ALIBI: pesquisadores enganam analisadores de malware baseados em LLM só com uma 'história de cobertura' embutida no binário
Um artigo no arXiv apresenta o ALIBI, um ataque que engana ferramentas de triagem de malware baseadas em LLM ao inserir, dentro do próprio binário, uma seção de texto não executável que narra uma justificativa falsa e plausível de produto de segurança legítimo. Sem alterar imports nem comportamento executável, o ataque reduziu drasticamente a taxa de detecção do Gemini 2.5 Pro e provocou quedas relevantes de severidade e confiança até em GPT-5.5 Pro e Claude Opus 4.7.
O contexto é a adoção crescente de LLMs como camada de raciocínio em fluxos de triagem de malware: em vez de só rodar assinaturas ou sandboxes, ferramentas modernas pedem a um modelo de linguagem que leia evidência estática (strings, seções, comportamento aparente) e produza um veredito legível para o analista humano — benigno, suspeito, malicioso, com uma justificativa em texto. O ALIBI explora exatamente essa camada de interpretação: em vez de tentar instruir o modelo diretamente (o que soa como injeção de prompt e é mais fácil de filtrar), o ataque adiciona ao binário compilado uma seção somente leitura, não executada, contendo uma narrativa coerente que reenquadra evidências suspeitas como comportamento esperado de uma ferramenta de segurança endpoint legítima — por exemplo, justificando acessos a memória de outros processos ou chamadas de rede como parte de uma função de monitoramento 'normal'.
O resultado numérico é o que torna o achado preocupante: em um conjunto fixo de 50 amostras maliciosas de PE (Windows), o payload fez o Gemini 2.5 Pro reclassificar como benignas 30 das 35 amostras que originalmente ele identificava corretamente como maliciosas. GPT-5.5 Pro e Claude Opus 4.7 não chegaram a inverter o veredito na mesma proporção, mas ainda assim tiveram queda substancial de severidade atribuída e de confiança na classificação — ou seja, mesmo quando o rótulo final continuava 'malicioso', o texto de justificativa ficava mais hesitante e menos útil para um analista tomar decisão. A técnica também se mostrou transferível para binários ELF (Linux), com o Gemini revertendo 16 de 40 amostras para benigno.
Os autores testaram uma defesa direta: um prompt de verificação que instrui o modelo a exigir evidência independente antes de aceitar qualquer narrativa embutida no próprio arquivo analisado. Essa defesa reduziu os falsos vereditos benignos pela metade, mas ainda deixou 42,9% das amostras maliciosas classificadas como benignas — uma melhora insuficiente para uso em produção sem camadas adicionais de verificação.
Para quem trabalha com triagem de malware assistida por IA, o recado prático é direto: qualquer conteúdo textual dentro do arquivo sob análise — comentários, strings, seções não executadas, metadados — deve ser tratado como dado não confiável e nunca como contexto de raciocínio para o modelo, exatamente como já se trata em outras áreas onde entrada controlada pelo atacante e instrução de sistema não podem compartilhar o mesmo canal. Isso implica arquitetar esses sistemas com separação explícita entre evidência bruta (o que o binário de fato faz, obtido por análise estática/dinâmica independente) e qualquer texto extraído do próprio arquivo, e usar múltiplas fontes de evidência corroborantes antes de baixar a severidade de um veredito — algo que muitas integrações atuais de 'LLM como copiloto de analista' ainda não implementam.