Resumen Técnico: Generación de Inyección SQL Adversarial con Arquitecturas Basadas en Modelos de Lenguaje Grande

Declaración del Problema

La inyección SQL (SQLi) sigue siendo una vulnerabilidad crítica dentro de las diez principales de OWASP, sin embargo, los mecanismos de defensa tradicionales y las metodologías de prueba enfrentan limitaciones significativas. Los enfoques convencionales dependen de pruebas de penetración manuales o herramientas automatizadas basadas en reglas como SQLmap. Estos métodos luchan contra defensas modernas, particularmente los Firewalls de Aplicaciones Web (WAF) basados en IA/ML y soluciones comerciales, debido a su naturaleza determinista y a la incapacidad de generar ataques novedosos y conscientes del contexto. Además, la investigación existente sobre Modelos de Lenguaje Grande (LLM) en pruebas de seguridad a menudo sufre de un enfoque en un solo modelo, una exploración limitada de parámetros y mecanismos de diversidad insuficientes, lo que conduce a cargas útiles repetitivas que son fácilmente detectadas por sistemas de defensa avanzados.

Metodología

Los autores introducen un marco integral de evaluación para evaluar la generación de SQLi basada en LLM frente a un conjunto diverso de defensas. El estudio utiliza un banco de pruebas que comprende siete sistemas de generación, diez WAF y un validador de ejecución MySQL.

Arquitecturas del Sistema

El estudio propone dos arquitecturas novedosas y las compara con tres líneas base:

1. RADAGAS (Generación Aumentada por Recuperación para SQLi Adversarial): Este sistema integra RAG con la generación de LLM. Recupera patrones de ataque probados de una base de conocimientos curada (OWASP, PortSwigger, GitHub) utilizando FAISS y Relevancia Marginal Máxima (MMR) para equilibrar la relevancia y la diversidad. El sistema emplea filtrado de diversidad multietapa (semántico, léxico y funcional) y validación de ejecución. Se probaron tres variantes utilizando diferentes modelos base: GPT-4o, DeepSeek-R1 y Claude 3.7 Sonnet.
2. RefleXQLi (SQLi de Cadena de Pensamiento Reflexiva): Esta arquitectura emplea un proceso de razonamiento de Cadena de Pensamiento (CoT) de cuatro pasos (Análisis de WAF, Formulación de Estrategia, Diseño de Carga Útil, Refinamiento) seguido de un bucle adversarial dual de LLM. Un LLM generador crea cargas útiles, mientras que un LLM discriminador las evalúa y las rechaza basándose en la intención maliciosa, obligando al generador a refinar la carga útil de forma iterativa hasta que elude al discriminador.
3. Líneas Base:
   • Tradicional: Un motor SQLMap simulado que utiliza cargas útiles deterministas basadas en reglas.
   • GPT-4o Vanilla: Un LLM de cero disparos sin ajuste fino ni indicaciones especializadas.
   • GenSQLi: Un enfoque basado en plantillas que utiliza aprendizaje en contexto.

Configuración Experimental

• Escala: 240 configuraciones experimentales distintas generaron 240,000 cargas útiles, resultando en aproximadamente 2.2 millones de pruebas.
• Defensas: Las pruebas se realizaron contra 10 WAF:
  • Basados en IA/ML: WAF-Brain (LSTM) y CNN-WAF.
  • Basados en reglas (Código Abierto): ModSecurity (PL1–3) y Coraza (PL1–3).
  • Comerciales: AWS WAF y Cloudflare WAF.
• Validación: Una aplicación web vulnerable respaldada por MySQL 8.0 sirvió como verdad fundamental para la validez de la ejecución.
• Métricas: El rendimiento se midió mediante tasas de elusión, éxito de ejecución y seis métricas de diversidad (diversidad semántica, léxica, contextual, n-gram, AST y funcional).

Resultados Clave

Rendimiento General

• Superioridad de RADAGAS: Las variantes de RADAGAS superaron a todas las líneas base, con RADAGAS-GPT4o logrando la tasa media de elusión más alta del 22.73%.
• RefleXQLi: Logró una tasa de elusión del 21.21% con la varianza más baja ($\sigma = 0.37$), indicando una salida estable.
• Líneas Base: La inyección SQL tradicional (15.01%) y GPT-4o Vanilla (12.90%) tuvieron un rendimiento significativamente peor. GenSQLi logró un 20.35%.

