Résumé technique : Un cadre de détection de malwares piloté par la décompilation avec les modèles de langage de grande taille (LLM)

Énoncé du problème

Les méthodes traditionnelles de détection de malwares basées sur les signatures sont de plus en plus inefficaces contre les nouveaux variants de malwares utilisant l'obfuscation avancée, les transformations polymorphes et les vecteurs d'attaque inédits. Bien que l'intelligence artificielle (IA) et les modèles de langage de grande taille (LLM) aient montré des promesses dans la compréhension du code et l'analyse sémantique, leur application directe au code exécutable décompilé pour la classification de malwares reste une frontière sous-explorée. Des études précédentes reposent souvent sur des ensembles de données hypothétiques ou manquent d'applicabilité en conditions réelles, et les approches industrielles existantes manquent fréquemment de transparence méthodologique. En outre, il est crucial de déterminer si les LLM peuvent remplacer ou augmenter de manière robuste les logiciels antivirus traditionnels dans des environnements de production, particulièrement compte tenu de l'évolution rapide des schémas de codage malveillants.

Méthodologie

Les auteurs proposent un pipeline automatisé qui fait le pont entre l'analyse binaire de bas niveau et la compréhension sémantique de haut niveau en combinant des outils d'ingénierie inverse avec des LLM de pointe.

1. Pipeline de décompilation : Le système utilise le désassembleur Ghidra pour décompiler des binaires exécutables Windows en code C lisible par l'homme. Cette représentation intermédiaire sert d'entrée pour les LLM.
2. Construction du jeu de données :
   • Jeu de données de référence (Baseline) : Dérivé du livre Malware Data Science (2017), comprenant 240 échantillons de malwares de type « Backdoor » et 365 échantillons bénins. Un sous-ensemble a été sélectionné pour garantir que le texte décompilé ne dépasse pas les limites de jetons (tokens) des LLM.
   • Jeu de données contemporain : Compilé en 2025 à partir de Malware Bazaar, contenant 120 nouveaux échantillons de malwares répartis sur 49 familles (ex: LummaStealer, XWPM) et 28 pilotes système bénins. L'ensemble bénin a été intentionnellement sélectionné pour présenter des interactions de bas niveau avec le noyau de type « malware » afin de créer une frontière de classification complexe.
3. Stratégie de classification :
   • Ingénierie de prompt (Prompt Engineering) : Un prompt zero-shot standardisé a été conçu pour instruire le LLM d'agir en tant qu'expert en cybersécurité, d'analyser le code C pour identifier des fonctions/API suspectes, d'appliquer des règles (ex: YARA) et de produire un booléen JSON strict (True/False).
   • Évaluation des modèles : Plusieurs LLM « vanilla » (pré-entraînés) (Llama 3.3 70B, Codestral, Claude 3.7 Sonnet, Gemini 2.5 Pro) ont été évalués par rapport au jeu de données de référence.
   • Affinage (Fine-Tuning) : Le meilleur modèle vanilla (Gemini 2.5 Pro) a été soumis à un ajustement supervisé (fine-tuning) sur un sous-ensemble curaté de 200 échantillons (100 plus petits malwares, 100 plus petits échantillons bénins) via Google Cloud Vertex AI sur 40 époques.
4. Protocoles de sécurité : Toutes les analyses ont été menées dans des machines virtuelles isolées et déconnectées (air-gapped), avec un stockage chiffré et une réversion par instantanés (snapshots) pour empêcher la propagation de malwares.

Résultats clés

L'évaluation a comparé les LLM vanilla, un LLM affiné (fine-tuned) et un classificateur XGBoost traditionnel entraîné sur des caractéristiques d'analyse statique.

• Performance des LLM Vanilla : Sur les données de référence de 2017, les LLM vanilla ont montré un certain potentiel mais se sont révélés incohérents. Gemini 2.5 Pro est apparu comme le candidat le plus fort avec 80,1 % de précision, surpassant les autres LLM mais restant derrière le classificateur XGBoost, qui a atteint 98,5 % de précision sur ce même jeu de données connues.
• Impact de l'affinage (Fine-Tuning) : Lorsqu'il a été évalué sur le jeu de données contemporain de 2025, le modèle Gemini 2.5 Pro affiné a nettement surpassé son homologue vanilla et le modèle XGBoost traditionnel.
  • LLM affiné : A atteint 83,2 % de précision (accuracy), 94,4 % de précision (precision) et 84,2 % de rappel (recall).
  • LLM Vanilla : Est tombé à 64,2 % de précision (accuracy) sur les nouvelles données.
  • Classificateur XGBoost : Sa performance s'est considérablement dégradée pour atteindre 74,3 % de précision (accuracy), soulignant la fragilité des modèles traditionnels face à des menaces évolutives absentes de leurs données d'entraînement.
• Généralisation : L'étude démontre que si les LLM vanilla peinent face aux nouvelles menaces, un modèle spécialisé et affiné peut mieux généraliser que les méthodes traditionnelles d'analyse statique face aux familles de malwares émergentes.

Signification et affirmations

L'article soutient que l'analyse pilotée par la décompilation représente une nouvelle frontière viable pour la détection automatisée des menaces, à condition que des conditions spécifiques soient remplies :

1. Nécessité de l'affinage (Fine-Tuning) : La principale contribution est la démonstration que l'affinage sur des données spécifiques au domaine et curatées est essentiel. Les modèles vanilla, malgré leur compréhension générale du code, ne sont pas assez robustes pour remplacer les logiciels antivirus traditionnels sans un entraînement spécialisé.
2. Adaptabilité vs Fragilité : Les résultats mettent en évidence un compromis critique : les modèles d'apprentissage automatique traditionnels (comme XGBoost) sont très précis sur les données connues mais fragiles face aux nouvelles menaces, tandis que les LLM affinés offrent une meilleure adaptabilité aux schémas et comportements de codage évolutifs.
3. Exigence d'évolution continue : L'article affirme explicitement que même les modèles spécialisés se dégradent lorsqu'ils rencontrent des malwares plus récents. Par conséquent, maintenir l'efficacité du modèle nécessite un affinage continu avec les menaces émergentes pour suivre le rythme des changements de comportements malveillants.
4. Déploiement pratique : En utilisant des échantillons de malwares authentiques et en traitant les contraintes de limite de jetons par la sélection d'échantillons, ce travail dépasse les scénarios hypothétiques pour démontrer une applicabilité pratique dans des contextes pertinents pour la production.

Les auteurs concluent que, bien que les LLM ne soient pas encore un remplacement complet des piles de sécurité existantes, ils offrent une couche de détection puissante et adaptable qui, combinée à un réentraînement continu, peut répondre aux limites des méthodes de détection basées sur les signatures et l'analyse statique. Les travaux futurs suggèrent d'intégrer des traces d'exécution dynamique et d'explorer le pré-entraînement spécifique au domaine pour améliorer davantage la fiabilité et l'explicabilité.