💻 computer science

Guiding Symbolic Execution with Static Analysis and LLMs for Vulnerability Discovery

تقدم الورقة البحثية SAILOR، وهو إطار عمل مبتكر يعمل على أتمتة بناء أدوات التنفيذ الرمزي (symbolic execution harness) عبر دمج التحليل الساكن لاستهداف الثغرات الأمنية مع النماذج اللغوية الكبيرة (LLMs) للتوليف التكراري للمشغلات (driver synthesis)، مما مكن من اكتشاف 379 ثغرة أمنية غير معروفة سابقاً تتعلق بسلامة الذاكرة عبر 10 مشاريع ضخمة بلغات C/C++ حيث فشلت الأطر المرجعية الحالية.

المؤلفون الأصليون: Md Shafiuzzaman, Achintya Desai, Wenbo Guo, Tevfik Bultan

نُشر 2026-04-09

📖 4 دقيقة قراءة☕ قراءة في استراحة قهوة

CC BY 4.0

المؤلفون الأصليون: Md Shafiuzzaman, Achintya Desai, Wenbo Guo, Tevfik Bultan

البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل

تخيل أنك محقق يحاول العثور على فخاخ مخفية في قلعة ضخمة وقديمة (برمجية برمجية ضخمة). لديك ثلاث أدوات قوية، ولكن لكل منها عيب رئيسي بمفردها:

محلل السكون (قارئ الخرائط): يمكن لهذه الأداة مسح القلعة بأكملة في ثوانٍ وتحديد 10,000 بقعة تبدو مشبوهة. لكنها سيئة جدًا في فهم السياق؛ فهي تضع علامات على كل شيء، من طوبة مرتخية إلى جدار كامل، مما يخلق جبلًا من الإنذارات الكاذبة.
المنفذ الرمزي (المختبر الفائق): هذا روبوت يمكنه السير عبر كل ممر ممكن في القلعة في وقت واحد ليرى ما إذا كان الفخ سيعمل بالفعل. إنه دقيق للغاية. ومع ذلك، لا يمكنه البدء في المشي حتى تعطيه بابًا محددًا للدخول منه، وخريطة للأثاث، وقائمة بالقواعد. كتابة هذه التعليمات يدويًا لقلعة مكونة من 1.8 مليون سطر يستغرق سنوات.
النموذج اللغوي الكبير (المتدرب العبقري): هذا ذكاء اصطناعي فائق الذكاء، يعرف كيفية كتابة الكود ويفهم تخطيط القلعة. لكن إذا سألته فقط: "ابحث عن الفخاخ"، فقد يهلوس (يخترع أشياء) أو يخطئ في التقدير لأنه لا يستطيع فعليًا "السير" في الممرات لإثبات وجود فخ.

المشكلة:
لسنوات، ظل العثور على الأخطاء البرمجية العميقة والمخفية عالقًا في عنق زجاجة. أنت بحاجة إلى المختبر الفائق (التنفيذ الرمزي) لإثبات أن الخطأ حقيقي، لكنك لا تستطيع استخدامه لأنك لا تستطيع كتابة التعليمات (الحامل/Harness) بالسرعة الكافية.

الحل: "Sailor"
قام المؤلفون بإنشاء نظام يسمى Sailor يعمل كفريق تحقيق مثالي، حيث يجمع بين هذه الأدوات الثلاث في خط إنتاج سلس. فكر في الأمر كسباق تتابع من ثلاث مراحل:

المرحلة 1: المستكشف (التحليل الساكن)

بدلاً من طلب من الذكاء الاصطناعي التخمين أين يبحث، يقوم قارئ الخرائط (التحليل الساكن) بمسح الكود أولاً. هو لا يحاول إثبات وجود الخطأ بعد؛ بل يقول فقط: "مهلًا، انظر إلى السطر 2699 في هذا الملف. شخص ما يقوم بنسخ البيانات دون التحقق من الحجم. هذا يبدو خطرًا."

التشبيه: يشبه الأمر حارس أمن يسلط كشافًا ضوئيًا على باب محدد ومشبوه ويسلم ملاحظة للشخص التالي: "افحص هذا الباب. قد يكون مفتوحًا."

