Jelentősen javítható az npm-es kártevők felismerése az LLM-eknél

A bináris fájlok jelentik a vakfoltot

A Databricks 2025 novembere óta gyűjt npm-kártevőmintákat. A vállalat közlése szerint 11 413, az OSV npm-es kártevőriasztásaival megerősített csomagverziót vizsgáltak meg. Ezek 96,2 százalékában a kártevő a csomag forráskódjában rejtőzött, vagy külső szerverről töltődött le.

A fennmaradó 3,8 százalék, 432 csomagverzió bináris fájlt tartalmazott. Ezek száma kisebb, a triázs során mégis aránytalanul nagy kockázatot jelenthetnek. Egy lecsupaszított, nehezen értelmezhető bináris kód tiszta forráskód és metaadatok közé ágyazható, ami a modell számára tévesen ártalmatlan képet mutathat.

A Databricks által megerősített npm-kártevők között a bináris fájlt tartalmazó csomagok több mint kétszer olyan gyakran nem jutottak el egyértelműen rosszindulatú minősítésig, mint a csak forráskódot tartalmazók. Az arány 14,4 százalék volt a bináris csomagoknál, szemben a forrásalapú csomagok 6,2 százalékával.

Öt támadási mintát vizsgáltak

A kutatók valós időben figyelő szkennert építettek az npm-regisztrációhoz. A rendszer a tarballokon YARA, a JavaScript-kódon és a metaadatokon Semgrep, a bináris állományokon pedig külön bináriselemző modult futtat. Az eredményeket strukturált promptba rendezi, amelyre az LLM legfeljebb három körben további fájlokat is kérhet.

A kísérletben öt natív Node.js-bővítményt, vagyis .node fájlt készítettek. A csomagok mindegyikét professzionális package.json fájl, README, JavaScript-kötések és binding.gyp vette körül. A minták között szerepelt hitelesítőadat-tolvaj, dropper és hátsó ajtó, fordított héj, kriptobányászati csonk, valamint perzisztenciát megvalósító kód.

A sysmon-native nevű hitelesítőadat-tolvaj többféle obfuszkációs szinten jelent meg. A legkeményebben védett változatban a szimbólumokat eltávolították, a karakterláncokat pedig egybájtos XOR-kódolással rejtették el. A kutatók szerint ezt azért választották, mert az erősebb RC4-titkosítással szemben nem hagy olyan szerkezeti jeleket a disassemblálásban, amelyeket a modell könnyen felismerhetne.

A képességprofilok látványosan csökkentették a hibákat

A Databricks capability profile, vagyis képességprofil néven olyan deklaratív leírásokat használ, amelyek egy-egy rosszindulatú technikát, például a hitelesítőadatok gyűjtését vagy a perzisztenciát írják le. A profilok súlyozott feltételek alapján értékelik a szkenner statikus bizonyítékait, majd a megfelelő küszöb elérésekor körülbelül 1800 tokenes összefoglalót illesztenek a modell promptjába.

A hét költséghatékony modell 70 modell és payload párosból álló értékelésén profilok nélkül 35 esetben, vagyis 50 százalékban nem sikerült elérniük a legalább „highly suspicious” minősítést. A rosszindulatú minősítés küszöbét 51 esetben, 73 százalékban nem érték el. A két magasabb képességű referencia-modell egyik vizsgált küszöbnél sem hibázott.

Profilokkal a 35 korábbi felismerési hibából 32, vagyis 91 százalék javult felismeréssé. Egyetlen modell sem adott ártalmatlan minősítést egyik ismert kártevőre sem. A költséghatékony modellek felismerési küszöbnél mért hibaaránya 50 százalékról 4 százalékra csökkent, ez 3 hibás esetet jelentett a 70-ből. A rosszindulatú minősítés küszöbén a hibák aránya 73 százalékról 34 százalékra esett vissza.

A GPT-5.4-nano három esetben továbbra is csak gyanúsnak minősítette a mintát. A többi, profilok nélkül hibázó modell minden esetben eljutott a teljes felismerésig. A Databricks egyik kiemelt példája a Qwen3-Next 80B obfuszkált sysmon-native mintája: profilok nélkül 0,98-as bizonyossággal ártalmatlannak ítélte, profilokkal pedig ugyanilyen bizonyossággal rosszindulatúnak, azonos bemeneti bájtok mellett.

A módszer a zárt modelleknél is alkalmazható

A Databricks megközelítése az utasításfinomítástól eltérően nem a modell súlyaiba építi be a szakértői tudást. A statikus bizonyítékokból létrehozott szakértelmet a következtetés során, közvetlenül a promptban adja át a modellnek. Így a megoldás a közlemény szerint zárt, hosztolt modellekkel is használható, és a fenyegetési környezet változásakor nem szükséges újratanítás.

Az eredmények alapján a bináris elemzésre szabott profilok a költséghatékony és a nagyobb képességű modellek döntéseit is támogathatják. A módszer különösen azoknál az npm-csomagoknál lehet fontos, amelyek tisztának látszó forráskód mögött előre lefordított kártevőt szállítanak.