Riepilogo Tecnico: HELIOS - Astrazione Grafica Gerarchica per la Decompilazione di LLM Sensibile alla Struttura

Problema

La decompilazione binaria è un compito critico ma laborioso nel campo della sicurezza del software, essenziale per l'analisi dei malware, il triage delle vulnerabilità e la manutenzione di sistemi legacy. Sebbene i Large Language Models (LLM) siano stati applicati per automatizzare questo processo, gli approcci attuali soffrono di "cecità strutturale". I metodi esistenti trattano gli artefatti binari e l'output del decompiler come sequenze piatte e unidimensionali di token, ignorando i grafi di flusso di controllo (CFG) e i grafi delle chiamate di funzione (FCG) che governano il comportamento del programma.

Questa limitazione porta a output sintatticamente fragili e logicamente incoerenti, particolarmente quando si tratta di binari ottimizzati dove le trasformazioni del compilatore oscurano il flusso di controllo. Inoltre, i decompiler allo stato dell'arte sottoposti a fine-tuning spesso richiedono un addestramento specifico per l'architettura, limitando la loro generalizzabilità su diversi target hardware (ad esempio, x86, ARM, MIPS) e non riuscendo a produrre codice ricompilabile senza un sostanziale intervento manuale.

Metodologia: Il Framework HELIOS

Gli autori propongono HELIOS, un framework che inquadra la decompilazione basata su LLM come un compito di ragionamento strutturale consapevole del contesto piuttosto che una semplice traduzione da testo a testo. HELIOS opera senza effettuare il fine-tuning dell'LLM stesso, invece di potenziare modelli general-purpose con una rappresentazione testuale gerarchica delle proprietà strutturali del binario.

Componenti Core

1. Analisi Statica ed Estrazione delle Caratteristiche:
   Utilizzando un backend (implementato con Ghidra), HELIOS estrae gli artefatti per funzione, tra cui:

   • Pseudo-codice decompiler grezzo (simile al C).
   • Il Grafo di Flusso di Controllo (CFG) derivato dalla rappresentazione intermedia P-Code.
   • Il Grafo delle Chiamate di Funzione (FCG) limitato alla funzione corrente.
   • Metadati ausiliari (header dei loop, riferimenti a stringhe, costanti).

2. Generazione di Prompt Gerarchici:
   HELIOS converte questi artefatti in un prompt strutturato e multi-parte, progettato per imitare il processo analitico di un esperto umano. Il prompt è composto da quattro sezioni distinte:

   • [FUNCTION_CONTEXT]: Un riepilogo di alto livello che include firme di funzione, architettura e statistiche strutturali (es. conteggio dei blocchi, presenza di loop).
   • [CFG_OVERVIEW]: Una lista di adiacenza compatta che descrive i blocchi di base e i loro successori, mappando esplicitamente i percorsi di esecuzione senza dettagli sulle istruzioni a basso livello.
   • [BLOCK_DETAILS]: Un riepilogo blocco per blocco contenente istruzioni P-Code distillate e relazioni esplicite tra predecessori e successori, fungendo da base di evidenza semantica.
   • [RAW_DECOMPILED_CODE]: L'output originale e non modificato del decompiler per servire come baseline per il raffinamento.

3. Prompting e Regole Sensibili alla Struttura:
   Il framework impiega un prompt di sistema fisso contenente Regole Critiche derivate da un'analisi dei comuni fallimenti degli LLM. Queste regole vincolano il modello a:

   • Garantire che il flusso di controllo generato corrisponda strettamente al CFG fornito.
   • Evitare la reimplementazione di funzioni standard della libreria.
   • Prevenire l'introduzione di nuove variabili globali o discrepanze di tipo non supportate dall'evidenza strutturale.

4. Feedback Iterativo del Compilatore (Opzionale):
   Per migliorare ulteriormente la robustezza, HELIAS implementa un "compiler-in-the-loop". Se il codice generato non compila, le diagnosi del compilatore vengono aggiunte al prompt e l'LLM viene interrogato per correggere il codice mantenendo la coerenza con il CFG e i dettagli dei blocchi. Questo processo è limitato a un'iterazione per funzione per mantenere la prevedibilità dei costi.

