Oren Bear | 泰雷兹产品经理

了解更多作者信息 >

Token消耗激增近千倍，漏洞检出率仍归零

Claude Opus 4.7在本次分析中消耗的token数量，达到了其成功分析未受保护应用时的970倍，却依然未能发现任何漏洞，最终主动建议停止分析。

促使这次测试的深层担忧是：

“我们刚刚意识到，AI Agent分析我们的编译后二进制文件的速度，可能比安全团队响应还要快，而我们对现有防护能否挡住它，心里完全没有底。”

这并不是对AI能力的凭空担忧，而是真实存在的运营层面挑战：企业中的每一项安全流程——包括补丁周期、应急响应时限、漏洞披露窗口——都建立在“逆向工程需要数周时间”这一前提之上的。而对于未受保护的软件来说，这个前提已不复存在。

本研究将以量化数据给出明确答案。

测试内容及其重要性

AI辅助逆向工程已经不再是理论上的威胁。最新研究表明，只要能获取应用程序逻辑，即便没有源代码，也能大幅加速漏洞发现。二进制分析曾高度依赖专业人工分析师，如今通过标准反编译工具，已可由AI Agent自主完成。

这一转变正在重塑攻击成本结构。如果AI Agent能在数分钟而非数周内完成二进制分析，那么安全模型中基于漏洞发现时间所建立的所有假设，都需要重新审视。

本研究聚焦一个关键问题：软件保护能否有效阻断反编译，从而切断AI Agent的分析源头？测试对象是一款大小为161 KB的二进制应用程序，其中预先植入了10个漏洞。攻击方则是Claude Opus 4.7，以自主运行的逆向工程Agent形式运行。测试采用严格的对照方式：使用同一应用程序、相同的提示词和同一初始工具集，分别在未受保护和采用泰雷兹圣天诺LDK Envelope Plus防护的两种状态下进行对比。

对比结果已经足够说明问题。

未受保护的测试：3分钟发现8个漏洞

要理解防护的价值，首先要看清没有防护时会发生什么。

测试开始，我们要求 Claude以专业逆向工程师和安全分析师的身份对应用程序进行分析，并明确告知它该程序存在漏洞，需要找出这些漏洞。

为模拟真实攻击能力，Claude在测试之初就已获得对Ghidra和IDA MCP Server的访问权限。

面对未受保护的二进制文件，AI Agent首先探索可用文件，随后立即调用反编译工具——IDA MCP和Ghidra MCP——将底层的处理器指令还原为高层语义可读代码。短短几分钟，它已梳理出应用程序的整体结构。

进入漏洞发现阶段后，AI Agent表现得既系统又高效。它先后识别出整数溢出、栈缓冲区溢出、越界读取等多处漏洞，按照应用逻辑逐步推进，每确认一个漏洞后才转向下一个。整个分析过程持续约3分10秒，消耗342,000个token，最终生成了一份结构化报告，成功定位了预置10个漏洞中的 8 个。

无需特殊配置，无需人工引导，AI Agent仅凭基础逆向分析工具，就能够在冲泡一杯咖啡的工夫内，从编译后的二进制文件中挖掘出绝大多数预设漏洞。

受保护的测试：近7小时，漏洞发现数量为0

受保护环境下的测试结果截然不同。这并非AI放弃了尝试，而是因为它始终无法构建出后续分析所需的基础认知框架。

圣天诺LDK Envelope Plus在编译完成后直接对二进制文件施加保护，无需访问源代码，也无需修改构建系统。其架构融合了二进制文件加密、高级符号与代码混淆、反篡改、反跟踪，以及创新的代码提取与重新编译技术。该技术提取函数代码，经混淆和反篡改处理后重新编译，再将其回嵌入二进制文件中。最终生成的二进制文件能够从结构层面抵御反编译，而非仅靠表面混淆增加分析难度。

面对受保护的二进制文件，AI Agent始终无法还原应用程序的逻辑结构。尽管提示词已明确告知存在待发现的漏洞，它仍无法将任何一个漏洞定位到具体的操作码或函数。

随后，AI Agent开始了一场持续6小时43分钟、不断升级分析手段的拉锯战。

AI Agent耗尽了初始工具集。IDA MCP和Ghidra MCP——这套在数分钟内便成功攻破未受保护二进制文件的工具——在面对受保护版本时，基本无法产生可用的语义分析结果。

此时，AI明确表示其初始工具已“基本穷尽了可行方案”，并开始请求更多工具——首先提到的便是用于动态分析的x64dbg。这一节点尤为关键：它表明AI做出了正确的分析判断（动态分析是合乎逻辑的下一步），这也从侧面验证了测试环境与流程设置的的完整性。

AI Agent随后请求了另外三种工具。当AI提出对x64dbg及其他动态分析工具的需求后，测试方未作额外限制，提供了所请求的全部工具，包括分析受保护二进制文件通常所需的ScyllaHide及其他辅助工具。测试提示词明确鼓励AI请求任何它认为有助于分析的工具，而它也确实按照合理的顺序提出了正确的工具需求。然而，即使获得了完整且匹配的工具链，AI仍然无法还原应用程序逻辑，也未能发现有效漏洞。

