核心概念
Project Ire 是微軟研究院開發的自主惡意軟體分類代理，以大型語言模型（LLM）為核心，透過行為分析而非特徵簽名（signature）比對來識別惡意軟體。2026 年 6 月，Ire 成功識別出一個先前未被偵測的 LOTUSLITE 變種——當時多數主流 EDR 工具均未能發現此樣本。
LOTUSLITE 背景
LOTUSLITE 是由 Acronis 記錄的 Windows DLL 後門家族，具備獨特的 C2 封包格式、命令識別碼、持久化與混淆技術，且與 Mustang Panda 威脅行為者具中等信心度歸因關聯。
本次樣本技術特徵
SHA-256：47e51e82229e80a387c3cb100d39d3705e6360bbf9bfa1601dbc484e8d02e653
| 屬性 | 值 |
|---|---|
| 檔案類型 | PE DLL |
| 安裝目錄 | C:\ProgramData\SmartPrint\ |
| 持久化方式 | Registry Run 機碼 |
| C2 協定 | 自訂二進位 HTTPS，含魔術 DWORD 0xB2EBCFDF |
| 投遞機制 | DLL 旁載入（sideloading）透過重命名合法啟動器 |
偵測延遲的現實
樣本在 VirusTotal 上的偵測率從 1/72（5 月 28 日）升至 7/70（6 月 4 日），這一週的空窗期正是行為分析能發揮作用的時機。CrowdStrike、SentinelOne、Sophos 等主流廠商初期均未識別。
LLM 分析的核心能力
Ire 能辨識安裝慣例、C2 封包布局、命令識別碼、持久化機制設計意圖，以及混淆技術——即便樣本刻意迴避已知 IoC，只要行為模式與家族文件高度一致，仍可做出判斷。值得注意的是，Ire 識別出函數名稱 nfapi::nf_unRegisterDriver 具有誤導性，實際行為與名稱不符，展現了超越表面特徵的語義理解能力。
關鍵要點
- 行為分析彌補簽名空窗：面對刻意回避已知 IoC 的定制樣本，傳統 EDR 依賴特徵碼的局限性暴露，行為模式比對能跨越版本差異識別家族成員
- 歸因謹慎原則：樣本雖含明文字串「BelievemeIamMustang-Panda」，研究人員拒絕獨立歸因——此類字串可能是開發者遺留物、紀念品或蓄意植入的誤導訊息
- DLL 旁載入的隱身機制：利用合法程式的信任關係載入惡意 DLL，是 APT 組織繞過靜態防禦的常見手法，防禦重點應在行為層而非靜態特徵層
- LLM 作為分析師輔助：Ire 的設計定位是為人類分析師提供早期預警與分類假設，而非取代完整的手動逆向工程流程
實務應用
防禦場景優先級
- 零日威脅空窗期：惡意軟體剛出現、簽名尚未更新時，行為分析可提供第一道識別
- APT 定制樣本：國家級行為者通常為特定目標客製工具，行為特徵比特徵碼更具跨版本穩定性
- LOTUSLITE 偵測規則：可針對
C:\ProgramData\SmartPrint\異常 DLL 載入、Registry Run 機碼非預期寫入，以及含特定魔術 DWORD 的 HTTPS 流量建立偵測邏輯
延伸觀點
多篇學術研究佐證 Ire 模型的可行性，但同時也點出關鍵侷限：
語義嵌入優於特徵工程：arxiv 論文 BEACON（2025）在公開資料集上以 LLM embedding + 1D CNN 達到 0.985 F1，首次證明直接使用 LLM 嵌入的行為報告無需傳統階層式特徵工程即可高效分類惡意軟體。這與 Ire 的設計哲學一致——語義理解優於特徵符合。
可解釋性仍是瓶頸：MalEval 研究（2025）評估多個 LLM 在惡意軟體行為稽核任務上的表現，即使 Claude-3.7 這類頂尖模型的工作量減少評分（WRS）也僅達 50.67%。LLM 存在引用不存在函數的幻覺問題，影響安全報告的可追蹤性——這解釋了為何 Ire 的設計選擇「提供分類假設」而非「直接出具鑑定報告」。
結論：LLM 輔助惡意軟體分類在識別率上已具備實用潛力，但可驗證的解釋鏈尚未成熟。Ire 的定位——早期識別，人工驗證——是目前此技術的合理使用邊界。與 多代理網絡的湧現風險：Microsoft Research 紅隊測試報告 和 智能時代的網路安全：OpenAI 五點行動計畫 並列，代表 AI 在資安防禦工具化的前沿方向。
反向連結
以下頁面引用了本頁：