المرحلة 2: المعماري والبناء (النموذج اللغوي الكبير + التنفيذ الرمزي)

هذا هو الجزء السحري. يأخذ المتدرب العبقري (النموذج اللغوي الكبير) تلك الملاحظة ويحاول بناء "غرفة اختبار" (حامل/Harness) ليرى ما إذا كان الباب سيفتح بالفعل.

الصراع: يبني المتدرب غرفة، لكن ينقصها جدار أو بها مقبض باب خاطئ. يحاول المختبر الفائق (التنفيذ الرمزي) الدخول، فيصطدم بجدار ويقول: "خطأ: مقبض الباب مفقود."
الإصلاح: يقرأ المتدرب الخطأ، ويصلح الغرفة، ثم يحاول مرة أخرى. يفعل ذلك مرارًا وتكرارًا (التحسين التكراري)، ويتعلم من كل خطأ، حتى يبني غرفة اختبار مثالية تؤدي تمامًا إلى الباب المشبوه.
الاختبار: بمجرد بناء الغرفة، يمشي المختبر الفائق من خلالها. إذا وجد فخًا (خطأ)، فهو لا يكتفي بالقول "أظن ذلك"، بل ينتج مفتاحًا (مدخلًا ملموسًا) يثبت أن الفخ يعمل.

المرحلة 3: التحقق من الواقع (التحقق الملموس)

المختبر الفائق رائع، ولكن أحيانًا يضيع في عالم الأحلام. للتأكد بنسبة 100%، يأخذ الفريق المفتاح الذي صنعه المختبر الفائق ويجربونه على القلعة الحقيقية غير المعدلة.

التشبيه: يسلمون المفتاح لحارس بشري ويقولون له: "جرب هذا المفتاح على الباب الحقيقي." إذا فتح الباب وانطبق الفخ، مبروك! إنه ثغرة أمنية حقيقية. إذا لم يعمل المفتاح على الباب الحقيقي، فقد كان إنذارًا كاذبًا، ويتم استبعاده.

لماذا يعد هذا أمرًا مهمًا؟

اختبر الفريق نظام Sailor على 10 مشاريع برمجية ضخمة وحقيقية (مثل الأدوات التي تشغل الإنترنت، ومعالجة الصور، والأمن).

النتيجة: وجد Sailor 379 خطأً أمنيًا جديدًا تمامًا وغير معروف سابقًا (مشكلات تتعلق بسلامة الذاكرة).
المقارنة: عندما قارنوا Sailor بالطرق الأخرى:
- استخدام الذكاء الاصطناعي وحده لم يجد سوى القليل من الأشياء الحقيقية.
- استخدام المختبر الفائق وحده مع تعليمات يكتبها البشر لم يجد سوى القليل (لأن البشر بطيئون جدًا في كتابة التعليمات لكل شيء).
- Sailor كان أكثر فعالية بـ 30 مرة من الطريقة التالية الأفضل.

الخلاصة

يحل Sailor مشكلة "التوسع". فهو يستخدم قارئ الخرائط لتضييق نطاق البحث، والمتدرب العبقري لبناء بيئة الاختبار تلقائيًا، والمختبر الفائق لإثبات أن الخطأ حقيقي، كل ذلك مع استخدام تحقق من الواقع لضمان عدم تسلل أي إنذارات كاذبة.

إنه يشبه أتمتة عملية البحث عن إبرة في كومة قش بالكامل: بدلاً من شخص واحد يبحث لساعات، لديك روبوت يجد كومة القش، ومساعد ذكي يصنع مغناطيسًا، واختبار نهائي للتأكد من أن المغناطيس قد التقط إبرة بالفعل.

إليك ملخص تقني مفصل لورقة البحث بعنوان "توجيه التنفيذ الرمزي باستخدام التحليل الساكن والنماذج اللغوية الكبيرة لاكتشاف الثغرات الأمنية" (Sailor).

