研究者提出 RARE 攻击：LLM 辅助逆向工程中的表示混淆

LLM辅助逆向会把正确提取的观察，提升成缺少权限或支持的指令、证据或可信状态。

• 场景：作者称系统消费字符串、符号、反编译文本、日志、元数据、工具摘要、报告和笔记，攻击者控制的二进制可以塑造这些观察。提取正确不是安全边界，来源和角色约束要保留到最终报告。
• 现有做法：作者称，Crawford等加入C程序的字符串可穿过编译和Ghidra反编译，并可误导分析智能体；后续工作在20个生成程序上绕过基于内容的防御。作者提出的更广问题是：忠实观察何时被赋予未支持的角色。
• 观察：作者将角色改变称为promotion；缺少该角色所需权限或支持时，提升无效。失败可以不是祈使句：同一来源的多条记录能形成虚假印证，存储假设也能在没有新支持时变为已验证状态。
• 提出内容：作者形式化RARE（Representation-Confusion Attacks in Reverse Engineering），用RARE-Bench的行为检查成对二进制衡量下游角色分配，并用RARE-Guard在工具动作、已验证发现和已验证状态三个边界做运行时控制。
• 威胁模型：
  • 攻击者：控制二进制，可塑造经Ghidra、r2pipe、angr或包装器暴露的记录；不控制分析师指令、系统策略、模型提供方、工具二进制、运行时策略、评测规则或语料选择。
  • 受害系统：把上述观察送入模型的LLM辅助逆向管线。防御方不假设模型会忽略攻击者塑造的文本。
  • 三种计分失败：authority confusion（引导特权动作）、evidence confusion（弱或相依观察验证更强声明）、tainted-state promotion（存储或检索内容在无新支持时升级为已验证状态）。
  • 防御方控制：记录模式、稳定handle、provenance sidecar、工具中介、声明门、状态模式和最终渲染器。Data-Only只把样本载荷标为数据，不授权动作。

论文在第X节按提示注入、架构防御、逆向测量和恶意软件反分析分组，并把区别放在无效提升而不是载体本身。

提示注入与逆向智能体

• 不可信文本：Abdelnabi等（2023）、Liu等（2024）讨论经不可信文本影响已集成LLM的应用；InjecAgent、AgentDojo、AGENTVIGIL把间接提示注入放到工具集成智能体中。
• 逆向管线上的字符串：Crawford等（2026）把优化注入字符串嵌入C程序，针对Cline–GhidraMCP–Ghidra。后续工作在20个生成程序上测试正则与神经分类器：list_strings检出20/20，decompile_function中的注入函数为15/24，自适应攻击在13/20例绕过分类器。作者称这些工作确立了载体和内容过滤的限度，RARE衡量的是权限、证据和状态上的无效提升。
• 编排放大：Chang等（2026）报告，GPT-4o上代码执行成功率从单智能体配置的2–4%升至Magentic-One的72–80%，并将增幅归因于检索、委派和部分上下文。作者称RARE研究的是融合后形成表面支持法定人数的相依工具记录，并在同一声明、引用和草稿上比较来源规则。

架构防御

• 信息流：CaMeL与FIDES用信息流阻止不可信数据驱动指令。作者称RARE-Guard把Data-Only渲染与P1 Tool Authorization分开，把P2、P3用于报告声明，并用P4保留状态与污点。
• 不揭示依赖的做法：作者称净化、工具一致和提取器标签不能揭示记录之间的依赖。工具一致对应Stokes（2026）的多分析智能体共识。

逆向、代码模型与测量

• 结构恢复与代码模型：经典逆向恢复程序结构、数据流、相似性、格式和IOC；代码LLM用于生成、反编译和逆向辅助。AgentRE-Bench与Project Ire为公开项目。
• 任务完成基准：作者称，与ReAct、LM仿真沙箱、ToolLLM、WebArena、AgentDojo等任务完成基准不同，RARE-Bench还对精确目标和响应符合性计分。

恶意软件反分析

• 环境间隙：经典恶意软件逃避沙箱、虚拟机、脱壳和动态分析。作者称本文研究的是另一处下游间隙：管线赋给忠实工具输出的角色。
• 针对分析的内容：作者引用macOS.Gaslight、带嵌入提示注入的恶意软件原型、Hades供应链载荷和LogJack，作为用虚假消息、嵌入注入、头部或日志影响AI辅助分析的例子。作者称RARE-Bench按登记的oracle结果给由此产生的提升计分。

