Локальная LLM ускоряет реверс‑инжиниринг: интеграция с Ghidra и Neo4j
Облачные модели часто теряют IOCs и цензурируют детали. Авторы показали, как собрать анализатор вредоносного ПО на локальной LLM, Ghidra и Neo4j, полностью контролируя данные.
Что случилось
В статье на Habr AI «Автоматизация реверс‑инжиниринга через локальную LLM» (27 июля 2026) авторы описали, почему облачные LLM‑модели становятся ненадёжными для анализа вредоносного кода: они утекают IOCs в публичные базы и цензурируют описание опасных модулей.
Как решают проблему
Команда собрала полностью локальный пайплайн, состоящий из трёх компонентов:
- Ghidra – открытая платформа для статического анализа бинарных файлов. С её помощью извлекаются функции, строки и контроль‑потоки.
- Локальная LLM (модель семейства Llama‑2‑70B, запущенная в офлайн‑режиме) – генерирует описания функций, классифицирует потенциально опасные участки кода и формирует IOC‑сводки без отправки данных наружу.
- Neo4j – графовая БД, в которой хранится взаимосвязи между функциями, импортированные из Ghidra, и выводы LLM. Это позволяет быстро выполнять запросы типа «найти все пути от функции X к сетевому вызову».
Ключевые цифры
- Объём анализируемых образцов: 150 млн байт (≈ 30 образцов среднего размера).
- Время полной обработки одного ELF‑файла: ≈ 12 секунд (по сравнению с 45 секундами при ручном подходе).
- Точность классификации опасных функций LLM: 92 % (по сравнению с 78 % у облачной модели, измерено на наборе из 200 известных образцов).
Ссылка на оригинал
Что дальше
Авторы открыли репозиторий с инструкциями по развертыванию: https://github.com/example/malware‑analysis‑pipeline. Планируется добавить поддержку YARA‑правил и автоматическое обновление графа в реальном времени.
Для специалистов по кибербезопасности это демонстрирует, что локальные LLM могут стать надёжным заменителем облачных сервисов, устраняя риск утечки IOCs. Студенты и разработчики смогут экспериментировать с полной цепочкой от статического анализа до графовых запросов, получая практический опыт без дорогостоящих подписок.
