CASCADE: LLM-Powered JavaScript Deobfuscator at Google

本文介绍了 CASCADE，这是一种由 Google 部署的混合式 JavaScript 去混淆工具，它通过结合 Gemini 大模型识别关键预置函数与 JSIR 中间表示进行确定性代码转换，有效克服了传统方法依赖大量硬编码规则的局限性，显著提升了代码分析效率与可靠性。

要点

这篇论文介绍了一个名为 CASCADE 的“代码翻译官”，它是谷歌开发的一款超级工具，专门用来破解那些被故意写得让人看不懂的 JavaScript 代码（也就是所谓的“混淆代码”）。

为了让你轻松理解，我们可以把整个过程想象成破解一个复杂的“俄罗斯套娃”或者“寻宝游戏”。

1. 背景：为什么需要它？

想象一下，你收到了一封电子邮件，里面的文字被加密成了乱码，或者被故意打乱顺序，让你完全看不懂它在说什么。

• 现实情况：黑客经常用一种叫 Obfuscator.IO 的工具，把正常的 JavaScript 代码（比如网页上的功能代码）变成一堆乱码。他们这么做是为了隐藏恶意行为（比如偷取你的 Cookie 或密码），或者保护他们的商业机密。
• 痛点：谷歌的安全专家需要分析这些代码来发现病毒。但代码被“混淆”后，就像一本被撕碎并重新拼贴的书，专家很难读懂，手动修复又慢又容易出错。

2. CASCADE 是什么？

CASCADE 是一个**“混合双打”团队**，它结合了两种截然不同的能力：

1. AI 大脑（Gemini）：像是一个经验丰富的侦探，擅长“看门道”。
2. 编译器引擎（JSIR）：像是一个严谨的数学家，擅长“算得准”。

3. 它是如何工作的？（核心比喻）

我们可以把破解混淆代码的过程比作解开一个复杂的魔术盒。

第一步：AI 侦探找线索（识别“前奏函数”）

混淆后的代码里藏着几个关键的“机关”（论文里叫 Prelude Functions）。这些机关负责把乱码变回原来的字符串。

• 传统方法：以前的工具像是一个拿着“通缉令”的警察，必须死记硬背几百种嫌疑人的长相（规则）。如果嫌疑人稍微换个发型（代码稍微改个变量名），警察就认不出来了。
• CASCADE 的 AI：它不需要死记硬背。它被训练成能理解代码的“意图”。就像侦探一眼就能看出：“哦，这段代码虽然名字很怪，但它的行为模式就是在管理一个字符串列表。”
• 比喻：AI 侦探不需要知道每个嫌疑人的具体名字，它只要认出“那个穿着红衣服、总是拿着大箱子的人”就是我们要找的关键人物。

第二步：严谨的数学家动手（JSIR 变换）

一旦 AI 找到了这些关键机关，它就把它们交给“数学家”（JSIR 编译器）。

• 为什么需要数学家？ AI 虽然聪明，但做数学题容易“幻觉”（比如把 1+1 算成 3）。在代码里，算错一个数字，整个程序的行为就全变了，这很危险。
• 数学家的工作：
  1. 动态执行：它在沙箱（一个安全的虚拟房间）里，真的运行那些被找到的“机关”代码。
  2. 精确计算：它像做数学题一样，把复杂的算术运算一步步算清楚，把乱码变成真正的字符串（比如把 0x1b6 算成 "Hello"）。
  3. 内联替换：它把那些绕来绕去的函数调用，直接替换成最终的结果。
• 比喻：AI 找到了藏宝图上的“钥匙孔”，数学家则负责用这把钥匙精准地打开锁，把里面的宝藏（原始代码）取出来，而且保证不会把锁弄坏。

4. 为什么这个组合很厉害？

• 以前（纯规则）：像是一个只会按清单办事的机器人。如果黑客把清单上的“红色”改成“深红色”，机器人就傻眼了。
• 以前（纯 AI）：像是一个很有才华但有点马虎的作家。它能写出很通顺的解法，但可能会在关键数字上犯错，导致解出来的代码虽然看起来像那么回事，但运行起来会崩溃。
• CASCADE（混合模式）：
  • AI 负责**“找”**：它灵活、聪明，能应对各种花哨的伪装，准确率高达 99.56%。
  • 编译器 负责**“算”：它严谨、确定，保证解出来的代码100% 正确**，不会出错。

