KLEECopilot：用 LLM 引导 KLEE 的定向符号执行

当天发生了什么

2026-07-23 10:54（UTC），论文《Directed Symbolic Execution for Vulnerability Discovery: An LLM-Guided Approach in KLEE》v1 提交到 arXiv。作者指出，KLEE 的路径优先级启发式多以覆盖率为目标，容易在循环结构中耗尽探索预算。他们提出的 KLEECopilot 用 LLM 标注可能存在漏洞的代码来引导路径优先级，并加入循环出口优先策略。据摘要，与 Empc 等基线相比，基本块覆盖率提高 42.24%，行覆盖率提高 125.82%，共发现 1,335 个违规、87 个唯一违规；效果与模型家族有关，但对模型规模不太敏感。

对防御方的意义与边界

这项工作体现了一个趋势：LLM 不必独立完成分析，而是为符号执行、模糊测试等传统工具提供「往哪里看」的判断，从而降低深入分析的成本。需要注意边界：KLEE 工作在 LLVM 位码上，论文评估的是有源代码的程序，摘要没有涉及经过混淆或只有二进制的目标，因此不能直接推论到已发布应用。对开发者更实际的含义是，同样的技术先用在自己的代码上收益最大：应用中随包分发的原生解析库、协议处理和文件格式代码，一旦有漏洞，无论是否混淆都会成为风险。隐藏实现不能修复缺陷。

可以做的检查

第一，列出应用中处理外部输入的原生代码（图片与文档解析、加解密封装、私有协议），把它们纳入模糊测试或符号执行，并在 CI 中保留语料。第二，如果引入 LLM 辅助的分析工具，记录所用模型和提示，以便复现结果；论文显示效果与模型家族相关，换模型后应重新评估。第三，修复发现的问题后，在加固或混淆之后的构建上再次运行回归测试，确认转换没有引入新的行为差异。

行动清单

• 把处理外部输入的原生代码纳入模糊测试或符号执行
• 记录 LLM 辅助分析所用模型与提示以便复现
• 在加固后的构建上重新运行回归测试