Resumen Técnico: HELIOS - Abstracción de Grafos Jerárquicos para la Descompilación de LLM Sensible a la Estructura

Planteamiento del Problema

La descompilación de binarios es una tarea crítica pero laboriosa en la seguridad del software, esencial para el análisis de malware, el triaje de vulnerabilidades y el mantenimiento de sistemas heredados. Aunque se han aplicado Modelos de Lenguaje de Gran Escala (LLM) para automatizar este proceso, los enfoques actuales sufren de "ceguera estructural". Los métodos existentes tratan los artefactos binarios y la salida del descompilador como secuencias planas unidimensionales de tokens, ignorando los Grafos de Flujo de Control (CFG) y los Grafos de Llamadas de Funciones (FCG) que gobiernan el comportamiento del programa.

Esta limitación conduce a salidas sintácticamente frágiles y lógicamente inconsistentes, particularmente cuando se trata de binarios optimizados donde las transformaciones del compilador oscurecen el flujo de control. Además, los descompiladores de última generación ajustados (fine-tuned) a menudo requieren un entrenamiento específico para la arquitectura, lo que limita su generalización a través de diversos objetivos de hardware (por ejemplo, x86, ARM, MIPS) y no logra producir código recompilable sin una intervención manual sustancial.

Metodología: El Marco de Trabajo HELIOS

Los autores proponen HELIOS, un marco que redefine la descompilación basada en LLM como una tarea de razonamiento estructural sensible al contexto en lugar de una simple traducción de texto a texto. HELIOS opera sin realizar un ajuste fino (fine-tuning) del LLM en sí, aumentando en su lugar los modelos de propósito general con una representación textual jerárquica de las propiedades estructurales del binario.

Componentes Principales

1. Análisis Estático y Extracción de Características:
   Utilizando un backend (implementado con Ghidra), HELIOS extrae artefactos por función, incluyendo:

   • Pseudo-código bruto del descompilador (tipo C).
   • El Grafo de Flujo de Control (CFG) derivado de la representación intermedia P-Code.
   • El Grafo de Llamadas de Funciones (FCG) restringido a la función actual.
   • Metadatos auxiliares (cabeceras de bucles, referencias a cadenas, constantes).

2. Generación de Prompts Jerárquicos:
   HELIOS convierte estos artefactos en un prompt estructurado y multiparte diseñado para imitar el proceso analítico de un experto humano. El prompt consta de cuatro secciones distintas:

   • [FUNCTION_CONTEXT]: Un resumen de alto nivel que incluye firmas de funciones, arquitectura y estadísticas estructurales (por ejemplo, conteo de bloques, presencia de bucles).
   • [CFG_OVERVIEW]: Una lista de adyacencia compacta que describe los bloques básicos y sus sucesores, mapeando explícitamente las rutas de ejecución sin detalles de instrucciones de bajo nivel.
   • [BLOCK_DETAILS]: Un resumen bloque por bloque que contiene instrucciones P-Code destiladas y relaciones explícitas de predecesores/sucesores, sirviendo como base de evidencia semántica.
   • [RAW_DECOMPILED_CODE]: La salida original y no modificada del descompilador para servir como línea base para el refinamiento.

3. Prompting y Reglas Sensibles a la Estructura:
   El marco emplea un prompt de sistema fijo que contiene Reglas Críticas derivadas de un análisis de los modos de fallo comunes de los LLM. Estas reglas constriñen al modelo para:

   • Asegurar que el flujo de control generado coincida estrictamente con el CFG proporcionado.
   • Evitar la reimplementación de funciones de la biblioteca estándar.
   • Prevenir la introducción de nuevas variables globales o discrepancias de tipos no soportadas por la evidencia estructural.

4. Retroalimentación Iterativa del Compilador (Opcional):
   Para mejorar aún más la robustez, HELIOS implementa un "compilador en el bucle" (compiler-in-the-loop). Si el código generado falla al compilar, los diagnósticos del compilador se anexan al prompt y se le pide al LLM que corrija el código manteniendo la consistencia con el CFG y los detalles de los bloques. Este proceso se limita a una iteración por función para mantener la predictibilidad del costo.

