ALIBI：针对 LLM 恶意软件分析器的二进制对抗合法性注入

arXiv 论文提出 ALIBI 攻击：在已编译二进制中加入一小段不执行的只读区段，写入连贯但虚假的安全产品说明，不修改导入表和执行行为。在 50 个恶意 PE 样本上，Gemini 2.5 Pro 将 35 个基线恶意样本中的 30 个判为良性；GPT-5.5 Pro 与 Claude Opus 4.7 虽保留标签但严重程度大幅下调、置信度显著降低。攻击可迁移至 ELF，Gemini 翻转 40 个中的 16 个。

LLM 正被当作恶意软件初筛的推理组件，此前关注点多在模型能力；该研究显示同一推理能力本身成为攻击面，攻击者无需改代码即可操纵结论，说明单靠叙事与静态证据的分析流程存在可复现的系统性风险。

ALIBI 不向模型下达指令，而是把可疑证据重新包装成良性终端安全产品的预期行为，利用模型对自然语言上下文的信任覆盖对二进制实际行为的判断。由于只读区段不参与执行，传统基于行为或导入表的检测难以察觉，攻击效果可跨 PE 与 ELF 迁移。

以 LLM 做恶意软件初筛的产品需区分已核实事实与攻击者可控声明，加入来源校验而非信任叙述；防御提示可将良性误判大致减半，但仍有 42.9% 恶意样本被判良性，意味着不可将其作为唯一裁决依据，须保留人工复核和确定性检测环节。

• 在分析流程中引入来源校验层，把二进制中不可信文本与可验证的静态证据分开呈现给模型和分析师。
• 将 LLM 判定降级为线索提示，与沙箱、签名、导入表等确定性检测组成多源投票，避免单一模型 verdict 直接落地。
• 针对只读非执行区段中的语义文本建立标记与告警规则，作为此类对抗注入的初筛信号。
• 在评测体系中加入 ALIBI 类对抗样本，持续跟踪不同模型与防御提示下的误判率变化。

• 该攻击在其他模型与更大样本集上的翻转率是否稳定，证据仅覆盖三个模型和有限样本。
• 防御提示减半误判的机制是否可泛化，42.9% 残余误判的成因尚不明确。
• 加入来源校验后实际误判率能降到什么水平，论文未给出部署级验证。
• 非 PE/ELF 格式或不同编译器产物是否同样易受影响，证据尚未覆盖。