Resumen Técnico: Un Marco de Trabajo Basado en la Descompilación para la Detección de Malware con Modelos de Lenguaje de Gran Escala

Planteamiento del Problema

Los métodos tradicionales de detección de malware basados en firmas son cada vez más ineficaces contra las nuevas variantes de malware que utilizan técnicas avanzadas de ofuscación, transformaciones polimórficas y vectores de ataque no detectados. Aunque la Inteligencia Artificial (IA) y los Modelos de Lenguaje de Gran Escala (LLM) han mostrado potencial en la comprensión de código y el análisis semántico, su aplicación directa al código ejecutable descompilado para la clasificación de malware sigue siendo una frontera poco explorada. Estudios previos suelen depender de conjuntos de datos hipotéticos o carecen de aplicabilidad en el mundo real, y los enfoques industriales existentes frecuentemente carecen de transparencia metodológica. Además, existe una necesidad crítica de determinar si los LLM pueden reemplazar o aumentar de manera robusta el software antivirus tradicional en entornos de producción, particularmente dada la rápida evolución de los patrones de codificación maliciosa.

Metodología

Los autores proponen un flujo de trabajo automatizado que tiende un puente entre el análisis de bajo nivel de binarios y la comprensión semántica de alto nivel, combinando herramientas de ingeniería inversa con LLM de última generación.

1. Flujo de Trabajo de Descompilación: El sistema utiliza el desensamblador Ghidra para descompilar ejecutables de Windows en código C legible por humanos. Esta representación intermedia sirve como entrada para los LLM.
2. Construcción del Conjunto de Datos:
   • Conjunto de Datos Base: Derivado del libro Malware Data Science (2017), que comprende 240 muestras de malware tipo "Backdoor" y 365 muestras benignas. Se seleccionó un subconjunto para asegurar que el texto descompilado no excediera los límites de tokens de los LLM.
   • Conjunto de Datos Contemporáneo: Compilado en 2025 a partir de Malware Bazaar, contiene 120 nuevas muestras de malware a través de 49 familias (p. ej., LummaStealer, XWorm) y 28 controladores de sistema benignos. El conjunto benigno fue seleccionado intencionalmente con interacciones de kernel de bajo nivel "similares al malware" para crear un límite de clasificación desafiante.
3. Estrategia de Clasificación:
   • Ingeniería de Prompts: Se diseñó un prompt de cero disparos (zero-shot) estandarizado para instruir al LLM para que actúe como un experto en ciberseguridad, analice el código C en busca de funciones/APIs sospechosas, aplique reglas (p. ej., YARA) y genere una salida booleana JSON estricta (True/False).
   • Evaluación de Modelos: Se evaluaron varios LLM "vanilla" (preentrenados) (Llama 3.3 70B, Codestral, Claude 3.7 Sonnet, Gemini 2.5 Pro) contra el conjunto de datos base.
   • Ajuste Fino (Fine-Tuning): El mejor modelo vanilla (Gemini 2.5 Pro) fue sometido a un ajuste fino supervisado sobre un subconjunto curado de 200 muestras (100 de malware más pequeñas, 100 benignas más pequeñas) utilizando Google Cloud Vertex AI durante 40 épocas.
4. Protocolos de Seguridad: Todo el análisis se realizó en máquinas virtuales aisladas y desconectadas de la red (air-gapped), con almacenamiento cifrado y reversión de instantáneas (snapshots) para evitar la propagación de malware.

Resultados Clave

La evaluación comparó LLM vanilla, un LLM con ajuste fino y un clasificador XGBoost tradicional entrenado con características de análisis estático.

• Rendimiento de LLM Vanilla: En los datos base de 2017, los LLM vanilla mostraron promesa pero fueron inconsistentes. Gemini 2.5 Pro surgió como el candidato más fuerte con un 80.1% de precisión, superando a otros LLM, pero aún quedando por detrás del clasificador XGBoost, que logró un 98.5% de precisión en el mismo conjunto de datos conocido.
• Impacto del Ajuste Fino: Al ser evaluado en el Conjunto de Datos Contemporáneo de 2025, el modelo Gemini 2.5 Pro con ajuste fino superó significativamente a su contraparte vanilla y al modelo XGBoost tradicional.
  • LLM con Ajuste Fino: Logró un 83.2% de precisión (accuracy), 94.4% de precisión (precision) y 84.2% de exhaustividad (recall).
  • LLM Vanilla: Cayó a un 64.2% de precisión (accuracy) en los nuevos datos.
  • Clasificador XGBoost: Su rendimiento se degradó significativamente a un 74.3% de precisión (accuracy), resaltando la fragilidad de los modelos tradicionales cuando se enfrentan a amenazas en evolución que no estaban presentes en sus datos de entrenamiento.
• Generalización: El estudio demuestra que, si bien los LLM vanilla tienen dificultades con las nuevas amenazas, un modelo especializado con ajuste fino puede generalizar mejor que los métodos tradicionales de análisis estático ante familias de malware emergentes.

Significancia y Reivindicaciones

El artículo postula que el análisis impulsado por descompilación representa una nueva frontera viable para la detección de amenazas automatizada, siempre que se cumplan ciertas condiciones:

1. Necesidad de Ajuste Fino: La contribución principal es la demostración de que el ajuste fino basado en datos específicos del dominio y curados es esencial. Los modelos vanilla, a pesar de su comprensión general del código, no son lo suficientemente robustos para reemplazar el software antivirus tradicional sin un entrenamiento especializado.
2. Adaptabilidad vs. Fragilidad: Los resultados resaltan un compromiso crítico: los modelos de aprendizaje automático tradicionales (como XGBoost) son altamente precisos en datos conocidos pero frágiles ante nuevas amenazas, mientras que los LLM con ajuste fino ofrecen una adaptabilidad superior a los patrones y comportamientos de codificación en evolución.
3. Requisito de Evolución Continua: El artículo afirma explícitamente que incluso los modelos especializados se degradan al encontrar malware más reciente. Por lo tanto, mantener la efectividad del modelo requiere un ajuste fino continuo con amenazas emergentes para seguir el ritmo de los cambios en los comportos maliciosos.
4. Despliegue Práctico: Al utilizar muestras de malware auténticas y abordar las restricciones de límites de tokens mediante la selección de muestras, el trabajo trasciende los escenarios hipotéticos para demostrar la aplicabilidad práctica en entornos relevantes para la producción.

Los autores concluyen que, si bien los LLM aún no son un reemplazo completo para las pilas de seguridad existentes, ofrecen una capa de detección poderosa y adaptable que, combinada con el reentrenamiento continuo, puede abordar las limitaciones de los métodos de detección basados en firmas y de análisis estático. El trabajo futuro sugiere integrar trazas de ejecución dinámica y explorar el preentrenamiento específico del dominio para mejorar aún más la fiabilidad y la explicabilidad.