ALIBI: Adversarial Legitimacy Injection in Binary Input against LLM Malware Analyzers

📄 arXiv: 2609.19722v1 📥 PDF

作者: Hyeongjun Choi, Wonyoung Jung, Haehoon Seo, Sungyup Nam

分类: cs.CR, cs.LG

发布日期: 2026-09-17

备注: 12 pages, 4 figures, 4 tables

💡 一句话要点

提出ALIBI以解决LLM恶意软件分析中的攻击面问题

🎯 匹配领域: 支柱九：具身大模型 (Embodied Foundation Models)

关键词: 恶意软件分析 大型语言模型 语义攻击 二进制文件 网络安全

📋 核心要点

  1. 现有的基于LLM的恶意软件分析方法容易受到语义攻击，导致错误的分类结果。
  2. ALIBI通过在二进制文件中添加虚假的安全叙述，重新构造可疑证据，从而误导分析器的判断。
  3. 在实验中，ALIBI成功将30个恶意样本标记为良性，显示出其在恶意软件分析中的有效性。

📝 摘要（中文）

随着大型语言模型（LLM）被整合进恶意软件分类工作流，本文展示了其推理能力带来的新攻击面。我们提出了ALIBI，一种针对基于LLM的恶意软件分析器的语义掩盖攻击。ALIBI在编译的二进制文件中添加一个小的只读部分，包含连贯但虚假的安全产品叙述，而不改变导入或可执行行为。通过将可疑证据重新表述为良性端点安全工具的预期行为，ALIBI成功地将35个基线恶意样本中的30个标记为良性。实验结果显示，LLM恶意软件分析器需要进行来源检查，以区分经过验证的事实与攻击者控制的声明，而非单纯依赖叙述的可信度。

🔬 方法详解

问题定义：本文要解决的问题是现有基于LLM的恶意软件分析器在推理过程中可能被误导，导致错误的分类结果。现有方法缺乏对输入的有效验证，容易受到攻击。

核心思路：ALIBI的核心思路是通过在二进制文件中添加一个只读部分，包含虚假的安全产品叙述，来重新表述可疑证据。这种方法不改变程序的可执行行为，从而避免了直接的指令干预。

技术框架：ALIBI的整体架构包括三个主要模块：首先是对恶意软件样本的分析，其次是生成虚假叙述，最后是将叙述嵌入到二进制文件中。整个流程确保了恶意软件的行为不被改变，同时有效地误导分析器。

关键创新：ALIBI的最大创新在于其语义掩盖攻击的设计，通过构建一个连贯的虚假叙述，成功地将恶意样本标记为良性。这与传统的攻击方法不同，后者通常依赖于直接修改代码或行为。

关键设计：在设计中，ALIBI确保添加的只读部分不影响程序的执行流，并且通过精心构造的叙述来增强其可信度。具体的参数设置和叙述内容的选择是实现成功攻击的关键。

🖼️ 关键图片

fig_0
img_1
img_2

📊 实验亮点

实验结果表明，ALIBI在Gemini 2.5 Pro上成功将30个恶意样本标记为良性，且在GPT-5.5 Pro和Claude Opus 4.7上也表现出显著的严重性降级。对于ELF二进制文件，Gemini成功翻转了16个恶意样本，显示出该方法的广泛适用性。

🎯 应用场景

该研究的潜在应用领域包括网络安全、恶意软件检测和自动化安全分析。ALIBI的提出为提升恶意软件分析器的鲁棒性提供了新的思路，同时也为安全研究人员在设计防御机制时提供了重要参考。未来，随着恶意软件技术的不断演进，如何有效应对此类攻击将成为一个重要的研究方向。

📄 摘要（原文）

Large language models are being integrated into malware triage workflows as reasoning components that summarize static evidence and produce analyst-facing verdicts. This paper shows that the same reasoning capability introduces a new attack surface. We present ALIBI, a semantic cover story attack against frontier LLM-based malware analyzers. ALIBI adds a small, non-executed read-only section to a compiled binary, containing a coherent but false security product narrative, without altering imports or executable behavior. Instead of issuing direct instructions to the model, it reframes suspicious evidence as expected behavior of a benign endpoint security tool. On a frozen PE set of 50 malicious samples, the payload flips 30 of the 35 baseline-malicious samples to benign on Gemini 2.5 Pro, while GPT-5.5 Pro and Claude Opus 4.7 produce substantial severity downgrades with significant confidence reductions even when verdict labels are preserved. The attack transfers to ELF binaries, where Gemini flips 16 of 40. A verification-guided defense prompt roughly halves the benign verdicts, but 42.9 percent of malicious samples still reach benign. LLM malware analyzers therefore require provenance checks that separate verified facts from attacker-controlled claims, not narrative trust.