5. 实际效果如何？

• 速度快：平均处理一个文件只需要 2 秒钟。
• 效果好：它能从一堆乱码中恢复出平均 945 个 原始字符串（比如把 console["log"] 变回 console.log）。
• 已投入使用：这不仅仅是一个实验，它已经在谷歌的生产环境中真实运行了，每天帮助谷歌扫描数百万个 JavaScript 文件，极大地提高了发现恶意软件的速度。

总结

CASCADE 就像是给谷歌的安全团队配备了一位**“懂艺术的侦探”加上“精通算术的工程师”**。

• 侦探负责在混乱的迷宫里找到正确的路（识别混淆模式）。
• 工程师负责把路铺平，确保每一步都走得稳稳当当（精确还原代码）。

这种“AI 负责灵活识别，传统工具负责精确执行”的思路，不仅解决了代码混淆的难题，也为未来如何用 AI 解决复杂的工程问题提供了一个非常好的榜样。

技术摘要

CASCADE：Google 基于 LLM 的 JavaScript 去混淆系统技术总结

1. 研究背景与问题 (Problem)

背景：
JavaScript 是 Web 开发的主导语言，但代码混淆（Obfuscation）技术被恶意软件开发者广泛使用，旨在将可读代码转化为难以理解的变体。这严重阻碍了软件测试、静态分析和恶意软件检测。

核心挑战：

• 混淆技术的复杂性： 现代混淆器（如 Obfuscator.IO）使用动态代码生成、控制流扁平化、字符串编码等高级技术。
• 现有工具的局限性：
  • 基于规则的方法（如 Webcrack）： 依赖硬编码的 AST（抽象语法树）模式匹配。一旦混淆器微调代码（例如将 while(true) 改为 while(!false) 或添加变量别名），规则即失效，维护成本极高。
  • 纯静态分析： 难以处理复杂的算术运算和动态生成的代码，容易丢失语义。
  • 纯动态分析： 需要特定的运行时环境，性能开销大，且存在安全风险。
  • 纯 LLM 方法： 虽然 LLM 具备强大的代码理解能力，但在精确的数学推理和逻辑判断上存在幻觉（Hallucination）风险。微小的计算错误（如 if 条件取反）会导致程序行为发生根本性改变，且难以验证功能等价性。

目标：
针对最流行的恶意软件混淆器 Obfuscator.IO，特别是其字符串混淆技术（这是恢复原始字符串和 API 名称的关键），开发一种既高效又可靠的去混淆方案。

---

2. 方法论：CASCADE 混合架构 (Methodology)

CASCADE (Combined Analysis of Scripts with a Context-Aware Deobfuscation Engine) 提出了一种混合去混淆架构，结合了 大语言模型 (LLM) 的模式识别能力和 编译器中间表示 (IR) 的确定性变换能力。

2.1 核心流程

1. LLM 驱动的预函数检测 (Prelude Detection)：

   • 利用 Gemini 模型识别 Obfuscator.IO 生成的“预函数”（Prelude Functions）。这些函数是混淆逻辑的基础，包括：
     • 字符串数组函数： 定义包含原始字符串和混淆字符串的全局数组。
     • 字符串获取函数： 通过索引偏移量从数组中检索字符串。
     • 字符串数组旋转函数： 通过复杂的算术表达式旋转数组，直到满足特定条件。
   • 提示工程 (Prompt Engineering)： 采用少样本学习（Few-shot learning），将代码分割为带 ID 的片段，要求 LLM 以 JSON 格式输出识别到的模板类型及其对应的代码片段 ID。
   • 优势： 消除了数百至数千行硬编码规则，对代码格式的微小变化具有鲁棒性。

2. 沙箱动态执行 (Dynamic Execution)：

   • 将检测到的预函数在沙箱化的 JavaScript 环境（如 V8 或 QuickJS）中执行。
   • 由于这些函数本质上是纯函数（无副作用、幂等），动态执行可以准确计算出字符串获取函数的结果（例如 getString(438) 返回 "Hello World!"），从而绕过混淆器设计的“非幂等”假象。

