VulDec usa decompilação neural para detectar vulnerabilidades diretamente em binários sem código-fonte
O VulDec combina um decompilador neural baseado em LLM, treinado para reconstruir código C legível a partir de Assembly, com um detector de vulnerabilidades que opera sobre essa reconstrução, atacando um cenário comum em auditoria de segurança: analisar um executável quando o código-fonte não está disponível. O sistema atinge F1-score macro de 0,61 em um conjunto de teste realista com apenas 3% de taxa de vulnerabilidade.
Detectar vulnerabilidades em binários — sem acesso ao código-fonte original — é um problema clássico de segurança ofensiva e defensiva: pesquisadores de vulnerabilidades, times de resposta a incidentes e analistas de malware frequentemente só têm o executável em mãos. Ferramentas de análise estática tradicionais sobre assembly funcionam, mas o nível de abstração é baixo demais para que modelos de aprendizado de máquina (e até analistas humanos) reconheçam padrões de vulnerabilidade com a mesma facilidade que teriam lendo código-fonte em C.
O VulDec ataca essa lacuna com uma abordagem em duas etapas. Primeiro, cria um dataset em larga escala de pares reais Assembly-C, cuidadosamente alinhados e anotados com rótulos detalhados de CWE (Common Weakness Enumeration), cobrindo múltiplas arquiteturas de processador — um recurso que os autores afirmam ser inédito nessa combinação. Segundo, treina LLMs como decompiladores neurais sobre esse dataset, que reconstroem uma aproximação do código-fonte C a partir do assembly, e então aplica um detector de vulnerabilidades, também baseado em LLM, sobre essa reconstrução, em vez de operar diretamente no assembly bruto.
Os resultados de decompilação mostram similaridade de edição de aproximadamente 56% e BLEU-4 de cerca de 43% entre o código reconstruído e o original — longe de uma reconstrução perfeita, mas aparentemente suficiente para preservar sinais relevantes de vulnerabilidade. O detector final atinge F1-score macro de 0,61 em um conjunto de teste realista com taxa de vulnerabilidade de apenas 3%, um cenário desbalanceado que se aproxima mais da distribuição real de binários (a maioria das funções não é vulnerável) do que benchmarks artificialmente balanceados.
O valor do trabalho está em validar, com dados mais realistas que trabalhos anteriores, que decompilação neural pode servir de camada intermediária útil para detecção de vulnerabilidades em binários — potencialmente relevante para análise de malware, auditoria de firmware e software proprietário, e triagem inicial de executáveis desconhecidos em resposta a incidentes, onde hoje o trabalho de reconstrução mental do código a partir do assembly ainda recai quase inteiramente sobre analistas humanos.