[论文解读] Adversarial Binaries for Authorship Identification

Xiaozhu Meng, Barton P. Miller+1 more|arXiv (Cornell University)|Sep 21, 2018

Adversarial Robustness in Machine Learning参考文献 28被引用 10

一句话总结

本文提出了一种新颖的对抗性攻击框架，通过生成功能等价且合法的二进制文件，使机器学习分类器无法识别作者身份。通过隐蔽地修改程序特征（如函数调用和符号），该攻击在无目标逃避中达到96%的成功率，在有目标逃避中达到46%的成功率，揭示了当前基于易被操纵代码特征的作者身份识别系统中的漏洞。

ABSTRACT

Binary code authorship identification determines authors of a binary program. Existing techniques have used supervised machine learning for this task. In this paper, we look this problem from an attacker's perspective. We aim to modify a test binary, such that it not only causes misprediction but also maintains the functionality of the original input binary. Attacks against binary code are intrinsically more difficult than attacks against domains such as computer vision, where attackers can change each pixel of the input image independently and still maintain a valid image. For binary code, even flipping one bit of a binary may cause the binary to be invalid, to crash at the run-time, or to lose the original functionality. We investigate two types of attacks: untargeted attacks, causing misprediction to any of the incorrect authors, and targeted attacks, causing misprediction to a specific one among the incorrect authors. We develop two key attack capabilities: feature vector modification, generating an adversarial feature vector that both corresponds to a real binary and causes the required misprediction, and input binary modification, modifying the input binary to match the adversarial feature vector while maintaining the functionality of the input binary. We evaluated our attack against classifiers trained with a state-of-the-art method for authorship attribution. The classifiers for authorship identification have 91% accuracy on average. Our untargeted attack has a 96% success rate on average, showing that we can effectively suppress authorship signal. Our targeted attack has a 46% success rate on average, showing that it is possible, but significantly more difficult to impersonate a specific programmer's style. Our attack reveals that existing binary code authorship identification techniques rely on code features that are easy to modify, and thus are vulnerable to attacks.

研究动机与目标

• 从攻击者视角探究对二进制代码作者身份识别系统实施对抗性攻击的可行性。
• 开发一种框架，生成功能等价的二进制文件，在保持结构合法性和隐蔽性的前提下逃避作者分类器。
• 评估最先进作者身份识别技术在面对测试时对抗性样本时的鲁棒性。
• 揭示当前常用于作者身份识别的特征（如函数调用和符号）易受操纵的弱点。
• 证明当前分类器依赖于脆弱且可修改的特征，因此容易受到逃避攻击的影响。

提出的方法

• 该攻击框架包含两个主要阶段：特征向量修改和输入二进制文件修改。
• 特征向量修改生成一个对应于真实二进制文件的对抗性特征向量，导致分类器错误预测为目标作者或任意错误作者。
• 输入二进制文件修改利用Dyninst二进制重写框架，生成与对抗性特征向量匹配的新二进制文件，同时保持原始功能不变。
• 该方法强调隐蔽性，优先选择小范围、局部的修改，并确保多次攻击运行之间的多样性，以规避基于哈希的检测。
• 该框架假设对目标分类器和训练数据拥有完全知识，模拟强攻击者模型。
• 该方法在使用最先进作者身份识别方法训练的分类器上进行评估，结合真实二进制文件和特征相关性分析。

实验结果

研究问题

• RQ1 能否为二进制代码作者身份识别生成保持功能但可逃避分类器的对抗性样本？
• RQ2 在无目标逃避中，该攻击的有效性如何？其目标是将二进制文件错误分类为任意错误作者。
• RQ3 在有目标逃避中，攻击的难度如何？其目标是将二进制文件错误分类为特定的错误作者。
• RQ4 当前作者身份识别系统中哪些特征最容易受到操纵？
• RQ5 对抗性二进制文件在隐蔽性和多样性方面在多大程度上降低了基于哈希方法的可检测性？

主要发现

• 无目标攻击的平均成功率达到96%，表明通过对抗性修改可有效抑制作者身份信号。
• 有目标攻击的平均成功率为46%，表明模仿特定程序员风格在技术上更具挑战性。
• 该攻击框架成功生成了功能等价的二进制文件，其结构与原始文件高度相似，并通过多样性和局部修改实现检测规避。
• 结果表明，当前作者身份识别系统依赖于函数调用、符号和指令等易被伪造或篡改的特征，因此在测试时对抗攻击下极不可靠。
• 修改后二进制文件中存在Dyninst痕迹并不一定意味着被篡改，因为Dyninst在良性应用中也广泛使用，从而增强了攻击的隐蔽性。
• 本研究强调了在作者身份识别中需要更稳健的特征选择，并建议通过生成对抗样例进行对抗性微调，以提升分类器的安全性。