Resumen Técnico: Agujas a Escala

Planteamiento del Problema

El cuello de botella principal en la investigación moderna de vulnerabilidades para sistemas operativos de código cerrado no es el análisis de funciones individuales, sino la selección de objetivos. Una imagen moderna de Windows contiene millones de funciones (el "pajar"), pero solo una fracción minúscula es relevante para clases de vulnerabilidades específicas. Aunque las herramientas de análisis (ejecución simbólica, fuzzers, agentes de LLM) han avanzado, siguen siendo intensivas en recursos. Un agente de LLM, por ejemplo, desperdicia costosos contextos de ventana analizando código irrelevante (como el arranque del C-runtime) si no se le orienta hacia la función correcta. El artículo argumenta que el campo debe cambiar de la pregunta "¿podemos analizar esta función?" a "¿qué funciones de los millones disponibles deberíamos analizar a continuación?". Este proceso de selección se basa actualmente en la intuición, la reputación y búsquedas simples de grep, careciendo de un sustrato de priorización sistemático y escalable para alcances de todo un sistema operativo.

Metodología: Simbolicar-Enriquecer-Muestrear

Los autores proponen Simbolicar-Enriquecer-Muestrear (Symbolicate-Enrich-Sample), un flujo de trabajo por lotes de tres etapas diseñado para transformar un corpus de binarios de producción de Windows en una cola de investigación clasificada por prioridad. El flujo de trabajo está diseñado para ser de bajo costo y reproducible, operando sobre la imagen completa de Windows sin requerir acceso al código fuente privado.

1. Simbolicar

Esta etapa aborda la falta de símbolos en binarios de producción sin depurar (archivos PE).

• Mecanismo: El flujo de trabajo analiza el registro CodeView (RSDS) dentro de cada binario para extraer el GUID y la edad del PDB (Program Database). Construye una URL canónica al servidor de símbolos público de Microsoft, descarga el PDB correspondiente y lo almacena en caché.
• Recuperación: Un paso de descompilación recupera el conjunto de funciones y el grafo de llamadas interprocedimentales. El flujo de trabajo luego une los nombres de funciones públicos del PDB con las direcciones de funciones recuperadas.
• Resolución de API: Un catálogo de aproximadamente 20,000 prototipos de Win32/WDK se une a las importaciones llamadas para recuperar los prototipos de los callee para los sitios de llamada.
• Salida: Un grafo de llamadas nombrado. Las funciones sin nombres públicos permanecen como entradas sintéticas sub_<addr> y se excluyen de la etapa de enriquecimiento posterior.

2. Enriquecer

Esta etapa adjunta características estructurales deterministas y etiquetas generadas por LLM a cada función nombrada.

• Características Deterministas: Para cada función, el sistema computa:
  • Estado de exportación.
  • Recuentos de llamadores/llamados (caller/callee) y nombres de los principales llamadores/llamados.
  • Presencia de APIs relevantes para el riesgo (sumideros de copia/escritura como memcpy, RtlCopy*, asignadores de memoria pool, sondas de punteros de usuario).
  • Conteo de bloques básicos y tamaño.
  • Profundidad de alcance de búsqueda en anchura desde los puntos de entrada (exportaciones, rutinas de despacho).
• Etiquetado por LLM: Un LLM de bajo costo recibe como prompt el nombre de la función, los prototipos de los callee recuperados y las características deterministas. Se le instruye para razonar a partir de estas características (no solo del nombre) para producir:
  • Nivel de Alcance (Reachability Tier): (Remoto, IPC local, usuario local, solo administrador, interno del kernel, interno de la librería).
  • Nivel de Riesgo: (Crítico, alto, medio, bajo, información).
  • Hipótesis de Clase de Error (Bug-class Hypothesis) y Justificación.
• Optimación: Las funciones que coinciden con patrones conocidos de tiempo de ejecución o auxiliares de CRT se filtran por regla (se fuerzan a interno de la librería/información) para evitar llamadas innecesarias al modelo. El modelo solo ve un resumen estructurado compacto, nunca bytes descompilados en bruto.

3. Muestrear

Esta etapa convierte el corpus enriquecido en una cola diversificada y priorizada.

