[论文] CHASE：LLM 代理用于剖析恶意 PyPI 包

Source: arXiv - 2601.06838v1

概览

本文介绍了 CHASE，一个多代理系统，利用大型语言模型（LLM）自动剖析并标记 PyPI 上的恶意 Python 包。通过将 LLM 驱动的语义分析与确定性安全工具相结合，CHASE 在保持接近人工水平的检测准确率的同时，使分析时间足够短，适用于真实世界的 CI/CD 流水线。

关键贡献

• 协作层次代理架构 – “Plan‑and‑Execute” 框架，协调中心 Planner 与专门的 Worker Agents（例如静态分析、依赖图绘制、行为仿真）。
• 可靠性即设计 – 通过将安全关键步骤委派给成熟的安全工具（如沙箱执行、签名扫描器），隔离 LLM‑prone 错误（幻觉、上下文丢失）。
• 高性能评估 – 在包含 3 k 个软件包（其中 500 个为恶意）的精选数据集上，CHASE 达到 98.4 % 召回率 和 0.08 % 假阳性率，每个软件包的中位运行时间为 4.5 分钟。
• 以人为中心的报告生成 – 生成结构化分析报告，并通过网络安全专业人士调查验证，突出对安全团队的可用性。
• 开源蓝图 – 作者发布代码、数据和演示站点，为构建 AI 增强的供应链防御提供实用的起点。

方法论

1. 规划层 – 一个中心 LLM 接收包的元数据（名称、版本、描述），并决定需要哪些分析步骤。它创建一个任务图，将工作分配给相应的代理。
2. 工作代理 – 每个代理都是一个轻量级 LLM 实例，针对狭窄的子任务进行微调：
   • 静态代码代理 解析源文件，提取导入，并标记可疑模式。
   • 依赖代理 构建完整的依赖树并检查已知的受损库。
   • 动态代理 在沙箱中运行该包，记录系统调用，并寻找恶意行为。
3. 确定性防护栏 – 每当工作代理需要做出安全关键决策时（例如，“此调用是否打开网络套接字？”），系统会调用传统工具（例如 strace、签名数据库），而不是依赖 LLM 的判断。
4. 结果聚合 – 规划器整合各代理的输出，采用简单的投票/加权方案，并生成可供人类阅读的报告。
5. 反馈循环 – 从调查中收集的误报/漏报案例会反馈用于微调代理并调整规划启发式。

结果与发现

关键观察：

• 层次化设计显著降低了因幻觉导致的错误；大多数漏检源于沙箱未覆盖的晦涩混淆技术。
• 将确定性工具集成用于低层系统调用，使误报率相比纯 LLM 基线降低了一个数量级。
• 安全分析师赞赏 CHASE 生成的结构化“攻击链”视图，这加快了分流和修复。

实际影响

• 自动化包筛选 – CI/CD 系统可以将 CHASE 接入其依赖解析步骤，自动拒绝或隔离可疑的 wheel 包，防止其进入生产环境。
• 供应链风险管理 – 安全团队获得了一种可扩展的方式来监控整个 PyPI 生态系统，将人力集中在少数高置信度的警报上。
• 可扩展框架 – 基于代理的架构可以通过更换特定语言的 Worker 来适配其他生态系统（npm、Maven），而保持 Planner 逻辑不变。
• 合规与审计 – 生成的报告通过记录对每个包所采取的精确分析路径，为监管审计（如 SOC 2、ISO 27001）提供证据。
• 成本效益防御 – 由于中位运行时间不足 5 分钟，组织可以在每晚对所有新依赖运行 CHASE，而不会产生高昂的计算成本。

限制与未来工作

• 混淆与打包代码 – CHASE 在面对高度混淆、规避静态解析和沙箱仪器化的有效负载时表现不佳。
• 对 LLM 的依赖 – 系统的规划质量取决于底层 LLM 的提示工程；模型更新可能需要重新调优。
• 对大规模注册表的可扩展性 – 虽然对单个项目的扫描是可行的，但实时扫描整个 PyPI 索引需要分布式执行和缓存策略。
• 跨语言扩展 – 未来工作包括将代理层次结构推广到其他包管理器，并集成威胁情报源以提供更丰富的上下文。

总体而言，CHASE 表明，经过深思熟虑的 LLM 与传统安全工具的组合能够为现代软件供应链提供可靠的、生产级的恶意软件检测。

作者

• Takaaki Toda
• Tatsuya Mori

论文信息

• arXiv ID: 2601.06838v1
• 分类: cs.CR, cs.SE
• 发布日期: 2026年1月11日
• PDF: 下载 PDF