Resumen Técnico: DECAF - Mejora de la Descompilación Neural con Retroalimentación Automática y Búsqueda

1. Declaración del Problema

La descompilación es el proceso de traducir código ensamblador de bajo nivel de nuevo a código fuente de alto nivel. Aunque los descompiladores tradicionales (por ejemplo, Ghidra, Hex-Rays) emplean análisis de programas sofisticados para recuperar variables y flujo de control, a menudo fallan al reconstruir sintaxis idiomática, nombres de identificadores significativos y tipos de datos personalizados. Por el contrario, los modelos recientes de descompilación neural, particularmente aquellos basados en Modelos de Lenguaje Grandes (LLM), sobresalen en la generación de código legible e idiomático pero sufren de "alucinaciones". Estos modelos frecuentemente producen código semánticamente incorrecto, omiten lógica crítica (como condiciones de interrupción) o generan código que no se compila o ejecuta correctamente.

El desafío central abordado por este artículo es la compensación entre la idiomaticidad (legibilidad y estructura) y la corrección funcional (equivalencia semántica con el binario original). Los enfoques neuronales existentes típicamente generan una única salida candidata, dejando sin explotar el potencial de soluciones correctas si la primera suposición del modelo es defectuosa. Además, verificar la corrección del código descompilado es un problema indecidible en el caso general, lo que dificulta seleccionar automáticamente la mejor candidata de un conjunto de posibilidades.

2. Metodología

Los autores proponen DECAF (Descompilación con Retroalimentación Automatizada), un sistema que mejora la descompilación neural generando múltiples candidatos de descompilación y seleccionando automáticamente el más prometedor utilizando retroalimentación del compilador y un reordenador neural entrenado.

2.1. La Tubería de DECAF

El sistema opera en tres etapas principales:

1. Descompilación Inicial: Un descompilador tradicional (Ghidra) procesa el binario objetivo para producir una representación inicial, a menudo no idiomática, similar a C.
2. Generación de Candidatos: Esta salida se alimenta en un modelo generador neural (un LLM). En lugar de una única inferencia, el sistema utiliza muestreo por temperatura para generar un conjunto diverso de $N$ candidatos de descompilación (por ejemplo, $N=32$).
3. Retroalimentación Automática y Reordenamiento:
   • Filtro de Compilación: Cada candidato se compila (por ejemplo, usando gcc -c). Los candidatos que fallan al compilar se descartan.
   • Reordenamiento: Los candidatos restantes se evalúan frente al binario original. Los autores proponen tres estrategias de reordenamiento:
     • Probabilidad Logarítmica: Clasificación basada en la probabilidad logarítmica normalizada del modelo generador.
     • Distancia de Bytes: Compilar el candidato y calcular una distancia de Levenshtein modificada entre los bytes binarios del candidato y los bytes del binario original. Esta distancia cuenta con artefactos de reubicación tratando desplazamientos específicos como comodines.
     • Reordenador Neural: Un LLM dedicado (Decaf-ReRanker) entrenado para predecir la probabilidad de que dos secuencias de ensamblaje (el original y el candidato recompilado) sean funcionalmente equivalentes.

2.2. Datos y Entrenamiento

• Modelo Generador: Los autores ajustaron finamente LLM4Decompile-Ref-22b-v2 (22 mil millones de parámetros) en el conjunto de datos EXEBENCH. Introdujeron supervisión consciente de tipos, entrenando al modelo para generar las declaraciones #include, declaraciones adelantadas y definiciones de tipos necesarias para asegurar que la salida sea compilable. También entrenaron modelos en binarios despojados para simular escenarios de ingeniería inversa del mundo real.
• Modelo Reordenador: Un modelo de 32 mil millones de parámetros (QWEN3-32B) fue entrenado para distinguir entre pares de ensamblaje funcionalmente equivalentes y no equivalentes. Los datos de entrenamiento se construyeron generando múltiples candidatos, ejecutándolos contra casos de prueba y emparejando ejecuciones exitosas (positivas) con fallos o discrepancias (negativas).
• Recuperación de Vulnerabilidades: Para experimentos específicos, los autores utilizaron el Conjunto de Pruebas Juliet para evaluar la capacidad del sistema de recuperar código que contiene vulnerabilidades conocidas (clases CWE) a partir de binarios despojados.

