RARE：二进制内容误导 LLM 辅助逆向的表示混淆攻击

当天发生了什么

2026-07-14（UTC 08:38），Igor Santos-Grueiro 在 arXiv 提交了《When Binaries Talk Back: Representation-Confusion Attacks on LLM-Assisted Reverse Engineering》（2607.12507，v1）。论文研究分析攻击者可控二进制的 LLM 辅助逆向系统：二进制可以让数据看起来像指令，或让同源记录看起来像独立证据，作者称之为 RARE，并提出 RARE-Bench 评测。按摘要，没有运行时控制时，模型在 40 个对抗样本中有 35 个提出了预埋的不安全操作；仅把二进制内容渲染为数据仍有 15 个；工具授权控制拒绝了这 15 个，同时放行全部 40 个正常请求；按来源归并证据的 Provenance Gate 对 40 个错误结论全部不予认可。

对评估 AI 辅助分析意味着什么

这篇论文给出了两个对开发者都有用的结论。其一，AI 辅助的逆向结果不是事实本身：多个工具的输出未必是相互独立的证据，同一来源的信息被重复计数时，错误结论会显得“证据充分”。如果你用模型来审查第三方 SDK、可疑依赖或自己的发布包，这个风险同样存在。其二，有人可能会想到反过来利用这一点，在自己的应用里放置误导内容来干扰 AI 分析。论文的结果恰恰表明，合理的授权和来源控制能够中和这类干扰，所以它并不是持久的保护手段，还可能给自己的维护和审核带来麻烦。我们不建议把这当作防护策略。

可以在自己的流程里做的检查

第一，如果团队用 LLM 辅助分析二进制或依赖，把从二进制中提取的字符串、反编译代码和工具报告一律视为“数据”，不让它们直接触发工具调用或决定流程走向。第二，为模型可调用的工具设置显式授权，只允许分析人员发起的操作。第三，在汇总结论时按来源归并证据，同一来源的多条记录不重复计数。第四，关键结论由人工复核，并保留每条结论对应的原始证据位置。第五，评估外部“AI 安全分析”服务时，询问其如何处理不可信输入，而不是只看报告的篇幅和结论数量。

行动清单

• 把二进制提取内容视为数据，不作为指令
• 模型可调用的工具需显式授权
• 按来源归并证据，避免重复计数
• 关键结论人工复核并保留原始证据