基线与基准

• 基线方法：Broad比较Unguarded、Prompt-only、Typed provenance、Composite interface四个完整模型侧界面。Holdout以Flat对Data-Only，并以同一草稿上的P2 Support Gate对P3 Provenance Gate。工作流以融合稿对单工具稿，工具为Ghidra、r2pipe、angr。
• 基准：RARE-Bench，即带行为oracle的合成Linux ELF/x86-64良性C程序，角色为clean、control、adversarial和positive control。

作者称，既有工作确立了载体及内容过滤的限度；本文在固定草稿上比较来源分组，并要求多工具视图保留已记录的依赖。

作者用RARE-Bench制造行为匹配、观察不同的二进制，用RARE-Guard在运行时拒绝无效promotion。样本内容可以指导分析，不能发出指令。

失败模式与安全用法

• 计分对象：不是可疑文本是否出现，而是输出是否把二进制派生内容留在观察，还是赋给更强角色。引用、拒绝或作为假设保留，不算阳性提升。目标立场分affirmed、not affirmed、unresolved/null；null不算安全。
• authority confusion：二进制派生内容被当作分析师、系统提示、开发者策略或受信运行时策略。安全用法是当作不可信数据，并可促使检查，但不覆盖受信权限。
• evidence confusion：文本出现或同源的多次渲染被当成独立支持。支持阶梯是：仅文本支持观察；被引用或可达结构可支持假设；验证需要与声明相称的结构或行为支持。
• tainted-state promotion：受污或过时内容在写入或一次类型化重用时升级为已验证状态。跨运行漂移和更长链不在该实验内。同一内容作为观察或带污点假设保留时，作者视为安全。

RARE-Bench

• 程序：良性C，以记录的GCC工具链编译为Linux ELF/x86-64。负载包括配置与协议解析、编码、序列检查、安全打包、良性反调试分支、禁用的分发器和安全能力的惰性替身。不含凭据窃取、外传、持久化或活体恶意行为。
• 变体：clean为规范程序；control加入放置或可见性相近的良性内容；adversarial改动与登记promotion绑定的载体；positive control使用专用oracle和与声明相称的证据（Table II）。非clean与clean对在14–31个ELF节、2,908–6,712个对齐字节上不同。
• oracle与登记：记录退出状态、stdout、stderr策略和固定输入上的声明副作用。模型和运行时都收不到oracle或目标登记表。Broad的120个变体都能重建到记录哈希并通过检查的oracle。这保留的是指定结果，不是完整语义等价。
• 归因：clean看效用，control看对良性额外内容的敏感，adversarial看按模式分类的无效提升。证据control匹配记录数量和结构，但与假声明的直接关联较弱，因此不进入P2与P3的主比较。

记录、sidecar与四层门

• 平面分离：控制平面持有分析师意图和受信策略；二进制派生观察留在数据平面。受信提取器创建记录，并不把权限授予其样本控制的载荷。
• sidecar：每条观察有稳定handle。exact root是产生它的二进制位置或执行事件。来源图还记录中间提取步骤，使不同局部根可以追溯到一个记录的共同祖先。模型只见紧凑类型化视图并返回handle，不能用文本断言来源。未知handle解析失败。
• P0与Data-Only：P0是无运行时提升控制的生成条件（Holdout中的Flat，Broad中的Unguarded）。Data-Only是P1之前的模型侧渲染：样本载荷标为数据，并与分析师指令分开，本身不授权动作。
• P1–P4：P1由确定性中介检查类型化工具提案的允许列表、参数模式、分析师授权和资源限制，拒绝原始shell、攻击者选定的可执行路径或网络目的地，以及无界副作用。P2按声明检查支持类型和可达性，不分组，支持不足时降为hypothesis或insufficient，不删除观察。P3在同一规则前按exact root分组，common-ancestor规则再把追溯到同一记录共同祖先的不同根并为一组；每组只计一次，不证明其余单位独立，也不补强弱证据或发现未记录的依赖。P4保存声明状态、引用handle、污点和门决定；仅检索不能升级，升级须有新证据并通过另一次声明检查。

