SoK, potenzialità e sfide dei modelli linguistici per il Reverse Engineering

Il reverse engineering è da sempre una delle attività più complesse nel mondo della cybersecurity. Disassemblare, decompilare, interpretare binari offuscati e ricostruire la logica nascosta all’interno di un eseguibile richiede tempo, competenze approfondite e grande attenzione ai dettagli. Negli ultimi anni però, con l’arrivo dei modelli linguistici di grandi dimensioni, si è aperta una prospettiva nuova: sfruttare la capacità di questi sistemi di ragionare su testo e codice per accelerare e in parte automatizzare il processo di analisi. Un recente lavoro pubblicato su arXiv propone una vera e propria sistematizzazione delle conoscenze su questo tema, raccogliendo 44 studi accademici e 18 progetti open source che uniscono LLM e reverse engineering e cercando di dare un ordine a un campo di ricerca ancora frammentato. L’articolo si presenta come una fotografia aggiornata e completa, utile non solo per i ricercatori ma anche per i professionisti della sicurezza che vogliono capire se e come questi strumenti possano entrare nei flussi di lavoro reali.

L’idea di fondo è chiara: i modelli linguistici, addestrati su enormi quantità di dati testuali e di codice, hanno sviluppato capacità che sembrano adattarsi bene ad alcuni passaggi tipici del reverse engineering. Sanno generare descrizioni, rinominare variabili, individuare pattern, suggerire corrispondenze semantiche tra frammenti di codice. Allo stesso tempo però emergono limiti significativi: le famigerate “allucinazioni”, ovvero la tendenza a produrre output plausibili ma falsi, l’incapacità di gestire correttamente il codice fortemente offuscato, la difficoltà di operare a livello di istruzioni macchina o di raw bytes dove il contesto semantico è minimo. Il cosiddetto “gap semantico” tra il linguaggio macchina e il codice ad alto livello rimane una barriera dura da superare.

Il contributo principale dello studio è una tassonomia a cinque dimensioni che permette di classificare i diversi approcci. Le ricerche possono essere distinte in base all’obiettivo (performance, interpretabilità, scoperta, robustezza), al target su cui operano (raw bytes, assembly, codice decompilato o sorgente), al metodo utilizzato (dalla semplice ingegneria dei prompt al fine-tuning, dall’integrazione con basi di conoscenza all’uso di agenti e pipeline complesse), al tipo di valutazione adottata (esperti umani, metriche automatiche, test con ground truth) e infine alla scala dei dati impiegata per l’addestramento o la validazione. Questa griglia mette in evidenza come la stragrande maggioranza dei lavori sia ancora concentrata sul miglioramento della performance di compiti noti, mentre sono pochissimi quelli che mirano a una reale interpretabilità dei risultati o alla scoperta di nuove vulnerabilità. Allo stesso modo la maggior parte degli studi lavora su codice decompilato o assembly, mentre il livello più grezzo dei raw bytes rimane poco esplorato.

Tra gli esempi più citati ci sono progetti come DeGPT, che mostra come un approccio basato su codice decompilato e una combinazione di prompting ed euristiche semantiche possa produrre risultati concreti e valutabili anche da esperti, e DISASLLM, che invece evidenzia i limiti dei modelli attuali quando ci si trova di fronte a forti tecniche di offuscamento. In generale emerge un quadro promettente ma ancora incompleto: i progressi ci sono, ma la fragilità dei modelli, la scarsa riproducibilità e la mancanza di dataset e benchmark condivisi frenano la possibilità di trasformare questi studi in strumenti realmente affidabili.

Dal punto di vista pratico per la comunità cybersecurity significa che oggi i modelli linguistici possono essere utilizzati come supporto nell’analisi, come acceleratori in alcune fasi ripetitive o di documentazione, ma non possono sostituire l’occhio critico dell’analista. È fondamentale mantenere un approccio prudente, verificare ogni risultato e non considerare mai l’output di un LLM come una verità affidabile senza riscontri. Gli autori del paper sottolineano che la direzione futura dovrebbe puntare non solo a modelli più grandi, ma a metodologie ibride più robuste, a dataset aperti e condivisi, a pipeline trasparenti e riproducibili. La sfida non è solo tecnica ma anche comunitaria: servono standard, benchmark e tool open source che permettano di crescere insieme, evitando di affidare tutto a soluzioni proprietarie e opache.

Il messaggio è duplice. Da un lato è il momento giusto per sperimentare, perché chi saprà integrare per primo le capacità degli LLM con gli strumenti di analisi tradizionali potrà avere un vantaggio competitivo reale. Dall’altro lato è necessario sviluppare una mentalità critica, capace di riconoscere quando un modello offre un contributo utile e quando invece rischia di introdurre rumore, bias o addirittura vulnerabilità. In definitiva il connubio tra intelligenza artificiale e reverse engineering non è magia, ma un terreno fertile in cui le potenzialità si intravedono chiaramente e le sfide non mancano.