Ataque ALIBI engana analisadores de malware baseados em LLM inserindo uma “história de capa” dentro do próprio binário

LLMs estão sendo cada vez mais integrados a fluxos de triagem de malware como componentes de raciocínio que resumem evidência estática (strings, imports, seções, comportamento de API) e produzem um veredicto legível para analistas humanos. O artigo mostra que essa mesma capacidade de raciocínio abre uma superfície de ataque nova: se o modelo lê e interpreta o conteúdo do binário como parte do seu processo de decisão, o conteúdo do binário passa a ser, efetivamente, uma entrada não confiável que pode manipular a saída — uma forma de injeção indireta embutida no próprio artefato analisado.

O mecanismo do ALIBI é sutil: ele adiciona uma seção somente-leitura e não executada ao PE compilado, contendo uma narrativa coerente e plausível de que se trata de uma ferramenta de segurança de endpoint legítima. Essa seção não altera imports, não muda o comportamento executável e não emite uma instrução direta do tipo “ignore os alertas anteriores” — em vez disso, ela reenquadra a evidência suspeita (por exemplo, chamadas de API sensíveis) como comportamento esperado de um produto de segurança, explorando o fato de que o LLM tenta construir uma explicação coerente para tudo que lê, incluindo texto adversarialmente plantado.

Os resultados quantitativos em um conjunto congelado de 50 amostras maliciosas de PE são expressivos: o payload reverteu o veredicto de 30 das 35 amostras originalmente classificadas como maliciosas pelo Gemini 2.5 Pro para benignas. GPT-5.5 Pro e Claude Opus 4.7 não inverteram o rótulo com a mesma frequência, mas sofreram reduções substanciais de severidade e de confiança — ou seja, mesmo quando o veredicto final permanece malicioso, a confiança e a urgência atribuídas caem o suficiente para potencialmente despriorizar a resposta de um analista humano. O ataque também transfere para binários ELF, com o Gemini revertendo 16 de 40 amostras.

A defesa testada pelos autores — um prompt de verificação guiada que pede ao modelo para separar fatos verificáveis de alegações não verificadas — reduz os falsos veredictos benignos aproximadamente pela metade, mas ainda deixa 42,9% das amostras maliciosas classificadas como benignas. Isso indica que mitigações no nível de prompt são insuficientes: o problema de fundo é arquitetural, já que o modelo está tratando conteúdo controlado pelo atacante (o próprio binário) como fonte confiável de contexto interpretativo. A recomendação dos autores — checagens de proveniência que isolem fatos estruturais verificados (import table real, comportamento observado em sandbox) de qualquer narrativa textual embutida no artefato — é diretamente aplicável a qualquer pipeline que use LLMs para triagem de artefatos potencialmente hostis, não apenas malware.