1. بيان المشكلة

يواجه الكشف التلقائي عن الثغرات الأمنية في قواعد الأكواد البرمجية الضخمة المكتوبة بلغة C/C++ مقايضة بين "القابلية للتوسع مقابل الدقة":

التحليل الساكن (SA): يتوسع بشكل جيد ليصل إلى ملايين الأسطر من الأكواد (LOC)، ولكنه يعاني من معدلات عالية من الإيجابيات الكاذبة ولا يمكنه تحديد ما إذا كانت الثغرة قابلة للاستغلال فعلياً.
الفحص (Fuzzing): فعال في إيجاد حالات الانهيار (crashes)، ولكنه يواجه صعوبة في الوصول إلى أعماق المكتبات البرمجية التي تتطلب حالات برمجية معقدة ومنظمة بدقة.
التنفيذ الرمزي (SE): يقدم دقة عالية عبر معاملة المدخلات كقيم رمزية واستخدام حلول القيود لتوليد مدخلات ملموسة شاهدة (witness inputs). ومع ذلك، لا يتوسع التنفيذ الرمزي ليشمل قواعد الأكواد الضخمة بسبب:
1. انفجار المسارات (Path Explosion): ينمو عدد مسارات التنفيذ بشكل أسي.
2. بناء الحامل (Harness Construction): يتطلب التنفيذ الرمزي "حاملاً" (برنامج تشغيل) لإعداد الحالة الرمزية، ونمذجة التبعيات (stubs)، وتحديد التأكيدات (assertions). كتابة هذه الحوامل يدوياً تستغرق وقتاً طويلاً، وتتطلب خبرة عميقة، وهي العائق الرئيسي الذي يمنع اعتماد التنفيذ الرمزي على نطاق واسع.
3. محدودية النماذج اللغوية الكبيرة (LLMs): بينما يمكن للنماذج اللغوية الكبيرة الاستدلال عن الأكواد، إلا أنها تفتقر إلى ضمانات الصحة الرسمية وغالباً ما تهلوس بالثغرات أو تفشل في توليد مسارات تنفيذ صالحة دون تغذية راجعة.

التحدي الجوهري: كيف يمكن أتمتة بناء حوامل التنفيذ الرمزي لقواعد الأكواد الضخمة لتحقيق دقة التنفيذ الرمزي مع قابلية توسع التحليل الساكن وقدرات الاستدلال للنماذج اللغوية الكبيرة.

2. المنهجية: خط إنتاج Sailor

يقدم المؤلفون Sailor (التنفيذ الرمزي الموجه بالتحليل الساكن والمنظم بواسطة النماذج اللغوية الكبيرة)، وهو خط إنتاج مؤتمت بالكامل يتكون من ثلاث مراحل.

المرحلة الأولى: توليد الأهداف الموجه بالتحليل الساكن

بدلاً من فحص قاعدة الأكواد بالكامل باستخدام التنفيذ الرمزي، يستخدم Sailor التحليل الساكن لتضييق نطاق البحث.

توليد الحقائق (Fact Generation): يتم بناء قاعدة بيانات CodeQL، وتقوم مجموعة من 34 استعلاماً لسلامة الذاكرة (13 استعلاماً قياسياً و21 استعلاماً مخصصاً) بفحص الكود المصدري.
إثراء الحقائق (Fact Enrichment): لكل موقع مشبوه، يستخرج Sailor "حزم حقائق" سياقية، بما في ذلك استدعاءات الدوال المشبوهة، متغيرات المؤشرات، متغيرات الطول، وسياق البناء (مسارات التضمين).
توليد المواصفات (Specification Generation): يقوم النظام بتجميع مواصفات ثغرة لكل مرشح. يتضمن ذلك:
- الموقع المرشح ( $\ell$ ).
- وصف طبيعي للثغرة.
- قالب التأكيد (Assertion Template) (على سبيل المثال، لـ CWE-120، القالب هو n <= min(len(dst), len(src))).
- استراتيجية اختيار نقطة الدخول (الافتراض هو استنتاج أقرب مستدعي غير ثابت).
المخرجات: مجموعة من مواصفات JSON ذاتية الاحتواء يمكن معالجتها بشكل مستقل ومتوازٍ.

المرحلة الثانية: التنفيذ الرمزي المدار بواسطة النماذج اللغوية الكبيرة

هذه هي المساهمة الجوهرية. يعمل النموذج اللغوي الكبير كمنظم لتخليق وتحسين "الحامل" ( $H$ ) بشكل تكراري بناءً على التغذية الراجعة.