Optimización Específica del Modelo

El estudio encontró que los parámetros óptimos son específicos del modelo y contra intuitivos:

• GPT-4o: Funcionó mejor a baja temperatura ($T=0.1$) con un umbral de diversidad alto ($\theta=90$).
• DeepSeek-R1: Funcionó mejor a alta temperatura ($T=0.9$) con un umbral de diversidad alto ($\theta=90$).
• Claude 3.7: Óptimo a temperatura media ($T=0.6$) con un umbral de diversidad más bajo ($\theta=75$).

Efectividad Específica de la Defensa

• WAF basados en IA/ML: Las variantes de RADAGAS fueron altamente efectivas, eludiendo a WAF-Brain en un 92.49% (DeepSeek) y a CNN-WAF en un 80.48% (Claude).
• WAF Basados en Reglas: Todos los sistemas basados en LLM lucharon contra defensas basadas en reglas (ModSecurity/Coraza), con tasas de elusión generalmente entre 0% y 5.70%. GenSQLi logró la mayor elusión basada en reglas (16.26% en ModSecurity PL1), aunque muchas fueron identificadas como falsos positivos o expresiones tautológicas.
• WAF Comerciales: RADAGAS-GPT4o logró la mayor elusión en Cloudflare (49.50%), mientras que RefleXQLi tuvo el mejor rendimiento en AWS WAF (33.00%).

Análisis de Diversidad y Semillas

• Correlación de Diversidad: Contrario a la suposición de que la diversidad impulsa el éxito, el estudio encontró ninguna correlación estadísticamente significativa entre las métricas de diversidad de cargas útiles y las tasas de elusión en los siete sistemas. De hecho, las cargas útiles menos diversas a veces lograron tasas de elusión más altas.
• Efecto de la Semilla: Un estudio de ablación utilizando semillas "V2" reveló que RefleXQLi V2 (CoT + Semillas) logró una tasa de elusión del 35.78%, superando significativamente a las semillas crudas (28.93%) y a GenSQLi V2 (29.84%). Esto sugiere que las semillas de alta calidad combinadas con razonamiento CoT producen resultados superiores en comparación con la mutación de plantillas sola.
• Validez de Ejecución: Los sistemas RADAGAS lograron un 60–64% de éxito de ejecución en MySQL, mientras que RefleXQLi (sin semillas) solo logró un 27.80%, destacando una compensación entre la generación adversarial creativa y la corrección semántica.

Significado y Afirmaciones

El artículo afirma proporcionar uno de los estudios de evaluación más grandes de la generación adversarial de SQLi basada en LLM, ofreciendo una visión holística de la interacción entre las arquitecturas de LLM y las defensas modernas.

1. Perspectivas Arquitectónicas: El estudio demuestra que los enfoques basados en RAG son altamente efectivos contra WAF basados en IA/ML al aprovechar conocimientos curados, mientras que el razonamiento basado en CoT proporciona estabilidad y corrección semántica. Ningún sistema supera universalmente a los demás; es necesaria una combinación de enfoques para una cobertura integral.
2. Sensibilidad de Parámetros: Los hallazgos desafían la noción de configuraciones de parámetros universales, mostrando que la temperatura y los umbrales de diversidad deben ajustarse empíricamente para cada modelo base específico.
3. Mito de la Diversidad: La investigación desafía la suposición predominante de que la diversidad de cargas útiles es el principal impulsor del éxito de la elusión de WAF, sugiriendo que la calidad del contexto inicial (semillas) y el mecanismo de razonamiento (CoT/RAG) son factores más críticos.
4. Directrices Prácticas: Los autores proporcionan directrices accionables para las pruebas de seguridad, recomendando el uso de RAG para WAF basados en IA/ML y CoT impulsado por semillas para tasas de elusión máximas, al tiempo que reconocen las limitaciones de los LLM actuales frente a sistemas estrictamente basados en reglas.

Los autores enfatizan que estos hallazgos son específicos de las configuraciones probadas y el momento (principios de 2026) y solicitan más investigación sobre otros tipos de ataques y dialectos de bases de datos. Todos los experimentos se realizaron en entornos aislados y autorizados para garantizar una divulgación responsable.