الإجرامية" (أنماط البرمجيات الخبيثة) بشكل أفضل بكثير.
أنتج كوداً ليس فقط قابلاً للقراءة، بل يعمل فعلياً عند تشغيله.
كان أفضل في كل من ترجمة البرمجيات الخبيثة إلى كود بشري وتحويل الكود البشري مرة أخرى إلى كود آلة.

لماذا يهم هذا؟

في عالم الأمن السيبراني، السرعة هي كل شيء. إذا ظهر فيروس جديد، يحتاج الخبراء إلى فهمه في دقائق، وليس أيام. باستخدام هذا الذكاء الاصطناعي المتخصص، يمكننا أتمتة العمل الممل والصعب لفك تشفير الفيروسات، مما يسمح للخبراء البشريين بالتركيز على إيقاف التهديد بدلاً من فك رموز الكود.

**باخت: لقد بنوا ذكاءً اصطناعياً يتحدث لغة "الفيروسات" بطلاقة، ويمكنه الترجمة ذهاباً وإياباً، ويتأكد فعلياً من أن الترجمة تعمل قبل تسليمها للشرطة.

إليك ملخص تقني مفصل لورقة البحث بعنوان: "LLM4CodeRE: الذكاء الاصطناي التوليدي لتحليل فك التجميع والهندسة العكسية للبرمجيات."

1. بيان المشكلة

تعد مهام فك التجميع (Decompilation) والهندسة العكسية (Reverse Engineering) من المهام الحيوية في مجال الأمن السيبراني لتحليل البرمجيات الخبيثة، وكشف النوايا الخبيثة، وتطوير التوقيعات الدفاعية. ومع ذلك، تواجه هذه المهام تحديات كبيرة:

التعمية (Obfuscation): تستخدم البرمجيات الخبيثة الحديثة تقنيات متطورة (مثل التعبئة/Packing، وتعدد الأشكال/Polymorphism، وتسطيح تدفق التحكم/Control Flow Flattening) التي تجعل أدوات التحليل الساكن والديناميكي التقليدية هشة وتتطلب جهداً بشرياً مكثاً.
قصور النماذج اللغوية الكبيرة (LLMs) الحالية: على الرغم من أن النماذج اللغوية الكبيرة أظهرت نتائج واعدة في ترجمة الأكواد، إلا أن معظمها تم تدريبه مسبقاً على أكواد برمجية حميدة ومفتوحة المص المصدر. وهي تعامل البرمجيات الخبيثة كبيانات "خارج نطاق التوزيع" (Out-of-distribution)، مما يؤدي إلى الفشل في التقاط أنماط التعمية المحددة، ومنطق مكافحة التصحيح (Anti-debugging)، واستخدام واجهات برمجة التطبيقات (APIs) الخبيثة.
الافتقار إلى الدعم ثنائي الاتجاه: تركز الأدوات الحالية غالباً على الترجمة أحادية الاتجاه (Assembly $\to$ Source) وتفتقر إلى إطار عمل موحد لكل من فك التجميع (Decompilation) وإعادة التجميع (Recompilation) (Source $\to$ Assembly).
فجوات التقييم: يعتمد العمل السابق بشكل كبير على مقاييس التشابه الساكن (مثل BLEU أو المطابقة التامة) بدلاً من الصحة الوظيفية، مما يفشل في التحقق مما إذا كان الكود الناتج يمكن تجميعه وتنفيذه بالفعل.

2. المنهجية: إطار عمل LLM4CodeRE

يقترح المؤلفون LLM4CodeRE، وهو إطار عمل لنماذج لغوية كبيرة تكيفية للمجال، مصمم للهندسة العكسية للبرمجيات ثنائية الاتجاه (Assembly $\leftrightarrow$ Source). تتكون البنية من ثلاث طبقات هرمية:

أ. التدريب المسبق المدرك للبرمجيات الخبيثة (CLM)

المتن (Corpus): تم تدريب النموذج الأساسي على متن واسع النطاق من الملفات الثنائية الخبيثة الحقيقية، بما في ذلك لغة التجميع المفككة (Disassembled Assembly)، والشيفرة الزائفة المفككة (Decompiled Pseudo-code)، والمقتطفات المستردة من ملفات PE.
التطبيع (Normalization): تخضع العينات لعمليات توحيد التعليمات (Instruction Canonicalization)، وإعادة تسمية السجلات (Register Renaming)، وعشوائية العناوين (Address Randomization) لتقليل الضجيج النحوي.
الهدف: يُستخدم نمذجة اللغة السببية (Causal Language Modeling - CLM) لتعليم النموذج الخصائص الإحصائية والدلالية للبرمجيات الخبيثة، بما في ذلك أنماط مكافحة التحليل.