تخليق برنامج التشغيل (Driver Synthesis): يقوم النموذج اللغوي بتوليد دالة main() تقوم بـ:
- تخصيص الهياكل اللازمة (مثل elf_x86_link_hash_table).
- التصريح عن حقول محددة كقيم رمزية (باستخدام klee_make_symbolic) لاستكشاف المسارات.
- إضافة قيود klee_assume لتجاوز الحواجض (مثل فحوصات الـ null) التي قد تمنع الوصول إلى السطر المصاب بالثغرة.
تخليق الـ Stubs: يقوم النموذج اللغوي بإنشاء "شريحة كود" (code slice) تحتوي فقط على المسار من نقطة الدخول إلى الثغرة. ويستبدل الفروع الخارجة عن المسار بـ if(0)، والحلقات بـ if(1)، والتبعيات الخارجية بـ stubs.
- تفصيل حاسم: الـ stubs للدوال الخارجة عن المسار تعيد قيمًا رمزية إذا كانت تؤثر على المسار، أو قيم افتراضية ثابتة خلاف ذلك. بالنسبة لـ Use-After-Free (CWE-416)، يجب أن يستدعي الـ stub الخاص بـ free() الدالة الحقيقية free().
تجسيد التأكيد (Assertion Instantiation): يقوم النموذج اللغوي بترميز خاصية السلامة. يضع klee_assert(0) بعد البيان الضعيف للتحقق من إمكانية الوصول، ويضيف قيوداً إلى برنامج التشغيل لانتهاك خاصية السلامة (مثل klee_assume(sz > 16) لتفعيل تجاوز سعة المخزن المؤقت).
حلقة التحسين التكراري: يتم تجميع الحامل وتنفيذه بواسطة KLEE (محرك التنفيذ الرمزي).
- التغذية الراجعة: إذا فشل التجميع أو أبلغ التنفيذ الرمزي عن "عدم الوصول" (not reached)، يتم تمرير الخطأ إلى النموذج اللغوي.
- التصحيح: يقوم النموذج اللغي بإصلاح عدم تطابق الأنواع، أو نقص الرؤوس (headers)، أو التجريد المفرط للمسارات.
- الإنهاء: تستمر الحلقة حتى يتم اكتشاف خطأ (إنتاج ملف شاهد .ktest)، أو استنفاد حصة الدورات، أو الوصول إلى الموقع دون العثور على خطأ (مما يعني احتمال وجود إيجابية كاذبة).

المرحلة الثالثة: التحقق الملموس

للقضاء على الإيجابيات الكاذبة الناتجة عن توليد حامل غير واقعي أو هلوسات النماذج اللغوية:

مشغل إعادة التشغيل (Replay Driver): يتم تحويل برنامج التشغيل الرمزي إلى برنامج تشغيل ملموس عبر استبدال استدعاءات klee_make_symbolic بعملية memcpy للبيانات الفعلية من ملف الشاهد .ktest.
التنفيذ: يتم تجميع المشروع الأصلي غير المعدل باستخدام AddressSanitizer (ASan). ثم يتم ربط مشغل إعادة التشغيل بهذا الملف الثنائي المزود بالأدوات.
الحكم (Verdict): يتم تأكيد الثغرة فقط إذا أبلغ ASan عن انهيار (مثل heap-buffer-overflow) مع تتبع للمكدس (stack trace) داخل الكود المصدري للمشروع.

3. المساهمات الرئيسية

خط إنتاج Sailor: أول نظام مؤتمت بالكامل يجمع بين التحليل الساكن للاستهداف، والنماذج اللغوية الكبيرة للتخليق، والتنفيذ الرمزي للتحقق، والتنفيذ الملموس للتحقق من الحقيقة الأرضية.
بناء الحامل المؤتمت: يحل مشكلة القابلية للتوسع في التنفيذ الرمزي عبر استخدام نموذج لغوي كبير لتحسين برامج التشغيل والـ stubs تكرارياً مقابل تغذية راجعة من المترجم والتنفيذ الرمزي، مما يلغي الحاجة لكتابة الحوامل يدوياً.
التقييم على نطاق واسع: تم الاختبار على 10 مشاريع مفتوحة المصدر بلغة C/C++ يبلغ مجموعها 6.8 مليون سطر من الكود (LOC).
جدة استخدام النماذج اللغوية الكبيرة: على عكس الأعمال السابقة التي تستخدم النماذج اللغوية للكشف المباشر، يستخدم Sailor النماذج اللغوية حصرياً كمحرك تخليق موجه بتغذية راجعة رسمية للتنفيذ.

