Resumo Técnico: HELIOS - Abstração de Grafo Hierárquica para Descompilação de LLM Consciente de Estrutura

Declaração do Problema

A descompilação de binários é uma tarefa crítica, porém laboriosa, na segurança de software, essencial para análise de malware, triagem de vulnerabilidades e manutenção de sistemas legados. Embora os Grandes Modelos de Linguagem (LLMs) tenham sido aplicados para automatizar este processo, as abordagens atuais sofrem de "cegueira estrutural". Os métodos existentes tratam artefatos binários e a saída do descompilador como sequências planas de umidimensionais de tokens, ignorando os Grafos de Fluxo de Controle (CFG) e os Grafos de Chamada de Função (FCG) que governam o comportamento do programa.

Esta limitação leva a saídas sintaticamente frágeis e logicamente inconsistentes, particularmente ao lidar com binários otimizados onde transformações de compilador obscurecem o fluxo de controle. Além disso, descompiladores de última geração ajustados (fine-tuned) frequentemente exigem treinamento específico para a arquitetura, oando a generalização entre diversos alvos de hardware (ex: x86, ARM, MIPS) e falhando em produzir código recompilável sem intervenção manual substancial.

Metodologia: O Framework HELIOS

Os autores propõem o HELIOS, um framework que redefine a descompilação baseada em LLM como uma tarefa de raciocínio estrutural consciente de contexto, em vez de uma simples tradução de texto para texto. O HELIOS opera sem realizar o ajuste fino (fine-tuning) do próprio LLM, em vez disso, aumenta modelos de propósito geral com uma representação textual hierárquica das propriedades estruturais do binário.

Componentes Principais

1. Análise Estática e Extração de Características:
   Utilizando um backend (implementado com Ghidra), o HELIOS extrai artefatos por função, incluindo:

   • Pseudo-código bruto do descompilador (estilo C).
   • O Grafo de Fluxo de Controle (CFG) derivado da representação intermediária P-Code.
   • O Grafo de Chamada de Função (FCG) restrito à função atual.
   • Metadados auxiliares (cabeçalhos de loop, referências de strings, constantes).

2. Geração de Prompt Hierárquico:
   O HELIOS converte esses artefatos em um prompt estruturado e de múltiplas partes, projetado para imitar o processo analítico de um especialista humano. O prompt consiste em quatro seções distintas:

   • [FUNCTION_CONTEXT]: Um resumo de alto nível incluindo assinaturas de funções, arquitetura e estatísticas estruturais (ex: contagem de blocos, presença de loops).
   • [CFG_OVERVIEW]: Uma lista de adjacência compacta descrevendo blocos básicos e seus sucessores, mapeando explicitamente os caminhos de execução sem detalhes de instruções de baixo nível.
   • [BLOCK_DETAILS]: Um resumo bloco a bloco contendo instruções P-Code destiladas e relações explícitas de predecessores/sucessores, servindo como a base de evidência semântica.
   • [RAW_DECOMPILED_CODE]: A saída original e não modificada do descompilador para servir como uma linha de base para refinamento.

3. Prompting e Regras Conscientes de Estrutura:
   O framework emprega um prompt de sistema fixo contendo Regras Críticas derivadas de uma análise de modos comuns de falha de LLMs. Estas regras restringem o modelo para:

   • Garantir que o fluxo de controle gerado corresponda estritamente ao CFG fornecido.
   • Evitar a reimplementação de funções de biblioteca padrão.
   • Impedir a introdução de novas variáveis globais ou incompatibilidades de tipos não suportadas pela evidência estrutural.

4. Feedback Iterativo de Compilador (Opcional):
   Para aumentar ainda mais a robustez, o HELIOS implementa um "compilador no loop" (compiler-in-the-loop). Se o código gerado falhar na compilação, os diagnósticos do compilador são anexados ao prompt, e o LLM é solicitado a corrigir o código enquanto mantém a consistência com o CFG e os detalhes dos blocos. Este processo é limitado a uma iteração por função para manter a previsibilidade de custo.

Principais Contribuições

• Codificação Estrutural: Os autores propõem um método para codificar o fluxo de controle binário, grafos de chamada e padrões de alto nível (loops, condicionais) em um formato textual hierárquico compacto consumível por LLMs de propósito geral.
• Framework HELIOS: A instanciação deste método, demonstrando ganhos significativos em compilabilidade e correção funcional sobre o prompting apenas de texto e descompiladores ajustados de última geração, usando apenas um número fixo de chamadas de modelo.
• Generalização Cross-Architecture: O primeiro estudo cross-arquitetura de descompilação de LLM consciente de estrutura através de seis conjuntos de instruções (x86_32/64, ARM_32, AArch64, MIPS_32/64). O estudo demonstra que um único design de prompt pode se generalizar através de diversos hardwares sem retreinamento.

Resultados Experimentais

O framework foi avaliado nos datasets HumanEval-Decompile e MBPP-Decompile através de seis arquiteturas e múltiplos níveis de otimização (-O0 a -O3).

• Compilabilidade: No x86_64, o HELIOS elevou a média de compilabilidade de arquivo objeto para o Gemini 2.0 de 45,0% para 85,2%, e para o GPT-4.1 Mini de 71,4% para 89,6%. Com feedback do compilador, estes números excederam 94%.
• Correção Funcional: O HELIOS melhorou a correção funcional em até 5,6 pontos percentuais sobre o prompting apenas de texto. Para o GPT-4.1 Mini no x86_64, a correção funcional atingiu 55,9% com feedback, superando modelos especializados ajustados como LLM4Decompile (36,3%) e Nova (3,2%).
• Estabilidade Cross-Architecture: Ao contrário das baselines estruturalmente cegas, que mostraram alta variância de desempenho entre arquiteturas (ex: caindo significativamente em MIPS), o HELIOS manteve uma alta compilabilidade consistente (>94% para GPT-4.1 Mini com feedback) e reduziu a dispersão na correção funcional entre x86, ARM e MIPS.
• Estudo de Ablação: O estudo confirmou que, embora os dados estruturais brutos (CFG) proporcionem um aumento modesto, as regras de instrução críticas são o principal motor de melhoria. O feedback do compilador refinou ainda mais a saída, empurrando a compilabilidade em direção à saturação.

Significância e Alegações

O artigo afirma que o HELIOS demonstra uma mudança de paradigma na aplicação de LLMs a domínios ricos em grafos, como a engenharia reversa. Ao tratar o LLM como um mecanismo de raciocínio consciente de estrutura em vez de um tradutor de texto, o framework alcança:

1. Utilidade Prática: Ele produz código recompilável e semanticamente fiel através de diversos alvos de hardware sem a necessidade de ajuste fino específico de arquitetura, abordando um grande gargalo nos fluxos de trabalho de segurança.
2. Eficiência: A abordagem não requer treinamento específico para a tarefa e utiliza um número mínimo de chamadas de modelo (no máximo duas por função), tornando-a um bloco de construção prático para ferramentas de engenharia reversa existentes.
3. Generalização: Os resultados sugerem que o embasamento estrutural explícito pode substituir grandes corpora de treinamento especializados, permitindo que modelos de propósito geral superem modelos ajustados especializados em correção funcional, mesmo que exibam menor similaridade textual (distância de edição) em relação ao código original.

Os autores concluem que, para tarefas envolvendo dados estruturais ricos, a estratégia mais eficaz é tornar a estrutura subjacente explícita, fornecer regras para o raciocínio sobre ela e utilizar ferramentas externas para feedback fundamentado, em vez de depender apenas dos pesos do modelo.