核心发现
方法论
本文提出Decompile-Diverge方法，通过合成驱动程序和生成模糊测试语料库，检测LLM反编译器在重编译代码时的行为偏差。该方法不依赖固定测试，能自动生成输入并比较反编译代码与原始代码的行为差异。
关键结果
- 在八个系统的九种配置中，尽管所有候选代码通过了原始测试，但在生成的输入语料库上仍有4.9%的整体偏差率，单个系统偏差率高达13%。
- 在300个GitHub库函数和287个CVE函数中，LLM反编译器的重编译率从75%提高到90%，但行为匹配率从74%下降到62%。
- 在已披露的漏洞中，最多有十分之一在输出中表现出崩溃缺失。
研究意义
该研究揭示了LLM反编译器在重编译过程中可能隐藏漏洞的风险，强调了行为一致性的重要性。通过检测行为偏差，Decompile-Diverge为安全审计和漏洞分析提供了新的工具，填补了现有测试套件的空白。
技术贡献
本文的技术贡献在于提出了一种不依赖固定测试的行为比较方法，能够动态生成输入并检测反编译代码的行为变化。该方法为LLM反编译器的评估提供了新的视角，揭示了传统工具未能捕捉的失败模式。
新颖性
Decompile-Diverge是首个不依赖固定测试的反编译行为比较工具，能够自动生成输入并检测行为偏差，与现有方法相比具有显著创新。
局限性
- 该方法在多维数组和函数指针等类型上无法应用，限制了其适用范围。
- 在某些项目特定类型上，重编译率较低，影响了CVE函数的检测效果。
未来方向
未来研究可以扩展Decompile-Diverge的适用范围，支持更多数据类型，并开发更高效的输入生成算法，以提高检测精度。
AI 总览摘要
反编译是从已编译的机器代码中恢复高级源代码的过程，广泛应用于安全审计和漏洞分析。然而，传统反编译器如Ghidra和Hex-Rays常常无法解决某些分析，导致生成的伪代码无法编译或执行。近年来，基于大语言模型（LLM）的反编译器能够生成干净、惯用的C代码，重编译率和可执行性显著提高。然而，这些指标可能误导，因为代码可能在其他合法输入上表现出不同的行为，甚至隐藏已披露的漏洞。
为解决这一问题，本文提出了Decompile-Diverge方法。该方法通过合成驱动程序和生成模糊测试语料库，检测反编译代码与原始代码的行为差异。实验结果表明，在八个系统的九种配置中，尽管所有候选代码通过了原始测试，但在生成的输入语料库上仍有4.9%的整体偏差率，单个系统偏差率高达13%。
这一发现对学术界和工业界具有重要意义。它揭示了LLM反编译器在重编译过程中可能隐藏漏洞的风险，强调了行为一致性的重要性。Decompile-Diverge为安全审计和漏洞分析提供了新的工具，填补了现有测试套件的空白。未来研究可以扩展该方法的适用范围，支持更多数据类型，并开发更高效的输入生成算法，以提高检测精度。
深度分析
研究背景
反编译是安全和软件工程中的基础任务，支持安全审计、漏洞分析和遗留软件维护。传统反编译器如Ghidra和Hex-Rays常常无法解决某些分析，导致生成的伪代码无法编译或执行。近年来，基于LLM的反编译器在重编译率和可执行性上取得了显著进展。
核心问题
现有的重编译和可执行性指标可能误导，因为代码可能在其他合法输入上表现出不同的行为，甚至隐藏已披露的漏洞。这一问题在现有测试套件中未被捕捉。
核心创新
Decompile-Diverge方法通过合成驱动程序和生成模糊测试语料库，检测反编译代码与原始代码的行为差异。该方法不依赖固定测试，能够自动生成输入并比较反编译代码与原始代码的行为差异。
方法详解
- �� 合成驱动程序以生成输入
- �� 使用AFL++模糊测试生成语料库
- �� 比较反编译代码与原始代码的行为差异
- �� 检测崩溃、挂起和行为变化
实验设计
实验在八个系统的九种配置上进行，使用300个GitHub库函数和287个CVE函数。通过合成驱动程序和生成模糊测试语料库，检测反编译代码与原始代码的行为差异。
结果分析
尽管所有候选代码通过了原始测试，但在生成的输入语料库上仍有4.9%的整体偏差率，单个系统偏差率高达13%。在已披露的漏洞中，最多有十分之一在输出中表现出崩溃缺失。
应用场景
Decompile-Diverge可用于安全审计和漏洞分析，帮助检测反编译过程中隐藏的漏洞。该方法为LLM反编译器的评估提供了新的视角。
局限与展望
该方法在多维数组和函数指针等类型上无法应用，限制了其适用范围。在某些项目特定类型上，重编译率较低，影响了CVE函数的检测效果。
通俗解读 非专业人士也能看懂
想象你在厨房里做饭。传统的反编译器就像一本食谱，某些步骤不清楚，你只能猜测。LLM反编译器就像一个聪明的厨师，能把这些步骤补充完整，但有时会自作聪明，加入不该有的调料。Decompile-Diverge就像一个严格的美食评论家，品尝每道菜，确保味道和原来的食谱一致。这样，即使厨师做的菜看起来不错，也能发现其中的偏差。
简单解释 像给14岁少年讲一样
想象你在玩一个复杂的电子游戏。传统的反编译器就像游戏攻略，有些地方模糊不清，你得自己摸索。LLM反编译器就像一个游戏高手，能帮你快速通关，但有时会走错路。Decompile-Diverge就像一个严格的裁判，检查每一步操作，确保你按照正确的路线走。这样，即使高手帮你通关，也能发现其中的错误。
术语表
反编译 (Decompilation)
从机器代码恢复高级源代码的过程，广泛用于安全和软件工程。