4. النتائج التجريبية

أُجري التقييم على 10 مشاريع (بما في في ذلك Binutils, FFmpeg, OpenSSL, SQLite, إلخ).

إجمالي الاكتشافات: اكتشف Sailor 379 ثغرة فريدة وغير معروفة سابقاً في سلامة الذاكرة (نتج عنها 421 انهياراً مؤكداً).
المقارنة مع الخطوط المرجعية (Baselines):
- B1 (حوامل SE مكتوبة بشرياً): 0 ثغرة مؤكدة (كانت الحوامل واسعة جداً أو فشلت في التجميع).
- B2 (حوامل SE مولدة بواسطة LLM، بدون تكرار): 0 مؤكد (معدل فشل تجميع عالٍ بسبب الهلوسة).
- B3-B5 (كشف يعتمد على LLM فقط أو الوكيل): وجدت بحد أقصى 12 ثغرة مؤكدة. عانت من معدلات إيجابية كاذبة هائلة (88-99%).
- Sailor: وجد 379 ثغرة مؤكدة، متفوقاً على أقوى خط مرجعي بـ أكثر من 30 ضعفاً.
دراسات الاستئصال (Ablation Studies):
- بدون التحليل الساكن (A1): انخفضت الثغرات المؤكدة بمقدار 12.2 مرة (من 379 إلى 31)، مما يثبت أن التحليل الساكن ضروري للاستهداف.
- بدون التحسين التكراري: انخفضت الثغرات المؤكدة إلى 0، مما يثبت أن حلقة التغذية الراجعة أساسية لصحة الحامل.
- بدون التنفيذ الرمزي: لم يستطع أي نهج اكتشاف أكثر من 12 ثغرة، مما يثبت أن التنفيذ الرمزي ضروري لدقة المسار.
التكلفة: استهلك خط الإنتاج حوالي 2.29 مليار توكن (token) من النماذج اللغوية الكبيرة. تباينت التكلفة لكل ثغرة بناءً على تعقيد الحامل (0.9 مليون توكن لـ mupdf مقابل 29.2 مليون لـ libxml2)، وليس بناءً على حجم المشروع.

5. الأهمية

القابلية للتوسع: يثبت Sailor أنه يمكن توسيع نطاق التنفيذ الرمزي ليشمل قواعد أكواد بمليارات الأسطر عبر أتمتة عقبة توليد الحامل.
الدقة: من خلال الجمع بين "الحقيقة الأرضية" للتنفيذ الملموس (ASan) مع استكشاف المسارات عبر التنفيذ الرمزي، يحقق Sailor معدل إيجابيات كاذبة منخفضاً جداً مقارنة بنهج LLM أو SA الصرف.
الأثر العملي: اكتشف النظام 379 ثغرة جديدة في برمجيات البنية التحتية الحرجة (مثل Binutils, FFmpeg, OpenSSL)، وكثير منها كان في أعماق الكود وغير قابل للوصال عبر الفحص التقليدي.
التحول المنهجي: ترسي هذه الورقة نموذجاً جديداً حيث لا تُستخدم النماذج اللغوية الكبيرة فقط كـ "متنبئات" بالثغرات، بل كـ "مخليقات" (synthesizers) لمصوغات التحقق الرسمية، موجهة بالتغذية الراجعة التكرارية للتنفيذ.

في الختام، يوضح Sailor أن التآزر بين التحليل الساكن (للاستهداف)، والنماذج اللغية الكبيرة (للتخليق)، والتنفيذ الرمزي (للتحقق) يخلق محركاً قوياً ومؤتمتاً لاكتشاف الثغرات قادراً على إيجاد ثغرات عميقة وغير معروفة سابقاً في البرمجيات واسعة النطاق.