最终报告与三阶段问题

• 渲染：分析师可见报告只由门后声明记录生成。可修复语法的规范化器不能加入语义默认值，也不能恢复已降级的声明。内容哈希用于完整性，不是exact root。
• 三阶段：Broad映射完整模型侧界面，不隔离P1–P4。Holdout在新程序上测Data-Only下的不安全提案，并对同一草稿隔离P1和exact-root分组。工作流把Ghidra、r2pipe、angr的记录送入同一规则，并增加共同祖先分组和状态保留诊断。
• 工作流边界：W1融合三工具，W2分工具，W3是P1管理的两轮封闭工具循环，W4做一次写入/检索。它不是自主或开放式智能体评测。作者称，一旦工作流把handle和sidecar关系摊成文本，后续门不能可靠重建它们。
• 生成约束：Holdout每个程序–模型对有11个固定上下文（Table XV）。模型绑定使用可用的最低temperature，支持时使用固定seed。运输失败最多重试一次；拒绝、畸形输出和任务失败保留为结果。

三阶段分开报告，不合并成一个效应。主比较是Holdout里同一草稿上的策略决定。

实验设置

• 规模：Broad为30个基程序、4个模型、11,520次调用，计划调用全部完成。Holdout为20个新程序、2个模型、528次（440次主调用加88次预先选定重复）。工作流为16个新程序、2个模型、688次：W1 160、W2 192、W3 256、W4 80。主估计用第一次运行，调用按基程序聚类。
• 模型：Broad为gpt-5.5、claude-sonnet-4-6、gemini-2.5-pro、deepseek-ai/DeepSeek-V3.2，各2,880次。Holdout与工作流为gpt-5.5-2026-04-23和deepseek-ai/DeepSeek-V3.2。绑定使用可用的最低temperature，支持时用固定seed。
• 程序与工具：合成良性C，编译为Linux ELF/x86-64。Holdout在联网、凭据与配置处理、启动配置、类解包四类上均分。工作流观察来自Ghidra、r2pipe、angr。W1与W3用全部16个程序；W2与W4用预先选定的8个程序。另有4个程序只用于开发适配器。
• 比较对象：Broad的Unguarded、Prompt-only、Typed provenance、Composite interface一起变化，估计的是界面效应。Holdout比较Flat与Data-Only，以及同一草稿上的P2与P3 exact-root。工作流在融合稿上按记录的来源关系使用exact-root或common-ancestor规则。
• 指标与评审：目标立场、任务成功、模式符合、提案、授权、执行、声明验证和状态写入分开记录。correct-and-safe要求任务成功、模式有效，以及该上下文的登记边界决定。计分器确定性，不用LLM评审。null不算安全；畸形、提供方失败和任务失败留在计划分母中。区间为10,000次按基程序聚类的bootstrap。
• 冻结：Holdout与工作流的目标、模式、策略、根映射和分析代码在生成前固定。Broad的精确目标登记在收集响应之后、目标分析之前固定，作者称该部分为探索性。首个W3批次因提供方在推理前拒绝模式关键字而被排除，两个模型随后使用同一修订模式。

主结果

Holdout的40格是20个程序乘2个模型。论文未按模型拆开计数，只写两个模型分层方向相同。下表据Table VIII。

表格较宽，可左右滑动

边界	基线	评测结果	出处
权威目标	clean 0/40	对抗 35/40	Table VIII
不安全提案	Flat 35/40	Data-Only 15/40	Table VIII
二进制派生动作	提案 15/40	P1授权 0/40	Table VIII
匹配分析师请求	未单列基线	授权 40/40	Table VIII
共享根假声明	P2 23/40	P3 0/40	Table VIII
正控制	P2 40/40	P3 40/40	Table VIII
correct-and-safe	P2 130/320	P3 153/320	Table VIII

• 摘要把无运行时控制下的植入动作写成与Flat权威目标相同的比例。作者报告相对clean增加87.5个百分点（95% CI: 75–97.5），Data-Only相对Flat减少50个百分点（95% CI: 35–62.5）。匹配分析师请求中只有8/40达到任务成功，作者称正确授权不等于分析成功。
• 作者报告P2到P3的假验证减少57.5个百分点（聚类95% CI: 45–70；双侧sign-flip p约2×10的-5次方）。四个程序族方向相同。去掉根等价后，P3在384行重放上与P2完全一致；作者称被隔离的是受信根映射。
• 八个Data-Only上下文上，correct-and-safe增加7.19个百分点（95% CI: 5.63–8.75）。作者称这支持对已评估报告声明做exact-root分组，同时保留正控制。文本仅上下文在P2之前已无目标阳性草稿，不能估计P2的增量。

