2025 · 期刊论文
Malsight：结合恶意源代码与良性伪代码的二进制恶意软件迭代式摘要生成
Malsight: Exploring Malicious Source Code and Benign Pseudocode for Iterative Binary Malware Summarization
MALSIGHT 以函数为单位，为剥离符号的二进制恶意软件生成自然语言摘要。它先用 IDA Pro 生成伪代码和调用图，再按先被调用者、后调用者的顺序生成摘要，使每个调用者都能获得其被调用函数的摘要作为上下文；另有一个序列标注模型标记关键 API 调用和字符串，据此进行代码检索并由大语言模型生成注释。摘要模型 MalT5 是 0.77B 参数的 CodeT5+，先在 MalS 上微调，即来自 GitHub 的 89,609 个恶意 C 源码函数，其摘要由大语言模型生成并经人工审阅完善，再在 Capybara 数据集带注释的良性伪代码上微调。作者还提出了包含 500 个伪代码函数的测试集 MalP 和微调 BLEURT 得到的评测指标 BLEURT-sum，并报告 MalT5 的表现与规模大得多的 Code Llama 模型相当。
研究范围与局限
训练用摘要由大语言模型生成，再经五位专家审阅完善，并非从零开始人工撰写。MalP 的 500 个测试函数来自对同一批 GitHub 恶意代码仓库中 20 个仓库的编译与反编译，而非野外样本；作者也指出，过滤不够严格可能导致训练集与测试集重叠，从而使结果偏高。质量评估主要采用作者自行提出的 BLEURT-sum 指标。在十个真实恶意软件样本上（其中 79 个函数另由三名逆向工程人员评分），BLEURT-sum 比在 MalP 上低约 30%，作者将其归因于函数过长：15.8% 的函数超过 1,000 个词元，而大多数训练函数不足 300 个。该流程依赖 IDA Pro 伪代码，静态注释依赖在线代码搜索和通用大语言模型。MALSIGHT 用于概括行为，既不是恶意软件检测器，也不是分类器。
与本合集的关联
补充沿调用图对剥离符号的恶意软件伪代码进行摘要的大语言模型方法，与反编译、符号恢复以及包含二进制代码摘要任务的基准记录互补。
发表与复核详情
- 发表载体
- IEEE Transactions on Information Forensics and Security
- 发表状态
- 期刊论文
- 出版／提交日期
- 2025 年（具体日期未核实）
- 日期依据
- IEEE 提交的 Crossref 元数据仅给出第 20 卷的出版年份 2025。本条目不依据 2025-06-26 的 DOI 注册日期或 arXiv 日期推定月份或日期。
- arXiv 首次提交
- 2024 年 6 月 26 日
- arXiv
- 2406.18379
- 已复核的 arXiv 版本
- v3
- DOI
- 10.1109/TIFS.2025.3583552
Crossref 记录第 20 卷、页码 6733–6747 及九位作者顺序，与 arXiv 一致；其标题写作“Malsight”，arXiv 与论文正文则写作 MALSIGHT，本条目采用出版方标题。IEEE Xplore 无法访问，因此出版信息以 Crossref 为准，所审阅的文本是 arXiv v3（2025-06-17），其注释说明论文已被 IEEE TIFS 接收；v1 发布于 2024-06-26，v2 为 2024-11-06。论文先称从 2,289 个仓库中提取了近 3 万个函数，随后又给出 MalS 共 89,609 个函数；贡献列表称 MalT5 为 0.7B 参数，其他部分则为 0.77B。脚注 1 承诺发布源码，但未给出链接。仓库 lhl7/Malsight 的描述为“code for Malsight”，其所属账号的个人资料名称与第一作者一致，但论文和作者页面均未链接该仓库，因此 code_url 保持为空。在所审阅的 2025-07-24 提交中，该仓库没有许可证文件，并链接采用 Apache-2.0 许可的 Hugging Face 模型（序列标注、CodeT5+ 770M、BLEURT）与数据集。本次未下载或运行任何内容。
来源复核于
本合集仅做来源复核，未重新运行论文实验。请通过原始论文或 BibTeX 引用原作者。