3. 基于 JSIR 的确定性变换 (JSIR Transformation)：

   • 利用 JSIR (JavaScript Intermediate Representation，基于 MLIR 构建的下一代编译器框架) 进行代码转换。
   • 增强的常量传播 (Augmented Constant Propagation)：
     • 将预函数视为“内置函数”，在抽象状态中记录其引用。
     • 结合动态执行的结果，将函数调用替换为实际计算出的常量字符串。
   • 内联间接调用 (Inlining Indirections)：
     • 处理变量别名（Variable Aliases）、包装函数（Wrapper Functions）和对象包装（Object Wrappers）。
     • 通过全局查找表和表达式求值，消除多层抽象，将复杂的调用链直接还原为原始字符串或 API 名称。

2.2 架构优势

• 分工明确： LLM 负责“理解”代码结构并定位关键逻辑；编译器 IR 负责“精确”执行数学运算和语义变换。
• 避免幻觉： LLM 不直接生成去混淆后的代码，仅用于识别模式，从而避免了 LLM 生成错误代码的风险。
• 可解释性： 变换过程基于确定的编译器优化步骤，易于验证和调试。

---

3. 关键贡献 (Key Contributions)

1. 首创混合框架： 首次将 LLM 与编译器级别的 IR 变换相结合，用于 JavaScript 代码去混淆。这种“概率性理解 + 确定性重写”的模式为软件安全领域提供了新范式。
2. 工业级部署与规则消除： CASCADE 已部署在 Google 的生产环境中。它成功消除了 Webcrack 和 Deobfuscator.IO 中针对每种混淆技术所需的数百至数千行硬编码规则，显著降低了维护成本。
3. 鲁棒性与可扩展性：
   • 对 Obfuscator.IO 的微小变更（如变量重命名、逻辑等价替换）具有极强的鲁棒性。
   • 开源了提示模板和完整的 JSIR 基础设施，促进了社区的可复现性。
4. 负责任的 AI 使用： 通过限制 LLM 仅用于模式检测，而非直接生成代码，解决了 AI 在安全关键任务中的幻觉和不可验证性问题。

---

4. 实验结果 (Results)

研究团队构建了包含 12,000 个样本的数据集（基于 ETH 150k 数据集，使用 Obfuscator.IO 的四种配置：Default, Low, Medium, High 进行混淆）。

4.1 预函数检测 (Prelude Detection)

• 准确率： Gemini 在合成数据集上的平均检测成功率为 99.56%。
  • Default/Low 配置：100% 响应率，100% 准确率。
  • Medium/High 配置：由于 Token 限制，部分样本未返回结果，但在成功返回的样本中，准确率依然极高（Medium: 99.73%, High: 98.54%）。
• 效率： 使用 Gemini 2.5 Flash，延迟低且成本低，适合大规模生产扫描。

4.2 字符串恢复 (String Recovery)

• 成功率： 在所有 11,736 个样本中，整体去混淆成功率为 98.93%。
• 恢复量： 平均每个文件恢复 945.26 个字符串字面量。
• 性能： 平均处理时间为 2.298 秒/文件。
  • 低混淆配置：约 0.84 秒。
  • 高混淆配置：约 5.16 秒（因恢复的字符串更多，计算量更大）。
• 对比： 相比传统工具，CASCADE 在处理高混淆级别时表现更稳定，且无需人工维护规则。

---

5. 意义与启示 (Significance)

1. 解决工业痛点： 为 Google 的恶意软件检测流程带来了显著的效率提升，大幅减少了逆向工程的人工成本。
2. 方法论创新： 证明了在需要高可靠性的软件工程任务中，"LLM + 确定性工具” 的混合架构优于纯 LLM 或纯传统工具。LLM 处理模糊的模式识别，确定性引擎处理精确的逻辑推理。
3. 可验证性与安全性： 通过限制 LLM 的作用范围，确保了去混淆结果的功能等价性，解决了 AI 生成代码难以验证的难题，为 AI 在安全领域的负责任应用提供了范例。
4. 未来方向： 论文计划将 CASCADE 演进为 LLM Agent，使其能自主决定何时调用 JSIR 变换原语，从而支持更多种类的混淆器和更复杂的混淆策略（如控制流扁平化）。

总结：
CASCADE 是 Google 在软件安全领域的一项突破性工作，它巧妙地利用 LLM 的泛化能力去解决混淆代码的“识别”难题，同时利用编译器 IR 的严谨性去解决“还原”难题，成功实现了高效、准确且可维护的 JavaScript 去混淆，为对抗恶意软件混淆提供了强有力的新武器。