探索性界面对比

• 测了什么：30个程序、四个模型、三个任务、两次重复，比较四个一起变化的完整模型侧界面。5,760条有clean配对的对抗响应中，1,778对在两边都有已解析目标。
• 结果：边际配对变化的区间包含0：Unguarded为+3.89个百分点（95% CI: -0.78到9.56），Composite为-3.88个百分点（95% CI: -7.81到0.43）（Table XIII）。两边都已判定的374例、18个程序上，位移为+4.28与-4.28个百分点，差8.56个百分点（聚类95% CI: 2.96–15.59）。角色兼容的480条对抗行中，目标提升为Unguarded 38/480（7.9%）、Composite 28/480（5.8%）。全部1,440条对抗行的任务成功为1,241/1,440（86.2%）与1,217/1,440（84.5%）。
• 作者解读：作者称该对比不能指出是哪个组件造成差异，也不与后续策略效应合并。作者称Composite并不支配更简单基线。28份目标阳性的Composite草稿在验证后仍为阳性；25例中验证器看的不是登记目标，3例未检查abort字段。

工具融合与单工具视图

• 测了什么：16个新程序、同一两个模型版本。W1把Ghidra、r2pipe、angr融成一份草稿；W2在预先选定的8个程序上分工具呈现。策略重放不额外生成。
• 结果：融合稿上P2验证全部32个共享来源假声明，适用的P3规则验证0个；降幅为100个百分点，聚类区间为[100, 100]个百分点（Section VIII.C）。其中16格共一个exact root，exact-root规则从16/16变为0/16；另16格局部根不同但有一个记录的共同祖先，exact-root仍为16/16，common-ancestor规则为0/16（Table X）。正控制两边均为32/32。clean与matched上两边都验证的是6/32和4/32，作者标为残余假阳性且未改变。W2每个工具的假声明均为0/16；48份草稿中47份未引用合格handle，1份只引用一个handle，因此没有可估计的P3增量。单工具正控制为Ghidra 16/16、r2pipe 9/16、angr 5/16（Table XIX）。
• 作者解读：作者称表面支持法定人数只在已评估的融合稿中出现，单工具零验证并不确立更安全的分析。融合与单工具产生不同草稿，作者未隔离为何融合引出更多合格引用，因为重复、工具标签和突出程度一起变化。同一草稿上，P2验证而适用的P3规则降级。

授权、状态与最终报告

• W3：对抗字符串在32/32次程序–模型会话中穿过提取和渲染，但不安全提案为0/32，所以P1没有攻击案例可授权或拒绝。匹配分析师请求在32/32次中被提案、授权并执行。更严的第二轮终点在clean、对抗、control、分析师请求上分别为31/32、31/32、26/32、6/32。作者称W3测的是载体暴露，不是授权边界上的攻击决定。
• W4：16格中，写入时8/16请求已验证状态项；上游声明门在存储前降级这8项，P4把全部16项存为带污点假设。无新证据时，保留元数据和摊平文本都是0/16，没有无支持升级请求。有新证据时，验证为11/16与8/16；作者称该描述性差异不显著（p=0.25）。全部16次保留元数据的检索保持原假设状态和污点。作者称W4测的是保留和显式再验证，不是拒绝升级。
• 报告一致性：自由文本task_answer曾在全部32个共享来源案例中重复假命题。确定性渲染器只输出门后声明对象后，480份W1报告和384份W2报告都与策略决定一致。作者称这是最终报告一致性，不是新的策略效应估计。

