[論文レビュー] Defusing Logic Bombs in Symbolic Execution with LLM-Generated Ghost Code

Dimitrios Stamatios Bouras, Sergey Mechtaev|arXiv (Cornell University)|Jan 31, 2026

Logic, programming, and type systems被引用数 0

ひとこと要約

本論文は、LLMが生成するゴーストコードを用いて SMT ソルバーを支援するハイブリッドなシンボリック実行フレームワークである Gordian を提案し、ソルバーの hostile コードに対するカバレッジを大幅に改善し、LLM トークン使用量を削減する。

ABSTRACT

Symbolic execution is a powerful program analysis technique, but its effectiveness is fundamentally limited by solver-hostile program fragments, complex numerical reasoning, and unbounded heap structures. Recent work proposed replacing constraint solvers with large language models (LLMs) to bypass these limitations, but such approaches struggle to analyze real-world codebases, where deep execution paths require globally consistent reasoning across many interacting constraints. We present Gordian, a hybrid symbolic execution framework that uses LLMs selectively to generate lightweight ghost code that aids an SMT solver in handling solver-hostile code fragments, while preserving its precise, global reasoning capability. In particular, we propose three types of ghost code: (1) inversion of difficult code fragments with iterative bidirectional constraint propagation, (2) modeling via solver-friendly surrogates while preserving relevant behavior, and (3) semantic partitioning of unbounded heap spaces. We implemented Gordian on top of the KLEE symbolic execution engine and evaluated it on synthetic "logic bombs" capturing distinct symbolic reasoning challenges, a popular mathematical library FDLibM, and three structured-input programs (libexpat, jq, and bc). Across all benchmarks, Gordian improves coverage on average by 52-84% over traditional symbolic execution baselines, and by 86-419% over LLM-based techniques, while reducing LLM token usage by an average of 90-96%. This highlights the practicality and effectiveness of this approach in real-world settings.

研究の動機と目的

• ソルバー hostile コード・複雑な数値推論・無限に広がるヒープ構造に対する、従来の象徴的実行の限界を動機づける。
• グローバル推論を損なうことなく SMT 解法を補助する軽量なゴーストコードを生成するために、LLMs を選択的に使用するハイブリッドフレームワークを提案する。
• 3つのゴーストコード変種（反転、代替、意味的ヒープ分割）を導入し、KLEE と統合する。
• 合成論理爆弾、fdlibm、実世界の構造化入力プログラムでのカバレージ改善を示す。

提案手法

• LLM を用いてソルバー_hostile な断片を特定し、SMT ベースのワークフローに挿入できるゴーストコードを生成する。
• 3 種類のゴーストコードタイプを提案する：前方/後方制約伝播による断片の反転、ソルバーに優しい代替手、意味論的ヒープトポロジー制約。
• ゴーストコードを Gordian のシンボリック実行エンジン（KLEE 上に構築）に統合し、制約を伝播させ、経路爆発を抑制する。
• 変換された断片の周囲で前方と後方のパス制約を双方向に伝播させ、整合性をとる。
• KLEE で具体的に実装し、LogicBombs、fdlibm、および libexpat、jq、bc のようなプロジェクトで評価する。

Figure 7 . Coverage across different combinations of tool components. Dots indicate enabled techniques, while bars report the number of logic bombs triggered. Black rows show individual techniques, purple rows show intersections (AND), blue rows show unions (OR), and the green row highlights the uni

実験結果

リサーチクエスチョン

• RQ1 LLM が生成するゴーストコードは、従来の象徴的実行だけでは対処が難な solver-hostile 断片の推論をより効果的に支援できるか。
• RQ2 3 種類のゴーストコード変種（反転、代替、意味的ヒープ制約）は、さまざまなベンチマークで性能向上に寄与するか。
• RQ3 Gordian は、従来の象徴的実行および純粋な LLM ベース手法と比較して、カバレージと LLM トークン使用量の点でどのように機能するか。
• RQ4 ゴーストコードを用いて解法を補助する場合、入力が元のプログラムと照合されることで健全性が保たれるか。
• RQ5 複雑な動的データ構造を持つ実世界のコードベースに対して、Gordian の実用的影響はどの程度か。

主な発見

• Gordian は、従来の象徴的実行ベースラインよりもカバレージを 52–84% 向上させる。
• Gordian は、最先端の LLM ベース象徴的実行技術と比較して 86–419% のカバレージを向上させる。
• Gordian は平均で LLM トークン使用量を 90–96% 減少させる。
• 各ゴーストコードタイプは、アブレーション研究により性能向上に寄与することが示された。
• Gordian は、合成 LogicBomb、fdlibm 数学ライブラリ、および libexpat、jq、bc のような構造化入力プログラムで有効であることを示す。