💻 computer science

AsmRAG: LLM-Driven Malware Detection by Retrieving Functionally Similar Assembly Code

AsmRAG est un nouveau cadre de détection de malwares utilisant la génération augmentée par récupération (RAG) au niveau de l'assembleur pour fournir une analyse basée sur des preuves sémantiques, offrant ainsi une meilleure interprétabilité et une robustesse accrue contre l'obfuscation par rapport aux classifieurs traditionnels.

Auteurs originaux : ElMouatez Billah Karbab

Publié 2026-04-28

📖 4 min de lecture☕ Lecture pause café

CC BY 4.0

Auteurs originaux : ElMouatez Billah Karbab

Article original sous licence CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Ceci est une explication générée par l'IA de l'article ci-dessous. Elle n'a pas été rédigée ni approuvée par les auteurs. Pour une précision technique, consultez l'article original. Lire la clause de non-responsabilité complète

Le Problème : Le "Détecteur de Mensonges" aveugle

Imaginez que vous soyez un garde de sécurité à l'entrée d'un club très sélect. Pour décider qui entre, vous utilisez une machine ultra-moderne. Cette machine est très efficace : elle scanne les gens et dit : "Ce monsieur est un voleur à 99 %" ou "Cette dame est honnête à 98 %".

Le problème ? La machine ne vous dit jamais pourquoi. Elle ne vous montre pas l'arme cachée, elle ne vous montre pas le faux portefeuille. Elle vous donne juste un score. Si un voleur très malin arrive avec un costume de clown et des chaussures géantes pour tromper la machine, celle-ci risque de dire : "Il a l'air bizarre, donc il est honnête". C'est ce qu'on appelle l'effet "Boîte Noire".

En informatique, les antivirus actuels fonctionnent comme ça. Ils regardent l'apparence générale d'un fichier (son "costume") et donnent un score de dangerosité. Mais les pirates sont des costumiers de génie : ils ajoutent du code inutile ou changent l'apparence du fichier pour que la machine ne reconnaisse plus le "voleur".

La Solution : AsmRAG, l'Enquêteur de l'ADN

Les chercheurs ont créé AsmRAG. Au lieu de regarder le "costume" du fichier, AsmRAG regarde son ADN (ce qu'on appelle le code Assembly).

Voici comment il fonctionne, avec trois étapes simples :

1. La Bibliothèque des "Empreintes Criminelles" (Le RAG)

Au lieu de simplement essayer de deviner si un fichier est mauvais, AsmRAG possède une immense bibliothèque numérique. Cette bibliothèque contient des milliers de petits morceaux de code (des fonctions) qui ont été prouvés comme étant malveillants par le passé. C'est comme si le garde de sécurité avait un catalogue de toutes les empreintes digitales et de tous les modes opératoires de criminels connus.

2. La recherche de l'élément suspect (L'Analyse Sémantique)

Quand un nouveau fichier arrive, AsmRAG ne regarde pas sa taille ou sa couleur. Il le découpe en minuscules morceaux de logique.

L'astuce magique : Même si un pirate change les noms des variables ou ajoute des étapes inutiles (comme mettre des chaussettes par-dessus ses chaussures pour ne pas être reconnu), la logique profonde reste la même.
AsmRAG utilise une Intelligence Artificielle très intelligente qui comprend le sens de l'action. Si le code dit "Prends cette clé, tourne-la à gauche, puis ouvre la porte", AsmRAG comprend l'intention, peu importe si le pirate a ajouté "Saute une fois" entre chaque étape.

3. Le Rapport d'Expert (L'Explication Générative)

C'est là que la révolution a lieu. Une fois qu'AsmRAG a trouvé un morceau de code suspect, il ne se contente pas de crier "C'est un virus !". Il prend une plume et écrit un rapport pour l'analyste humain :

"Attention, ce fichier est dangereux. J'ai trouvé dans sa structure un morceau de code qui ressemble à 95 % à la méthode de vol utilisée par la famille de virus 'Ramnit'. Ce morceau sert précisément à voler vos mots de passe en utilisant une technique de calcul très spécifique."

En résumé : Pourquoi est-ce une révolution ?

Il est difficile à tromper : Comme il cherche le "sens" des actions et non l'apparence, les déguisements des pirates (l'obfuscation) ne fonctionnent presque plus.
Il est transparent : Il ne donne pas juste un score, il donne une preuve. Il montre le coupable et explique son crime.
Il apprend en continu : Dès qu'un expert humain confirme qu'un nouveau type de virus a été trouvé, AsmRAG l'ajoute instantanément à sa bibliothèque. C'est comme si le garde de sécurité apprenait un nouveau visage de criminel en une seconde.

En une phrase : AsmRAG passe d'un simple détecteur de formes à un véritable détective capable de comprendre l'intention derrière chaque ligne de code.