用于检测漏洞和分析恶意软件。
大语言模型 (LLM)
一种基于深度学习的模型，能够生成自然语言文本。
用于生成惯用的C代码。
行为偏差 (Behavioral Divergence)
反编译代码与原始代码在相同输入下表现出不同行为的现象。
用于评估反编译器的准确性。
模糊测试 (Fuzzing)
一种自动化测试技术，通过随机生成输入来检测软件漏洞。
用于生成输入语料库。
崩溃缺失 (Crash Absence)
反编译代码中已披露漏洞的崩溃现象消失。
用于评估反编译器的安全性。
开放问题 这项研究留下的未解疑问
- 1 如何提高Decompile-Diverge在多维数组和函数指针上的适用性？
- 2 如何在项目特定类型上提高重编译率？
应用场景
近期应用
安全审计
帮助安全研究人员检测反编译过程中隐藏的漏洞，提高代码安全性。
远期愿景
自动化漏洞分析
通过改进Decompile-Diverge，自动化检测和修复代码中的安全漏洞。
原文摘要
Decompilation recovers high-level source from compiled machine code and serves as a foundation for security tasks such as vulnerability detection and malware analysis. Traditional decompilers like Ghidra and Hex-Rays expose whatever they cannot resolve as visible placeholders and often emit pseudocode that will not compile or execute; LLM-based decompilers produce clean, idiomatic C and are now judged almost entirely by recompilability and re-executability: whether the output builds and passes its shipped input/output tests. We show that these metrics can reward the wrong path: a function may recompile and pass every shipped test yet diverge on other legitimate inputs, and a disclosed vulnerability may disappear from the recompiled code with no visible trace of the crash. Neither failure is caught by existing suites. To address this gap, we propose Decompile-Diverge, a behavioral comparison oracle not relying on fixed or hand-crafted tests: for each function it synthesizes a driver, grows a fuzzing corpus from the reference, and reruns the decompiled code on the same inputs to detect changes in the function's behavior. Across eight systems in nine configurations on established LLM decompilation corpora, candidates that pass every shipped test still diverge from the original on our input corpus: 4.9% overall, and as many as 13% for a single system. On 300 real GitHub library functions and 287 CVE-grounded functions, recompilability and behavioral agreement can come apart: the strongest refinement LLM lifts Ghidra's build rate from 75% to 90%, while its Matched rate falls from 74% to 62%; on disclosed vulnerabilities, up to one tenth exhibit Crash Absence in its output. Source-level analysis traces this divergence to introduced fields, types, callees, and guards that replace the visible unknowns traditional tools leave behind.