Виявлення вразливостей за допомогою великих мовних моделей у програмних рішеннях, орієнтованих на беспілотні літальні апарати
DOI:
https://doi.org/10.15587/1729-4061.2026.352029Ключові слова:
аналіз прошивок ПЗ БпЛА, LLM-керований бінарний аналіз вразливостей, протокол MCP, розширення контексту бінарного аналізуАнотація
Об’єктом дослідження є бінарні зразки програмного забезпечення (ПЗ) для функціонування та керування безпілотними літальними апаратами (БпЛА). Розглядається проблема виявлення вразливостей у ПЗ БпЛА в умовах відсутності вихідного коду застосунків. Запропоновано удосконалений метод автоматизованого виявлення вразливостей та відповідний алгоритм, універсальний шаблон інструкцій, архітектурну модель для автоматизованого пошуку вразливостей із залученням можливостей великих мовних моделей (LLM). Порівняно із методом фазингу запропонований метод дає в середньому підвищення точності до 94,7% при скороченні часу аналізу в 4 рази.
Запропонований метод виявлення вразливостей програмного забезпечення БПЛА інтегрує інструменти бінарного аналізу з можливостями логічного виводу та розпізнавання патернів LLM. Відповідний алгоритм виявлення вразливостей програмного забезпечення БпЛА складається з етапів обробки, статичного аналізу, логічних виводів за допомогою LLM, перевірки, кореляції з відомими вразливостями та звітування. Шаблон інструкцій не залежить від особливостей зразка та інструментів і забезпечує точні логічні висновки. Нова архітектурна модель комунікації на основі протоколу «Модель-Контекст» (MCP) забезпечує універсальну взаємодію між LLM та інструментами декомпіляції.
Здійснено порівняльний аналіз застосувань метода для різних реалізацій хмарних LLM. Ключові переваги включають генерацію детальних звітів про вразливості, скорочення часу аналізу з годин до хвилин завдяки автоматизації та зниження вимог до кваліфікації інженерів-реверсерів, які проводять аналіз. Запропоновані рішення роблять можливою проактивну оцінку безпеки програмного забезпечення БпЛА
Посилання
- Sivakumar, M., Tyj, N. M. (2021). A Literature Survey of Unmanned Aerial Vehicle Usage for Civil Applications. Journal of Aerospace Technology and Management, 13. https://doi.org/10.1590/jatm.v13.1233
- Stopochkina, I., Novikov, O., Voitsekhovskyi, A., Ilin, M., Ovcharuk, M. (2025). Simulation of UAV networks on the battlefield, taking into account cyber- physical influences that affect availability. Theoretical and Applied Cybersecurity, 6 (2). https://doi.org/10.20535/tacs.2664-29132024.2.318182
- px4. Available at: https://px4.io/
- What is ArduPilot? Available at: https://ardupilot.org/
- CVE-2023-47625 Detail. National Vulnerability Database. Available at: https://nvd.nist.gov/vuln/detail/CVE-2023-47625/
- Tyshchenko, A., Stopochkina, I. (2025). Design of a simulation tool for planning UAV mission success under combat constraints. Eastern-European Journal of Enterprise Technologies, 5 (9 (137)), 14–26. https://doi.org/10.15587/1729-4061.2025.340918
- Vulnerabilities (Dronecode). Dronecode CVEs and Security Vulnerabilities – OpenCVE. Available at: https://app.opencve.io/cve/?vendor=dronecode
- Siala, H. A., Lano, K. (2025). Towards Using LLMs in the Reverse Engineering of Software Systems to Object Constraint Language. 2025 IEEE International Conference on Software Analysis, Evolution and Reengineering (SANER), 1–6. https://doi.org/10.1109/saner64311.2025.00096
- Williamson, A. Q., Beauparlant, M. (2024). Malware Reverse Engineering with Large Language Model for Superior Code Comprehensibility and IoC Recommendations. https://doi.org/10.21203/rs.3.rs-4471373/v1
- Contributing to MCP. Model Context Protocol a Series. Available at: https://modelcontextprotocol.io/community/contributing
- Silva, C. E., Campos, J. C. (2013). Combining static and dynamic analysis for the reverse engineering of web applications. Proceedings of the 5th ACM SIGCHI Symposium on Engineering Interactive Computing Systems, 107–112. https://doi.org/10.1145/2494603.2480324
- IDA Pro. hex-rays. Available at: https://hex-rays.com/ida-pro
- Valgrind. Available at: https://valgrind.org/