Contributi Chiave

• Codifica Strutturale: Gli autori propongono un metodo per codificare il flusso di controllo binario, i grafi di chiamata e i pattern di alto livello (loop, condizionali) in un formato testuale gerarchico e compatto consumabile da LLM general-purpose.
• Framework HELIOS: L'istanza di questo metodo, che dimostra guadagni significativi in compilabilità e correttezza funzionale rispetto al prompting basato solo sul testo e ai decompiler specializzati sottoposti a fine-tuning, utilizzando solo un numero fisso di chiamate al modello.
• Generalizzazione Cross-Architettura: Il primo studio cross-architettura della decompilazione LLM sensibile alla struttura su sei set di istruzioni (x86_32/64, ARM_32, AArch64, MIPS_32/64). Lo studio dimostra che un singolo design di prompt può generalizzarsi su diversi hardware senza riaddestramento.

Risultati Sperimentali

Il framework è stato valutato sui dataset HumanEval-Decompile e MBPP-Decompile su sei architetture e molteplici livelli di ottimizzazione (-O0 a -O3).

• Compilabilità: Su x86_64, HELIOS ha elevato la compilabilità media dei file oggetto per Gemini 2.0 dal 45,0% all'85,2%, e per GPT-4.1 Mini dal 71,4% all'89,6%. Con il feedback del compilatore, queste cifre hanno superato il 94%.
• Correttezza Funzionale: HELIOS ha migliorato la correttezza funzionale fino a 5,6 punti percentuali rispetto al prompting basato solo sul testo. Per GPT-4.1 Mini su x86_64, la correttezza funzionale ha raggiunto il 55,9% con il feedback, superando modelli specializzati come LLM4Decompile (36,3%) e Nova (3,2%).
• Stabilità Cross-Architettura: A differenza dei baseline strutturalmente ciechi, che mostravano un'alta varianza nelle prestazioni tra le architetture (ad esempio, calando significativamente su MIPS), HELIAS ha mantenuto una compilabilità costantemente alta (>94% per GPT-4.1 Mini con feedback) e ha ridotto la dispersione nella correttezza funzionale tra x86, ARM e MIPS.
• Studio di Ablazione: Lo studio ha confermato che, sebbene i dati strutturali grezzi (CFG) forniscano un modesto incremento, le regole critiche sulle istruzioni sono il principale motore del miglioramento. Il feedback del compilatore ha ulteriormente raffinato l'output, spingendo la compilabilità verso la saturazione.

Significato e Rivendicazioni

Il paper sostiene che HELIAS dimostri un cambio di paradigma nell'applicazione degli LLM a domini ricchi di grafi come l'ingegneria inversa. Trattando l'LLM come un motore di ragionamento sensibile alla struttura piuttosto che un traduttore di testo, il framework ottiene:

1. Utilità Pratica: Produce codice ricompilabile e semanticamente fedele attraverso diversi target hardware senza la necessità di fine-tuning specifici per l'architettura, affrontando un importante collo di bottiglia nei flussi di lavoro di sicurezza.
2. Efficienza: L'approccio non richiede addestramento specifico per il compito e utilizza un numero minimo di chiamate al modello (al massimo due per funzione), rendendolo un elemento pratico per gli strumenti di reverse engineering esistenti.
3. Generalizzabilità: I risultati suggeriscono che l'ancoraggio strutturale esplicito può sostituire ampi corpora di addestramento specializzati, permettendo a modelli general-purpose di superare modelli specializzati in termini di correttezza funzionale, anche se mostrano una minore somiglianza testuale (edit distance) rispetto all'originale.

Gli autori concludono che per compiti che coinvolgono ricchi dati strutturali, la strategia più efficace è rendere esplicita la struttura sottostante, fornire regole per il ragionamento su di essa e utilizzare strumenti esterni per il feedback fondato, piuttosto che fare affidamento esclusivamente sui pesi del modello.