• Puntuación: Se calcula una puntuación de prioridad utilizando una fórmula heurística: prioridad = w_alcance · w_riesgo · w_confianza · bono. El término de bono premia la evidencia determinista (por ejemplo, llamar a un sumidero de copia, ser exportado) y penaliza los stubs triviales.
• Estrategia de Muestreo: Un muestreador de importancia ponderado por prioridad (usando un algoritmo de reservorio ponderado) extrae funciones sin reemplazo. Esto asegura que una sesión de investigación cubra el espacio de alto valor con diversidad en lugar de devolver repetidamente los mismos resultados top-k.
• Flexibilidad: El sistema soporta diferentes regímenes: barridos amplios "estilo fuzzing" (extracción ponderada) o trabajo dirigido por hipótesis (filtros estrictos con selección top-N).

Resultados Clave y Evaluación

El flujo de trabajo se aplicó a un corpus de 5,888 binarios firmados de Windows 11 x86-64 (build 10.0.26100), recuperando 7,231,419 funciones.

• Recuperación de Símbolos: El 76.8% de las funciones recuperadas (5,553,074) recibieron nombres de PDB públicos y fueron enriquecidas. El 23.2% restante fueron stubs sin nombre excluidos del enriquecimiento.
• Selectividad: El proceso de etiquetado es altamente conservador.
  • Solo el 0.18% de las funciones fueron etiquetadas como críticas.
  • Solo el 1.83% fueron etiquetadas como de cara remota.
  • La mayoría de las funciones fueron degradadas correctamente a interno de la librería o información (por ejemplo, maquinaria de excepciones de C++, boilerplate).
• El Embudo: Al apilar las etiquetas del modelo con filtros deterministas (Riesgo: alto/crítico Y Alcance: remoto/IPC local Y llama a una primitiva de memoria insegura), el espacio de búsqueda se reduce aproximadamente en 2.5 órdenes de magnitud, de 7.23 millones de funciones a una lista corta de ~22,000 funciones.
• Modos de Fallo: Los autores identificaron dos debilidades sistemáticas en el nivel superior:
  1. Sobre-alcance (Over-reach): Asignar clases de errores específicas (por ejemplo, use-after-free) a funciones que carecen de los vectores de características necesarios (por ejemplo, sin un sumidero de copia/escritura).
  2. Inflación de Alcance: Etiquetar funciones de tipo parser profundo como remotas incluso cuando la profundidad del grafo de llamadas sugiere lo contrario.
     Mitigación: Las guardas simples (por ejemplo, prohibir etiquetas concretas de clase de copia sin un sumidero correspondiente) pueden mitigar el primer modo de fallo sin volver a ejecutar el modelo.

Significancia y Reivindicaciones

El artículo enmarca explícitamente su contribución como un sustrato de selección, no como un detector de errores. No pretende haber descubierto nuevas vulnerabilidades. En su lugar, proporciona la capa de priorización sobre la cual un detector descendente o un agente de LLM debería ejecutarse.

• Escalabilidad: Demuestra que la investigación de vulnerabilidades de todo el SO es factible a la escala de millones de funciones utilizando LLMs de bajo costo, siempre que el LLM esté fundamentado en características estructurales deterministas en lugar de código en bruto.
• Cambio Metodológico: Replantea la investigación de vulnerabilidades de un problema de análisis puro a un problema de recuperación de información y clasificación de candidatos.
• Política de Datos: Los autores retienen el conjunto de datos derivado (anotaciones a nivel de función) por razones legales (derechos de autor de los binarios de Microsoft) y preocupaciones de doble uso (proporcionar un mapa de superficie de ataque clasificado podría ayudar a los atacantes). Sin embargo, la metodología es totalmente reproducible utilizando binarios de Windows y servidores de símbolos disponibles públicamente.

El artículo concluye que, si bien la lista corta mejora la tractabilidad del problema, la pregunta central sigue siendo si esta lista corta priorizada realmente mejora el rendimiento de la detección de errores reales en comparación con una búsqueda no informada, una pregunta que queda para trabajos futuros que involucren bucles de calibración y verificación humano-en-el-bucle.