- Chen, C., Cui, B., Ma, J., Wu, R., Guo, J., Liu, W. (2018). A systematic review of fuzzing techniques. Computers & Security, 75, 118–137. https://doi.org/10.1016/j.cose.2018.02.002
- Kim, Y., Cho, K., Kim, S. (2024). Challenges in Drone Firmware Analyses of Drone Firmware and Its Solutions. аrXіv. https://doi.org/10.48550/arXiv.2312.16818
- Zhang, B. (2021). Research Summary of Anti-debugging Technology. Journal of Physics: Conference Series, 1744 (4), 042186. https://doi.org/10.1088/1742-6596/1744/4/042186
- Zhou, X., Zhang, T., Lo, D. (2024). Large Language Model for Vulnerability Detection: Emerging Results and Future Directions. аrXіv. https://doi.org/10.48550/arXiv.2401.15468
- Li, H., Hao, Y., Zhai, Y., Qian, Z. (2024). Enhancing Static Analysis for Practical Bug Detection: An LLM-Integrated Approach. Proceedings of the ACM on Programming Languages, 8 (OOPSLA1), 474–499. https://doi.org/10.1145/3649828
- Liu, P., Sun, C., Zheng, Y., Feng, X., Qin, C., Wang, Y. et al. (2023). Harnessing the Power of LLM to Support Binary Taint Analysis. аrXіv. https://doi.org/10.48550/arXiv.2310.08275
- Li, Y., Li, X., Wu, H., Xu, M., Zhang, Y., Cheng, X. et al. (2025). Everything You Wanted to Know About LLM-based Vulnerability Detection But Were Afraid to Ask. аrXіv. https://doi.org/10.48550/arXiv.2504.13474
- Qin, W., Suo, L., Li, L., Yang, F. (2025). Advancing Software Vulnerability Detection with Reasoning LLMs: DeepSeek-R1′s Performance and Insights. Applied Sciences, 15 (12), 6651. https://doi.org/10.3390/app15126651
- Introducing Claude 4. Anthropic. Available at: https://www.anthropic.com/news/claude-4
- IDAPython API Reference. Available at: https://python.docs.hex-rays.com/
- Binary Ninja. Available at: https://binary.ninja/
- AFL++ Overview. Available at: https://aflplus.plus/
- Claude Opus 4.1 (2025). Anthropic. Available at: https://www.anthropic.com/news/claude-opus-4-1
- DeepSeek-R1 Release. DeepSeek. Available at: https://api-docs.deepseek.com/news/news250120/
- Amazon Nova - generative AI foundational models. Available at: https://aws.amazon.com/ru/nova/
- Grok Code Fast 1. x.ai. Available at: https://x.ai/news/grok-code-fast-1
- Impress-U-IS-KPI. Available at: https://github.com/Impress-U-IS-KPI/data_processing
##submission.downloads##
Опубліковано
Як цитувати
Номер
Розділ
Ліцензія
Авторське право (c) 2026 Аndrіі Vоіteskhоvskyі, Іrynа Stоpоchkіnа, Pu Sun, Junfeі Xіe, Mykоlа Іlіn, Оleksіі Nоvіkоv
Ця робота ліцензується відповідно до Creative Commons Attribution 4.0 International License.
Закріплення та умови передачі авторських прав (ідентифікація авторства) здійснюється у Ліцензійному договорі. Зокрема, автори залишають за собою право на авторство свого рукопису та передають журналу право першої публікації цієї роботи на умовах ліцензії Creative Commons CC BY. При цьому вони мають право укладати самостійно додаткові угоди, що стосуються неексклюзивного поширення роботи у тому вигляді, в якому вона була опублікована цим журналом, але за умови збереження посилання на першу публікацію статті в цьому журналі.
Ліцензійний договір – це документ, в якому автор гарантує, що володіє усіма авторськими правами на твір (рукопис, статтю, тощо).
Автори, підписуючи Ліцензійний договір з ПП «ТЕХНОЛОГІЧНИЙ ЦЕНТР», мають усі права на подальше використання свого твору за умови посилання на наше видання, в якому твір опублікований. Відповідно до умов Ліцензійного договору, Видавець ПП «ТЕХНОЛОГІЧНИЙ ЦЕНТР» не забирає ваші авторські права та отримує від авторів дозвіл на використання та розповсюдження публікації через світові наукові ресурси (власні електронні ресурси, наукометричні бази даних, репозитарії, бібліотеки тощо).
За відсутності підписаного Ліцензійного договору або за відсутністю вказаних в цьому договорі ідентифікаторів, що дають змогу ідентифікувати особу автора, редакція не має права працювати з рукописом.
Важливо пам’ятати, що існує і інший тип угоди між авторами та видавцями – коли авторські права передаються від авторів до видавця. В такому разі автори втрачають права власності на свій твір та не можуть його використовувати в будь-який спосіб.