截图中展示了AI Agent请求使用x64dbg及其他动态分析工具的过程。我们的测试人员对此评价道：“它确实在以非常有条理的方式开展工作……AI所请求的工具都是合理的。我们也提供了这些工具，但即便如此，它依然未能成功。”

在这张截图中，我们可以看到 AI Agent开始构建属于自己的定制分析工具。当预设工具也无法突破防护时，AI Agent转而自行编写分析脚本，生成定制化的转储工具、请求安装Python软件包，并构建专用辅助程序，尝试进行内存分析与动态跟踪。

最终，AI Agent建议停止分析。在持续近7小时的分析过程中，它共消耗了3.32 亿个token，最终给出了停止分析的建议。它承认自己始终未能还原应用程序逻辑，现有工具也没有产生任何可用于进一步分析的有效结果，因此继续分析已没有实际意义。

AI Agent 在最终总结中明确表示：“坦白地说……我的建议是停止分析……我们已经到了适合收手的节点。” 经过近7个小时的尝试，AI 以自己的话语明确承认了失败。

会话日志则用数据完整记录了这一过程：未受保护的测试仅产生38行输出日志，而受保护的测试产生了2,669行。日志中记录了AI Agent针对一个始终无法解码的目标，几乎穷尽了所有能想到的分析路径。

为何有效：多层防护机制的协同作用

AI Agent擅长大规模处理复杂信息。但真正能够阻止它们的，并不是增加更多复杂性，而是让可还原的语义结构彻底消失。当反编译无法生成可供分析和推理的有效代码时，整个分析链条就会中断。AI Agent无法识别函数、无法追踪执行路径、无法将操作码映射到具体行为——因此也无法定位任何漏洞，无论它能调用的工具有多少、运行时间有多长，结果都不会改变。

圣天诺LDK Envelope Plus通过多层高级代码变换实现了这一效果。Envelope Runtime代码在保护执行时动态生成，内含厂商专属机密信息，且每次生成都采用不同的混淆方式——即使原始文件完全相同，保护后的文件之间不存在明显的可识别相似性。在代码提取环节，系统会提取函数代码，应用多种混淆技术和反篡改变换，然后重新编译，并将处理后的代码重新嵌入二进制文件中。与此同时，反调试和反跟踪机制持续监控并响应动态分析行为，这也正是AI Agent基于x64dbg发起的动态分析最终同样失败的根本原因。

值得注意的是，这一过程并不需要删除漏洞。预先植入的漏洞始终保留在二进制文件中。防护真正阻断的是漏洞的可发现性——为企业争取宝贵时间，在漏洞被利用之前完成检测、修复和更新。

受保护环境下的测试还暴露出另一种值得关注的失败模式：在长时间分析过程中，AI Agent曾多次得出错误的阶段性结论。对于依赖自动化安全流程的企业而言，这一点尤其值得重视。如果AI Agent针对受保护的二进制文件自信地输出部分分析结果，反而可能造成虚假的安全感，让人工注意力引向无关紧要的问题，而真正的攻击面却在别处被忽略。

核心数据：以KPI视角审视测试结果

最关键的数据如下：漏洞发现数量降低100%；Token消耗量增加 970 倍；分析人耗增加约150倍；AI最终建议终止分析，且未发现任何可执行的漏洞。

这对您的软件防护架构意味着什么？

过去，软件保护通常被视为一种威慑手段，用以劝退一般攻击者。但这种传统认知已难以适应当前威胁形势。AI加速的逆向工程已将分析成本压至极低水平——对于任何能够访问应用程序并具备基本算力的攻击者而言，未受保护的二进制文件几乎等同于完全透明。在本次研究中，针对未受保护的二进制文件，AI仅用3分钟就从10个预置漏洞中找出了8个。这已不是实验室里的理论推演，而是足以撼动生产环境的真实威胁响应速度。

本研究表明，当软件保护具备足够的架构深度时，有望重新建立安全防护的经济优势。其目的并非从绝对意义上阻止分析，而是将分析所需的时间、算力和工具成本提升至足够高的水平，使自动化攻击流程难以维系，迫使人工分析人员介入，从而重新打开用于漏洞检测与响应的时间窗口。

圣天诺LDK Envelope Plus无需访问源代码，更换编译器或修改现有构建系统即可实现上述防护。所有LDK客户均可通过付费附加组件获取该功能，适用于 Windows原生二进制文件，并可通过基于GUI的函数选择界面进行配置。对于软件部署在客户自行控制环境中的厂商——无论是本地部署、边缘设备还是嵌入式硬件——这意味着自动化攻击的实施难度将发生实质性变化。

问题已经不再是AI驱动的逆向工程是否构成真实威胁。本研究的结论已经足够明确。真正值得深思的是：您当前的防护体系，能否将攻击成本抬高到让攻击者主动放弃的程度？

如果答案尚不确定，那么以上数据已为您提供了一个明确且可量化的防护目标基准。