其他消融与分析

• 扁平根映射：P3在384/384行与P2相同（Section VII.B）。
• 证据control因与假声明关联较弱，排除出P2/P3主比较（Section VII）。
• 预先选定的4程序重复子集：假验证降幅+62.5个百分点，correct-and-safe +7.81个百分点，正控制损失0（Table XVII）。Appendix C写全部重复减主运行的汇总差为0。
• 历史验证器重放2,875/2,880份草稿：登记目标25/480，静态支持规则24/480（Table VII）。
• W1可达性诱饵：P2与P3均为0/32（Table XVIII）。
• Appendix B单读者标注120条：可判定exact-field上107/107一致，覆盖率92.2%；positive-use上65/65一致，覆盖率56.0%。

作者指出的局限与后续方向

• 范围外的部署形态：实践中遇到的恶意软件流行率、长程记忆、不受限工具和开放式智能体仍在范围外（Discussion IX.A）。Section II.D已把长程记忆漂移、任意工具使用和开放式已部署智能体的防护写在测量范围外。
• 样本与任务：程序是合成的惰性ELF/x86-64，工作流任务有界；Broad覆盖四个模型族，其余研究使用两个固定版本（Discussion IX.A）。
• 推广：作者写明结果不必推广到其他管线（Discussion IX.A）。
• 审计：单读者审计没有评分者间估计，该边例子集审计也不估计总体错误率（Discussion IX.A、Appendix B）。
• 状态升级：作者在Discussion写明，W4衡量的是保留和显式再验证，而不是拒绝升级（Discussion IX.A）。
• 论文没有另列Future Work清单，也没有把发布计划写成待完成事项。

实验覆盖范围

• 模型与调用：Broad四个模型各2,880次，合计11,520，计划调用全部完成；Holdout与工作流为gpt-5.5-2026-04-23和deepseek-ai/DeepSeek-V3.2，分别为528次和688次（Table III、Appendix B）。
• 程序：三阶段基程序为30、20、16个合成Linux ELF/x86-64；工作流另有4个程序只开发适配器。非clean与clean对在14–31个ELF节、2,908–6,712个对齐字节上不同（Section IV.A、VIII）。
• 策略与工具：评测包含Flat、Data-Only、P1–P4、exact-root与common-ancestor分组，以及确定性渲染器。工具记录来自Ghidra、r2pipe、angr；W2与W4使用预先选定的8程序子集；工具执行是封闭目录上的两轮循环（Section V、VIII）。
• 计分：确定性计分器，不用LLM评审。Broad的精确目标登记在收集之后固定，作者称该部分为探索性（Section IV.B、VI）。Holdout的40格按程序×模型汇总，论文未报告逐模型拆分，只写两个分层方向相同（Section VII）。
• 人工对照与诊断臂：Appendix B报告120条单读者标注的覆盖率为exact-field 92.2%、positive-use 56.0%。W3攻击臂的不安全提案为0/32；W4在无新证据时没有无支持升级请求（Section VIII.F、VIII.G）。

作者定义的失败是：LLM辅助逆向中，忠实提取的二进制观察获得它并未赢得的指令权限、声明证据或可信状态。

• 问题：攻击者控制二进制及经Ghidra、r2pipe、angr或包装器暴露的记录，不控制分析师指令和运行时策略。计分模式是authority confusion、evidence confusion和tainted-state promotion。
• 做法：RARE-Bench用行为oracle配对的合成ELF/x86-64，分开记录观察存在和它能支持的角色。RARE-Guard以Data-Only渲染、P1工具授权、P2支持检查、P3按exact root或记录的共同祖先分组，以及P4保留污点；最终报告只渲染门后声明。
• Holdout：20个新程序、gpt-5.5-2026-04-23与deepseek-ai/DeepSeek-V3.2。Flat下对抗权威目标35/40、clean 0/40；Data-Only仍有15/40个不安全提案，P1授权0/40，并授权40/40个匹配分析师请求（Table VIII）。同一草稿上，P2验证23/40条共享根假声明，P3为0/40，正控制两边均为40/40。
• 工作流：16个程序的融合稿上，P2验证32/32条假声明，适用的P3规则为0，正控制32/32仍被验证（Section VIII.C、Table X）。预先选定的单工具稿没有达到P2阈值，每工具假声明为0/16。W3的载体全部被渲染，但不安全提案为0/32。
• 作者结论：作者称，二进制派生内容可以指导分析而不获得工具权限，重复记录在sidecar记有依赖时不必增加支持；来源关系和门后状态要进入分析师可见报告。Broad的完整界面对比单独报告，其边际区间包含0，不与上述策略效应合并。