Technische Samenvatting: HELIOS - Hiërarchische Graafabstractie voor Structuurbewuste LLM-Decompilatie

Probleemstelling

Binaire decompilatie is een cruciale maar arbeidsintensieve taak binnen softwarebeveiliging, essentieel voor malware-analyse, kwetsbaarheidsanalyse en het onderhoud van legacy-systemen. Hoewel Large Language Models (LLM's) zijn toegepast om dit proces te automatiseren, lijden huidige benaderingen aan "structurele blindheid". Bestaande methoden behandelen binaire artefacten en decompiler-output als vlakke, eendimensionale sequenties van tokens, waarbij de onderliggende Control Flow Graphs (CFG) en Function Call Graphs (FCG) die het programmaverloop sturen, worden genegeerd.

Deze beperking leidt tot syntactisch fragiele en logisch inconsistente outputs, met name bij geoptimaliseerde binaire bestanden waarbij compiler-transformaties het controleverloop vertroebelen. Bovendien vereisen state-of-the-art gefinetunede decompilers vaak architectuurspecifieke training, wat de generaliseerbaarheid over diverse hardwaredoelwitten (bijv. x86, ARM, MIPS) beperkt en het niet mogelijk maakt om programmeerbare code te produceren zonder substantiële handmatige interventie.

Methodologie: Het HELIOS-framework

De auteurs stellen HELIOS voor, een framework dat LLM-gebaseerde decompilatie herdefinieert als een contextbewuste structurele redeneertaak in plaats van een eenvoudige tekst-naar-tekst vertaling. HELIOS werkt zonder de LLM zelf te finetunen, maar vergroot algemene modellen uit met een hiërarchische tekstuele representatie van de structurele eigenschappen van het binaire bestand.

Kerncomponenten

1. Statische Analyse en Feature Extractie:
   Met behulp van een backend (geïmplementeerd met Ghidra) extraheert HELIOS per-functie artefacten, waaronder:

   • Ruwe decompiler pseudo-code (C-achtig).
   • De Control Flow Graph (CFG) afgeleid van de P-Code intermediate representation.
   • De Function Call Graph (FCG) beperkt tot de huidige functie.
   • Auxiliaire metadata (loop headers, string referenties, constanten).

2. Hiërarchische Prompt Generatie:
   HELIOS zet deze artefacten om in een gestructureerde, meerdelige prompt die ontworpen is om het analytische proces van een menselijke expert na te bootsen. De prompt bestaat uit vier afzonderlijke secties:

   • [FUNCTION_CONTEXT]: Een hoogwaardige samenvatting inclusief functiesignaturen, architectuur en structurele statistieken (bijv. aantal blokken, aanwezigheid van loops).
   • [CFG_OVERVIEW]: Een compacte adjacency list die basisblokken en hun opvolgers beschrijft, waarbij executiepaden expliciet in kaart worden gebracht zonder lage-niveau instructiedetails.
   • [BLOCK_DETAILS]: Een samenvatting per blok met gedestilleerde P-Code instructies en expliciete predecessor/successor relaties, wat dient als de semantische bewijslast.
   • [RAW_DECOMPILED_CODE]: De originele, ongewijzigde decompiler-output om als baseline voor verfijning te dienen.

3. Structureel Bewuste Prompting en Regels:
   Het framework maakt gebruik van een vaste systeemprompt met Kritische Regels afgeleid van een analyse van veelvoorkomende LLM-foutmodi. Deze regels dwingen het model om:

   • Ervoor te zorgen dat het gegenereerde controleverloop strikt overeenkomt met de verstrekte CFG.
   • Het niet opnieuw implementeren van standaard bibliotheekfuncties.
   • Het voorkomen van de introductie van nieuwe globale variabelen of type-mismatches die niet door de structurele bewijslast worden ondersteund.

4. Iteratieve Compiler Feedback (Optioneel):
   Om de robuustheid verder te vergroten, implementeert HELIOS een "compiler-in-the-loop". Als de gegenereerde code niet compileert, worden de compiler-diagnostieken aan de prompt toegevoegd en wordt de LLM gevraagd de code te corrigeren met behoud van consistentie met de CFG en de block details. Dit proces is beperkt tot één iteratie per functie om de kostenvoorspelbaarheid te waarborgen.