Contribuciones Clave

• Codificación Estructural: Los autores proponen un método para codificar el flujo de control binario, los grafos de llamadas y los patrones de alto nivel (bucles, condicionales) en un formato de texto jerárquico compacto consumible por LLM de propósito general.
• Marco de Trabajo HELIOS: La instanciación de este método, demostrando ganancias significativas en la capacidad de compilación y corrección funcional sobre el prompting de solo texto y los descompiladores ajustados de última generación, utilizando solo un número fijo de llamadas al modelo.
• Generalización de Arquitectura Cruzada: El primer estudio de arquitectura cruzada de la descompilación de LLM sensible a la estructura a través de seis conjuntos de instrucciones (x86_32/64, ARM_32, AArch64, MIPS_32/64). El estudio demuestra que un único diseño de prompt puede generalizarse a través de diversos hardware sin reentrenamiento.

Resultados Experimentales

El marco fue evaluado en los conjuntos de datos HumanEval-Decompile y MBPP-Decompile a través de seis arquitecturas y múltiples niveles de optimización (-O0 a -O3).

• Compilabilidad: En x86_64, HELIOS elevó la capacidad de compilación promedio de archivos objeto para Gemini 2.0 del 45.0% al 85.2%, y para GPT-4.1 Mini del 71.4% al 89.6%. Con la retroalimentación del compilador, estas cifras superaron el 94%.
• Corrección Funcional: HELIOS mejoró la corrección funcional hasta en 5.6 puntos porcentuales respecto al prompting de solo texto. Para GPT-4.1 Mini en x86_64, la corrección funcional alcanzó el 55.9% con retroalimentación, superando a modelos especializados ajustados como LLM4Decompile (36.3%) y Nova (3.2%).
• Estabilidad de Arquitectura Cruzada: A diferencia de las líneas base estructuralmente ciegas, que mostraron una alta varianza en el rendimiento entre arquitecturas (por ejemplo, cayendo significativamente en MIPS), HELIOS mantuvo una alta compilabilidad constante (>94% para GPT-4.1 Mini con retroalimentación) y redujo la dispersión en la corrección funcional a través de x86, ARM y MIPS.
• Estudio de Ablación: El estudio confirmó que, si bien los datos estructurales brutos (CFG) proporcionan un impulso modesto, las reglas de instrucción críticas son el principal motor de mejora. La retroalimentación del compilador refinó aún más la salida, empujando la compilabilidad hacia la saturación.

Significancia y Reivindicaciones

El artículo afirma que HELIOS demuestra un cambio de paradigma en la aplicación de LLM a dominios ricos en grafos como la ingeniería inversa. Al tratar al LLM como un motor de razonamiento sensible a la estructura en lugar de un traductor de texto, el marco logra:

1. Utilidad Práctica: Produce código recompilable y semánticamente fiel a través de diversos objetivos de hardware sin la necesidad de un ajuste fino específico de la arquitectura, abordando un cuello de botella importante en los flujos de trabajo de seguridad.
2. Eficiencia: El enfoque no requiere entrenamiento específico para la tarea y utiliza un número mínimo de llamadas al modelo (como máximo dos por función), lo que lo convierte en un componente práctico para las herramientas de ingeniería inversa existentes.
3. Generalizabilidad: Los resultados sugieren que el anclaje estructural explícito puede sustituir a los corpus de entrenamiento especializados de gran tamaño, permitiendo que los modelos de propósito general superen a los modelos especializados ajustados en corrección funcional, incluso si exhiben una menor similitud textual (distancia de edición) con el código fuente original.

Los autores concluyen que, para tareas que involucran datos estructurales ricos, la estrategia más efectiva es hacer explícita la estructura subyacente, proporcionar reglas para el razonamiento sobre ella y utilizar herramientas externas para la retroalimentación fundamentada, en lugar de confiar únicamente en los pesos del modelo.