Résumé Technique : AsmRAG

Détection de malwares pilotée par LLM via la récupération de code assembleur fonctionnellement similaire

1. Problématique (Le Problème)

Les détecteurs de malwares basés sur le Deep Learning actuel (ex: EMBER, ResNeXt) souffrent de deux lacunes majeures :

Manque d'interprétabilité (Effet "Boîte Noire") : Ces modèles fournissent des verdicts probabilistes (ex: "99% de probabilité de malware") sans fournir de contexte forensique. Les analystes de SOC (Security Operations Center) ne savent pas pourquoi un fichier est jugé malveillant.
Fragilité face à l'obfuscation : Les modèles basés sur des statistiques globales (entropie, histogrammes d'opcodes) sont facilement trompés par des techniques d'obfuscation syntaxique (insertion de code mort, permutation de registres, changement de constantes) qui modifient l'apparence du fichier sans en changer la logique malveillante.

2. Méthodologie (L'Approche AsmRAG)

L'auteur propose de passer d'une classification fermée (basée sur des statistiques) à une récupération basée sur des preuves (basée sur la sémantique). Le framework repose sur une architecture de Génération Augmentée par Récupération (RAG) appliquée au code assembleur.

Le processus se décompose en trois étapes :

A. Construction de la base de connaissances (Knowledge Base)

Extraction et Filtrage Sémantique : Le système désassemble les binaires et extrait les fonctions. Pour éviter que le code "boilerplate" (bibliothèques standards comme glibc ou openssl) ne pollue la détection, AsmRAG utilise un mécanisme de Semantic Library Filtering. Au lieu d'utiliser des hashs (fragiles), il compare les vecteurs sémantiques des fonctions à une base de bibliothèques connues.
Encodage Sémantique : Les fonctions sont converties en vecteurs (embeddings) de haute dimension via un LLM spécialisé dans le code (Qwen3-Embedding). Ce modèle est capable de mapper des fonctions syntaxiquement différentes mais logiquement identiques vers des coordonnées proches dans l'espace vectoriel.

B. Analyse basée sur les preuves (Inférence)

Vote pondéré par la densité (Density-Weighted Voting) : Pour chaque fonction suspecte, le système effectue une recherche de voisins proches (ANN) dans la base de connaissances. Une fonction est jugée malveillante si elle se trouve dans une zone de haute densité de fonctions malveillantes connues.
Sélection de la "Fonction Ancre" (Anchor Function) : Au lieu d'analyser tout le binaire, le système identifie la fonction la plus représentative de la menace (l'ancre $q^*$ ) en calculant sa proximité sémantique avec la famille de malware suspectée.

C. Génération d'explications (Reporting)

RAG Génératif : Une fois l'ancre et sa preuve ( $v_{proof}$ ) identifiées, un LLM (GPT-OSS) génère une explication en langage naturel. Il compare l'ancre et la preuve pour expliquer la logique fonctionnelle (ex: "Cette fonction est un variant de la famille X car elle implémente un algorithme de hachage ROR-13 identique, malgré l'utilisation de registres différents").

3. Contributions Clés

Architecture RAG pour l'assembleur : Premier cadre appliquant le RAG au niveau des fonctions assembleur pour ancrer la détection dans des preuves atomiques.
Stratégie d'encodage résiliente au bruit : Utilisation d'une "canonicalisation minimale" qui préserve les constantes et les registres, permettant de capturer l'intention logique plutôt que la simple syntaxe.
Mécanisme d'attribution par densité : Un système de scoring qui isole la logique malveillante au milieu du code sain, résistant ainsi aux attaques de "dilution de code".
Boucle d'apprentissage actif (Active Learning) : Les détections confirmées par les analystes sont réinjectées dans la base de connaissances, permettant au système d'évoluer sans réentraînement complet du modèle.

4. Résultats Expérimentaux

Les tests ont été menés sur un dataset de 40 814 binaires couvrant 17 familles de malwares.

Performance de détection : AsmRAG atteint un F1-score de 96% pour la détection et 95% pour l'attribution de la famille.
Robustesse : Contrairement aux modèles EMBER et ResNeXt qui voient leurs performances chuter lors de recompilations agressives (optimisation -O3), AsmRAG maintient une stabilité remarquable (dégradation de seulement ~2.9% contre ~18% pour EMBER).
Qualité des explications : Les audits montrent un taux de "hallucination" extrêmement faible (2.6%), avec des explications hautement fidèles à la réalité du code.

5. Signification et Impact

AsmRAG marque un changement de paradigme dans la cybersécurité :

De la probabilité à la preuve : Il transforme la détection d'une estimation statistique opaque en une analyse forensique explicable.
Résilience sémantique : Il prouve que l'utilisation de LLM pour l'encodage sémantique permet de surmonter les techniques d'obfuscation qui neutralisent les outils de détection traditionnels.
Efficacité opérationnelle : En fournissant des explications ciblées sur les fonctions critiques, il réduit la fatigue des analystes et accélère la réponse aux incidents.