Нейросети находят бэкдоры в прошивках коммутаторов за три запроса
Исследователи показали, как LLM за три простых промпта выявляют скрытые функции и потенциальные бэкдоры в открытых прошивках сетевого оборудования.
Некоторые производители сетевого оборудования продолжают поставлять прошивки в незашифрованном виде, оставляя в них отладочные символы и даже скрытые сервисы. Традиционный анализ таких образов требовал использования binwalk, написания кастомных скриптов и ручного просмотра сотен файлов – процесс, который занимал часы, а иногда и дни.
В новой статье на Habr AI авторы продемонстрировали, как современные крупные языковые модели (LLM) способны автоматизировать эту работу, сократив её до трёх простых запросов. Первый запрос просит модель распаковать образ и перечислить все включённые файлы и их типы. Второй – найти функции, отмеченные отладочными символами, и собрать их в список. Третий – проанализировать найденные функции на предмет сетевых вызовов, подозрительных строк и потенциальных backdoor‑триггеров.
Метод был протестирован на прошивках популярных коммутаторов Cisco и Juniper. За счёт LLM удалось за 5‑10 минут обнаружить скрытый telnet‑сервер, активируемый только при наличии специального флага, а также отладочную консоль, доступную через нестандартный порт. По сравнению с традиционным подходом, время анализа сократилось более чем в 30 раз, а покрытие — до 85 % обнаруживаемых уязвимостей, подтверждённое последующим ручным ревью.
Авторы подчёркивают, что полученные результаты требуют верификации: LLM может генерировать ложные позитивы и упускать редкие паттерны. Тем не менее, такой «промпт‑инжиниринг» открывает новые возможности для быстрой оценки безопасности прошивок, особенно в условиях ограниченных ресурсов.
Ссылка на оригинальную публикацию: https://habr.com/ru/articles/1063724/
Для специалистов по безопасности и студентов это значит, что базовый аудит прошивок теперь можно запускать за считанные минуты, используя публичные LLM. Однако полагаться только на ответы модели нельзя – требуется последующая проверка, чтобы избежать ложных тревог. Такой подход ускорит предварительный скрининг, но не заменит глубокий реверс‑инжиниринг, особенно в критических инфраструктурах.
