Résumé technique : Exploiter le découpage de code pour la détection de paquets NPM malveillants basée sur les LLM

Problématique

L'écosystème npm est de plus en plus ciblé par des attaques sophistiquées de la chaîne d'approvisionnement logicielle qui utilisent l'obfuscation et une logique complexe pour échapper à la détection. Bien que les modèles de langage de grande taille (LLM) offrent une compréhension sémantique supérieure pour l'analyse de code par rapport aux méthodes traditionnelles basées sur des règles ou l'apprentissage automatique, ils sont confrontés à des contraintes pratiques significatives. Plus précisément, les fenêtres de contexte des LLM standards (typiquement 4K–1K tokens) sont souvent insuffisantes pour analyser des paquets npm entiers, qui peuvent contenir des millions de tokens. Les approches naïves, telles que le fractionnement du code en blocs de taille fixe, fragmentent le contexte sémantique et dégradent la précision de la détection. De plus, l'analyse d'un paquet complet entraîne des coûts d'inférence et une latence prohibitifs, rendant la surveillance en temps réel du registre irréalisable.

Méthodologie

Le document propose un cadre basé sur les LLM qui intègre des techniques de découpage de code (code-slicing) pour isoler les flux de données pertinents pour la sécurité du code de base (boilerplate) bénin avant de soumettre le code à un LLM. La méthodologie se compose de trois étapes principales :

1. Extraction de code sensible (Slicing) :
   Les auteurs adaptent le découpage basé sur le taint (propagation de données) pour l'écosystème npm en utilisant le framework Joern pour générer des graphes de propriétés de code (CPG). Ils introduisent un inventaire curaté, spécifique à JavaScript, d'API sensibles classées en trois rôles :

   • Sources : Entrées de données non fiables (ex: process.env, os.userInfo).
   • Sinks (Puits) : Points d'exécution critiques (ex: child_process.exec, eval, Buffer.from(..., 'base64')).
   • Dual : API agissant à la fois comme sources et sinks (ex: opérations sur les fichiers, communication réseau).

   Deux stratégies de découpage sont implémentées et comparées :

   • Découpage statique (Static Slicing) : Utilise la réachabilité ascendante du graphe de flux de contrôle (CFG) pour capturer de larges dépendances de contrôle.
   • Découpage basé sur le taint (Taint-based Slicing) : Trace les chemins de flux de données depuis des sources non fiables vers des sinks critiques en utilisant des graphes de dépendance de données (DDG) et des CPG. Cette approche cible spécifiquement les flux pertinents pour la sécurité, filtrant ainsi les appels d'API incidents.

   Un délai d'attente strict de trois minutes est imposé par paquet pour garantir l'évolutivité. Les paquets produisant des tranches vides (souvent dus à la génération de code dynamique ou à l'obfuscation) sont exclus du pipeline d'analyse statique.

2. Notation par LLM :
   Les tranches extraites sont transmises à DeepSeek-Coder-6.7B, sélectionné pour sa forte compréhension du code, sa fenêtre de contexte de 16K tokens et sa capacité à produire des sorties JSON strictement analysables. Le modèle est sollicité avec un persona d'analyse statique pour évaluer chaque tranche pour une intention malveillante, retournant un objet JSON avec un score de confiance, un flag d'obfuscation et un score de risque de sécurité ($S \in [0, 1]$).

3. Agrégation :
   Pour déterminer la classification finale du paquet, une stratégie d'agrégation conservatrice est employée. Le score de malveillance maximal parmi toutes les tranches d'un paquet est utilisé comme indicateur. Un paquet est classé comme malveillant si son score dépasse un seuil $\tau = 0,8$.

Principales contributions

Le document présente trois contributions spécifiques :

1. Adaptation des stratégies de découpage : Les auteurs adaptent et évaluent deux stratégies de découpage de code (basées sur le CFG statique et sur le taint) spécifiquement pour l'écosystème npm, en utilisant Joern et une taxonomie d'API personnalisée spécifique à JavaScript.
2. Quantification de la réduction de contexte : L'étude quantifie la réduction de la taille du contexte et la préservation des informations pertinentes pour la sécurité. Le découpage basé sur le taint réduit le nombre moyen de tokens d'entrée de 99,75 % et la médiane de 93,7 % tout en préservant les comportements malveillants critiques.
3. Évaluation des performances : Le framework est évalué sur un ensemble de plus de 7 000 paquets (filtrés à 2 537 aptes à l'analyse statique). Les résultats démontrent que les représentations d'entrée ciblées sémantiquement améliorent significativement les performances de détection des LLM par rapport au fractionnement de tokens naïf et au découpage basé uniquement sur le CFG statique.

Résultats

Évalué sur un sous-ensemble de 2 537 paquets avec DeepSeek-Coder-6.7B, l'approche de Découpage basé sur le taint a obtenu les métriques de performance suivantes :

• Précision (Accuracy) : 87,04 %
• Précision (Precision) : 96,23 %
• Rappel (Recall) : 72,90 %
• Score F1 : 83,32 %

Ces résultats ont surpassé à la fois la ligne de base du Fractionnement de tokens naïf (75,41 % de précision, 67,80 % de F1) et l'approche de Découage basé uniquement sur le CFG statique (75,65 % de précision, 74,21 % de F1).

En termes de préservation de l'information, le découpage basé sur le taint a conservé 73,7 % des caractéristiques d'API sensibles dans les paquets malveillants tout en filtrant environ 90 % des segments de code bénins. En revanche, le découpage statique n'a conservé que 73,4 % des caractéristiques malveillantes mais a gardé nettement plus de bruit bénin (15,9 % des caractéristiques sensibles dans les paquets bénins contre 9,4 % pour le découpage basé sur le taint).

Signification et limites

Le document affirme que cette approche constitue une défense efficace et pratiquement calculable contre les menaces évolutives de la chaîne d'approvisionnement en permettant aux LLM de se concentrer sur des signaux sémantiques à haute densité plutôt que de traiter de vastes quantités de code non pertinent. La réduction significative du nombre de tokens (passant d'une moyenne de ~162k à ~403) rend l'analyse en temps réel ou quasi réelle réalisable sur du matériel standard (deux GPU RTX 3080).

Cependant, les auteurs reconnaissent explicitement plusieurs limites :

• Biais de survie : La précision rapportée ne s'applique qu'aux paquets ayant produit des tranches non vides. Environ 44 % des paquets malveillants de l'ensemble de données ont produit des tranches vides, principalement en raison de la génération de code dynamique (ex: eval, Function()) ou de l'obfuscation qui brise l'analyse statique des flux de données.
• Dépendance aux API prédéfinies : Le framework repose sur une liste curatée d'API sensibles. Il peut échouer à détecter de nouveaux vecteurs d'attaque exploitant des primitives Node.js auparavant inconnues ou des chaînes d'appels indirects non présents dans l'inventaire.
• Obfuscation : L'approche statique actuelle ne peut pas gérer les paquets fortement obscurcis sans une étape de prétraitement de désobfuscation.

Les auteurs concluent que, bien que la méthode améliore significativement les performances de détection par rapport aux lignes de base, les travaux futurs devront aborder la désobfuscation, l'intégration de l'analyse dynamique et l'expansion de l'inventaire d'API pour faire face à des techniques d'évasion plus sophistiquées.