EdgeSim：通过增强控制传输功能的二进制代码相似性检测来发现固件漏洞

《Information and Software Technology》：EdgeSim: Firmware vulnerability detection with control transfer-enhanced binary code similarity detection

二进制代码相似性检测首次整合控制转移语义增强图神经网络，提出EdgeSim方法，显著提升跨编译环境下的函数相似性检测准确性和漏洞发现性能。

　　
随着物联网设备数量呈指数级增长，嵌入式固件安全面临前所未有的挑战。2023年全球CVE漏洞数量已达28,902个，同比增长9%，其中大量漏洞源于代码复用导致的横向渗透风险。在嵌入式系统中，固件代码的封闭性使得传统源码分析手段难以应用，这催生了基于二进制代码相似性检测（BCSD）的新型安全防护技术。然而，现有BCSD方法在复杂编译环境下存在显著性能瓶颈，这主要源于两个核心问题：一是控制流图（CFG）结构对编译参数的高度敏感性，二是传统特征工程难以捕捉指令级语义信息。

当前主流的CFG-based方法存在明显局限。首先，特征工程依赖人工经验，如BinDiff通过基本块数量和调用关系构建特征，Traclet采用汇编指令编辑距离，这些方法在跨架构（x86/ARM/MIPS）和跨优化级别（O0/O3）场景下表现欠佳。实验数据显示，当编译参数变化时，相同功能代码的CFG结构差异可达87%，导致传统特征匹配准确率下降超过40%。其次，传统图神经网络（GCN/GAT）采用邻接矩阵聚合节点特征，这种设计在处理具有复杂控制转移关系的CFG时存在信息丢失问题。例如，两个语义完全不同的函数可能在特定编译配置下生成高度相似的CFG结构，而控制转移边的语义差异未被有效捕获。

针对上述问题，EdgeSim方法通过三阶段创新实现了突破性进展。第一阶段构建语义增强的ACFG图，第二阶段设计双路径特征聚合机制，第三阶段引入跨编译泛化训练策略。具体而言，该方案首次将Transformer语言模型引入BCSD领域，通过联合训练两个子任务实现特征融合：基础块语义建模（MLM任务）和控制转移预测（CTP任务）。MLM任务提取基本块指令序列的深层语义，CTP任务则学习相邻基本块间的跳转逻辑模式。这种双任务学习机制使模型能够同时捕捉指令操作语义和控制流逻辑语义。

在图神经网络架构创新方面，EdgeSim提出了一种双向特征融合的边缘增强图神经网络（EGNN）。不同于传统GCN的单向特征聚合，EGNN设计了两个并行处理路径：主路径负责节点特征的层次化聚合，副路径专门处理边特征。这种架构使得每个控制转移边（包括无条件跳转、条件分支等）都能贡献独立语义特征。实验表明，这种双通道设计使函数级相似度判断的准确率提升达32.7%，尤其在跨架构场景下表现更为突出。

方法在技术实现层面具有三个显著优势。首先，构建了包含28种常见编译优化策略的基准测试集，覆盖x86-ARM-MIPS全架构矩阵，并引入动态编译参数扰动机制模拟真实环境。其次，开发了高效的内存管理方案，通过分块处理和增量更新技术，将处理1MB固件镜像的时间从传统方法的4.2秒缩短至1.8秒。第三，设计了轻量化蒸馏模型，可将原始12层Transformer模型压缩至4层，同时保持97.3%的原始性能，便于嵌入式设备部署。

实验评估部分展示了EdgeSim的全面优势。在百万级函数样本测试中，EdgeSim的Recall@1指标达到89.7%，较次优方法提升25.4个百分点。值得注意的是，在跨编译场景（不同架构+不同优化级别）下的MRR（平均倒排秩）达到82.3，较基线方法提升18.6%。在真实固件漏洞检测中，该方案展现出卓越的泛化能力：在BINKIT公开的237个设备固件测试集中，EdgeSim成功识别出98.2%的已知漏洞函数，同时将误报率控制在0.7%以下，显著优于基于传统特征工程的检测方法。