ب. الضبط الدقيق بكفاءة المعلمات (PEFT)

لتكييف النموذج الأساسي المدرب مسبقاً مع مهام محددة دون حدوث "النسيان الكارثي" (Catastrophic Forgetting)، يستخدم الإطار تقنية التكيف منخفض الرتبة (LoRA). تم اقتراح استراتيجيتين متكاملتين للتخصص في المهام:

استراتيجية المهايئات المتعددة (Multi-Adapter - MA):
- تقدم وحدات مهايئ (Adapter) خفيفة الوزن وخاصة بالمهام (طبقات تحويل متبقية) متصلة بالنموذج الأساسي المشترك.
- يتعامل كل مهايئ مع اتجاه محدد (مثل Asm $\to$ Src أو Src $\to$ Asm).
- يسمح بالتفعيل الديناميكي لمهايئات محددة أثناء وقت الاستنتاج.
استراتيجية التسلسل الموحد (Seq2Seq Unified - S2S):
- يستخدم نموذجاً يعتمد على فك التشفير فقط (Decoder-only) معززاً بـ رموز بادئة مشروطة بالمهمة (Task-conditioned prefix tokens).
- يقوم تضمين بادئ متعلم ( $p_t$ ) بتهيئة النموذج لأداء التحويل المطلوب (فك التجميع أو إعادة التجميع) ضمن إطار عمل تلقائي واحد، مما يلغي الحاجة إلى أزواج منفصلة من المشفر وفك التشفير (Encoder-Decoder).

ج. بروتوكول التدريب

التحسين: يستخدم دقة BF16، ومحسن AdamW، وتراكم التدرج (Gradient Accumulation) للتعامل مع أحجام الدفعات الكبيرة (حجم الدفعة الفعال 512) ضمن حدود ذاكرة وحدة معالجة الرسومات.
البيانات: يستخدم مجموعة بيانات SBAN (676,151 عينة متوافقة) ومجموعة بيانات PE-Machine Learning للتقييم.

3. المساهمات الرئيسية

أول تدريب مسبق (CLM) مدرك للبرمجيات الخبيثة: يقدم إطار تدريب مسبق مخصص لفك التجميع باستخدام ملفات ثنائية خبيثة حقيقية، مما يتيح تعلم التمثيل الخاص بالمجال.
إطار عمل موحد ثنائي الاتجاه: أول نموذج يدعم كلاً من فك التجميع (Assembly-to-Source) وترجمة (Source-to-Assembly) ضمن بنية واحدة، قادرة على نمذجة السلوكيات الحميدة والخبيثة على حد سواء.
استراتيجيات التكيف الهجينة: يقترح ويقارن بين استراتيجيات المهايئات المتعددة (Multi-Adapter) والتسلسل الموحد (Seq2Seq Unified) لضمان التكيف الفعال مع المهام في الهندسة العكسية.
بروتوكول تقييم شامل: يتجاوز المقاييس الساكنة ليشمل قابلية إعادة التنفيذ (Re-executability)، واختبار ما إذا كان الكود الناتج يمكن تجميعه (باستخدام GCC -O2) وتنفيذه بنجاح في بيئة معزولة (Sandbox).

4. النتائج التجريبية

تم تقييم الإطار مقابل نماذج مرجعية مثل DeepSeek وLLM4Decompile وWADEC باستخدام ثلاثة مقاييس: التشابه الدلالي (BERTScore)، وتشابه التحرير (Normalized Levenshtein)، وقابلية إعادة التنفيذ.

الأداء ثنائي الاتجاه:
- Asm $\to$ Src: حقق LLM4CodeRE (نسخة Multi-Adapter) أعلى تشابه دلالي (0.85) وتشابه تحرير (0.63)، متفوقاً على DeepSeek وLLM4Decompile.
- Src $\to$ Asm: تفوقت نسخة Multi-Adapter أيضاً بـ 0.64 للتشابه الدلالي و0.27 للتشابه التحريري، مما أظهر قدرة قوية على التعميم في اتجاه إعادة التجميع الأكثر صعوبة.
قابلية إعادة التنفيذ (الصحة الوظيفية):
- في مجموعة بيانات XLangKode، حققت نسخة Seq2Seq Unified (S2S) معدل إعادة تنفيذ بنسبة 86% (تجميع وتنفيذ ناجح).
  ចំនួន هذا بشكل كبير عن LLM4CodeRE (MA) بنسبة 53%، وLLM4Decompile بنسبة 48%، وDeepSeek بنسبة 15%.
التكيف مع المجال: أكد تحليل الارتياب (Perplexity) أن الضبط الدقيق للمجال قلل باستمرار من الارتياب عبر جميع النماذج الأساسية (Qwen, Llama, Mistral, DeepSeek)، مما يثبت فعالية التدريب المسبق المدرك للبرمجيات الخبيثة.

5. الأهمية والعمل المستقبلي

الأهمية: يجسّر LLM4CodeRE الفجوة بين الذكاء الاصطناዊ التوليدي والأمن السيبراني من خلال نمذجة دلالات البرمجيات الخبيثة بشكل صريح. ويضمن تركيزه على قابلية إعادة التنفيذ أن المخرجات ليست فقط متشابهة نحوياً بل صالحة وظيفياً، وهو مطلب حاسم للهندسة العكسية العملية.
القيود: التركيز الحالي ينصب على ملفات Windows PE؛ كما أن فك التجميع الآلي قد يُدخل ضجيجاً في البيانات (Label Noise)؛ كما أن التنفيذ في البيئة المعزولة (Sandbox) له تغطية سلوكية محدودة.
الاتجاهات المستقبلية: يخطط المؤلفون لتوسيع الإطار ليشمل برمجيات Android الخبيثة (APK, DEX, Smali) واستكشاف التعميم عبر المنصات بين بيئات Windows وAndroid.

الخلاصة: يمثل LLM4CodeRE تحولاً جذرياً في الهندسة العكسية المؤتمتة، حيث يثبت أن النماذج اللغوية الكبيرة التكيفية للمجال يمكن أن تتفوق على نماذج الأكواد العامة وأدوات فك التجميع التقليدية في كل من الدقة الدلالية والصحة الوظيفية.