3. Contribuciones Clave

1. Sistema DECAF: Un marco novedoso que combina la generación neural con retroalimentación del compilador y búsqueda (muestreo de múltiples candidatos) para resolver la compensación entre legibilidad y corrección.
2. Decaf-Gen-22b: Un nuevo modelo generador LLM que supera a los descompiladores neuronales existentes de última generación (incluyendo LLM4Decompile e Idioms-Gemma-7b) en precisión funcional y coincidencia byte a byte, particularmente cuando se entrena con supervisión consciente de tipos y entradas de binarios despojados.
3. Decaf-ReRanker-32b: Un modelo reordenador especializado que identifica efectivamente descompilaciones funcionalmente correctas de un grupo de candidatos, superando significativamente a las heurísticas simples de probabilidad logarítmica o distancia de bytes en muchos escenarios.
4. Perspectiva Metodológica: La demostración de que muestrear múltiples candidatos (por ejemplo, 32) aumenta drásticamente la probabilidad de encontrar una solución funcionalmente correcta (elevando el límite superior de ~60% a ~88% en algunas divisiones), siempre que exista un mecanismo de reordenamiento efectivo.
5. Generalizabilidad: Evidencia de que la metodología de reordenamiento puede amplificar modelos más débiles (por ejemplo, aplicar el reordenador DECAF a las salidas de LLM4Decompile produce ganancias significativas).

4. Resultados Experimentales

Los autores evaluaron su enfoque en el conjunto de datos EXEBENCH a través de varias divisiones (Real/Sintético, Despojado/No Despojado, -O0/-O2).

• Corrección Funcional: En la división Despojado REAL -O2, DECAF logró una tasa de corrección funcional del 83.9% con reordenamiento, en comparación con el 26.0% del mejor modelo neural anterior (Idioms-Gemma-7b) y el 59.1% para el generador solo (muestra única).
• Coincidencia Byte a Byte: DECAF logró una coincidencia exacta byte a byte del 70.9% en la misma división, superando significativamente al 19.1% de Idioms-Gemma-7b.
• Similitud con el Origen: Contrario a la intuición de que optimizar para la corrección podría reducir la legibilidad, los autores encontraron que el reordenamiento para la corrección funcional generalmente mejoró la similitud (menor Distancia de Edición) con el código fuente original.
• Recuperación de Vulnerabilidades: En el conjunto de pruebas Juliet, DECAF logró una puntuación F1 de 29.8% para la recuperación de vulnerabilidades, superando sustancialmente a Ghidra (1.7%) y demostrando una alta precisión (95.5%).
• Robustez: Cuando se probó con un compilador diferente (Clang) para la retroalimentación que el utilizado para la generación (GCC), el rendimiento del reordenador neural disminuyó en divisiones no despojadas debido al cambio de distribución, destacando una dependencia de la diversidad de los datos de entrenamiento.

5. Significado y Afirmaciones

El artículo argumenta que las limitaciones de los descompiladores neuronales actuales no se deben únicamente a una falta de datos o tamaño del modelo, sino más bien a la falta de verificación y búsqueda. Al tratar la descompilación como un problema de búsqueda donde se generan múltiples candidatos y se filtran mediante retroalimentación del compilador, el sistema puede recuperar código fuente de alta calidad que sea tanto legible como semánticamente correcto.

Los autores afirman que DECAF representa un avance significativo en el estado del arte para la descompilación neural, yendo más allá del paradigma de la "mejor suposición única". Enfatizan que su enfoque es general y puede aplicarse para amplificar cualquier descompilador neural capaz de producir candidatos diversos. El trabajo también destaca la utilidad práctica de estos métodos en tareas de seguridad, como la recuperación de vulnerabilidades a partir de binarios despojados, donde las herramientas tradicionales a menudo fallan en proporcionar código de alto nivel accionable.

Los autores reconocen limitaciones, incluida la dependencia del acceso a la configuración del compilador de referencia para la coincidencia byte a byte y los desafíos de generalizar a diferentes arquitecturas de compiladores (por ejemplo, Clang frente a GCC) sin entrenamiento específico. Concluyen que el trabajo futuro debe centrarse en entrenar reordenadores en configuraciones de compiladores más diversas y explorar el aprendizaje por refuerzo para el refinamiento iterativo.