Belangrijkste Bijdragen

• Structurele Codering: De auteurs stellen een methode voor om binair controleverloop, call graphs en hoog-niveau patronen (loops, conditionals) te coderen in een compact, hiërarchisch tekstueel formaat dat consumeerbaar is door algemene LLM's.
• HELIOS Framework: De instantiatie van deze methode, die significante winst laat zien in compileerbaarheid en functionele correctheid ten opzichte van tekst-alleen prompting en state-of-the-art gefinetunede decompilers, met gebruik van slechts een vast aantal modelaanroepen.
• Cross-Architectuur Generalisatie: De eerste cross-architectuur studie van structureel bewuste LLM-decompilatie over zes instructiesets (x86_32/64, ARM_32, AArch64, MIPS_32/64). De studie toont aan dat een enkel prompt-ontwerp kan generaliseren over diverse hardware zonder hertraining.

Experimentele Resultaten

Het framework werd geëvalueerd op de HumanEval-Decompile en MBPP-Decompile datasets over zes architecturen en meerdere optimalisatieniveaus (-O0 tot -O3).

• Compileerbaarheid: Op x86_64 verhoogde HELIOS de gemiddelde objectfile compileerbaarheid van Gemini 2.0 van 45,0% naar 85,2%, en die van GPT-4.1 Mini van 71,4% naar 89,6%. Met compiler feedback lagen deze cijfers boven de 94%.
• Functionele Correctheid: HELIOS verbeterde de functionele correctheid met wel 5,6 procentpunt ten opzichte van tekst-alleen prompting. Voor GPT-4.1 Mini op x86_64 bereikte de functionele correctheid 55,9% met feedback, waarmee het gespecialiseerde gefinetunede modellen zoals LLM4Decompile (36,3%) en Nova (3,2%) versloeg.
• Cross-Architectuur Stabiliteit: In tegenstelling tot structureel blinde baselines, die een hoge variantie in prestaties lieten zien tussen architecturen (bijv. een significante daling op MIPS), behield HELIOS een consistent hoge compileerbaarheid (>94% voor GPT-4.1 Mini met feedback) en verminderde het de spreiding in functionele correctheid over x86, ARM en MIPS.
• Ablatie Studie: De studie bevestigde dat hoewel ruwe structurele data (CFG) een bescheiden boost biedt, de kritieke instructieregels de primaire drijfveer voor verbetering zijn. Compiler feedback verfijnde de output verder en duwde de compileerbaarheid richting verzadiging.

Betekenis en Claims

Het artikel beweert dat HELIOS een paradigmaverschuiving demonstreert in het toepassen van LLM's op graaf-rijke domeinen zoals reverse engineering. Door de LLM te behandelen als een structureel bewuste redeneermachine in plaats van een tekstvertaler, bereikt het framework:

1. Praktisch Nut: Het produceert programmeerbare, semantisch getrouwe code over diverse hardwaredoelwitten zonder de noodzaak van architectuurspecifieke fine-tuning, wat een belangrijke bottleneck in security workflows aanpakt.
2. Efficiëntie: De aanpak vereist geen taakspecifieke training en gebruikt een minimaal aantal modelaanroepen (maximaal twee per functie), wat het een praktisch bouwblok maakt voor bestaande reverse engineering tools.
3. Generaliseerbaarheid: De resultaten suggereren dat expliciete structurele gronding kan dienen als vervanging voor grote, gespecialiseerde trainingscorpora, waardoor algemene modellen de gespecialiseerde gefinetunede modellen kunnen verslaan in functionele correctheid, zelfs als ze een lagere tekstuele gelijkenis (edit distance) vertonen met de originele bron.

De auteurs concluderen dat voor taken die rijke structurele data bevatten, de meest effectieve strategie is om de onderliggende structuur expliciet te maken, regels te bieden voor redeneren daarover, en externe tools te gebruiken voor gegronde feedback, in plaats van uitsluitend te vertrouwen op modelgewichten.