Deception Delta：刻意构造的字节码如何误导 LLM 分析

当天发生了什么

2026-09-12（UTC），Timo Schefold 在 arXiv 提交了论文 The Deception Delta 的 v1（v2 于 2026-10-06 提交）。论文研究用于区块链取证的大语言模型能否被刻意设计的智能合约误导：作者用六种提示策略，在 13 个专门构造的合约（9 个欺骗性、4 个对照）上测试 22 个前沿模型，得到 8,528 次有效运行。与功能匹配的对照相比，欺骗手法使资金抽取行为的检出率下降约 20 个百分点。多跳调用链、经 XOR 掩码的函数选择器和从存储加载的参数几乎在所有模型上都能规避检测；部分模型能正确描述隐藏机制，却接受了合约的良性包装。简单的防护指令总体无效，只有两家提供方的五个模型检出率超过 50%。作者明确说明，结论只适用于单轮、仅原始字节码的设置，不涵盖多轮、工具增强或借助反编译器的流程。

对保护应用逻辑的人意味着什么

研究对象是智能合约而非应用，但它提供了一个数据点：间接跳转、掩码和数据驱动的分派这类手法，确实会影响 LLM 在单轮阅读下的理解。不过不能把它推广为“混淆可以挡住 AI”。现实中的分析者更可能使用多轮、带工具和反编译器的智能体流程，而这恰好在论文范围之外。另一个更直接的启示在防守方自身：如果你用 LLM 审查自己的代码或第三方 SDK，论文中“正确描述了机制却给出错误结论”的现象说明，单轮 LLM 审查可能带来虚假的安心感。

可以做的检查

第一，不要把单轮 LLM 审查作为接入第三方 SDK 或二进制依赖的唯一关卡，保留人工复核和动态观察。第二，评估自家保护措施对 AI 辅助分析的影响时，使用多轮、可调用工具的场景，而不仅是把代码贴进对话。第三，任何关于“AI 难以理解我们的代码”的对外表述，都应注明测试协议和范围。第四，在审查报告中区分模型对机制的描述和它给出的风险结论，分别核对。

行动清单

• 单轮 LLM 审查不作为第三方依赖的唯一关卡
• 用多轮、带工具的场景评估保护效果
• 对外表述注明测试协议与范围