方法在工程实践方面也取得重要突破。通过分析开源项目的编译日志， EdgeSim构建了首个包含跨架构语义对齐特征的基准库，该库支持自动识别编译参数差异导致的CFG变形模式。测试数据显示，当遇到未见的编译优化组合时，系统仍能保持85%以上的特征匹配准确率。此外，开发的硬件加速模块使GPU计算效率提升3.2倍，在RTX3090显卡上实现每秒处理15个函数样本的实时检测能力。

在安全应用层面，EdgeSim成功应用于工业控制系统固件分析。在某汽车厂商的ECU固件库中，系统检测到14个潜在漏洞函数，其中包含3个未公开的缓冲区溢出漏洞。通过对比分析发现，这些漏洞函数在原始源码中具有高度相似的控制流模式，但在不同硬件架构（x86与ARM）的O2优化级别下，传统方法误判率高达67%，而EdgeSim将误判控制在12%以内。这种对编译差异的鲁棒性，使得检测系统在真实生产环境中的误报率低于0.5%。

方法的理论创新体现在两个方面：一是构建了控制转移语义的三维表征空间，包括指令语义层（BERT编码器输出）、跳转逻辑层（CTP预测输出）和结构约束层（CFG拓扑特征）；二是提出动态图注意力机制，根据不同编译环境自动调整边特征的权重分配策略。这种自适应机制使得在ARM-O3和x86-O0两种极端编译配置下的函数相似度判断误差差缩小至3.8%。

实际部署中，EdgeSim展现出优异的能效比。在基于树莓派4B的嵌入式设备上，系统实现了每秒处理2.3个函数样本的实时检测能力，内存占用控制在1.2GB以内。对比实验显示，在处理具有复杂条件跳转的Linux kernel固件时，传统方法需要4.5小时完成全量分析，而EdgeSim仅需28分钟，且检测覆盖率提升至91.7%。

未来改进方向集中在三个维度：计算效率优化（当前处理百万级函数库需3.2小时）、小样本学习（针对新架构固件）、动态特征融合（实时适应运行时环境变化）。研究团队已启动与工业界的合作项目，计划在2025年前完成医疗设备、自动驾驶等关键领域的安全检测系统落地应用。

该研究对BCSD领域的发展具有里程碑意义。首次系统性地解决了编译环境多样性导致的语义表征失真问题，提出的控制转移语义增强机制被多个研究机构复现验证。目前该方法已被集成到开源安全工具Setuid中，并在IoT设备安全白皮书中作为推荐检测方案。实验数据表明，在混合架构物联网设备中，采用EdgeSim的检测系统每年可提前发现平均237个潜在漏洞，按行业估算可减少约15亿美元的安全损失。

在学术贡献方面，该研究推动了BCSD方法论从特征工程到语义学习的范式转变。提出的ACFG图结构模型已被国际BCSD竞赛（IEEE S&P IoT Security Challenge 2024）采纳为基准测试框架。方法论中的双通道特征融合机制，为其他图神经网络应用（如软件漏洞定位、恶意代码家族识别）提供了可借鉴的架构设计范式。

实验结果揭示了该方法的关键性能优势：在跨编译环境下的函数相似度判断准确率提升41.2%，特别是在指令集架构转换（x86→ARM）场景下，控制转移语义增强模块将特征匹配误差从传统方法的28.7%降至9.4%。这种性能提升源于对控制流拓扑变化的深度建模，使得在相同功能代码但不同编译配置的情况下，系统仍能保持83.6%的相似度判断准确率。

在安全应用层面，该方法成功解决了固件逆向工程中的语义鸿沟问题。通过分析3800个开源项目的编译过程，发现传统方法在处理优化级别高于O2的固件时，特征提取完整度下降超过60%。EdgeSim通过引入分层语义编码机制，将O3优化固件的特征提取完整度提升至92.3%，较基线方法提高47个百分点。

该研究的工程实现经验具有显著参考价值。在算法优化阶段，研究团队开发了动态批处理策略，使GPU利用率从68%提升至89%；在分布式计算方面，创新性地采用流式处理架构，支持10节点集群的并行计算，处理速度达到每分钟120个函数样本。这些工程实践成果已形成技术规范文档，被纳入IEEE P2733二进制安全分析标准草案。

从行业影响角度看，该方法的应用已初见成效。在某智能电表厂商的供应链安全审计中，系统检测到基于开源Linux内核的固件存在23处隐蔽的代码复用漏洞，其中12处涉及未授权的第三方组件。通过构建企业级BCSD数据库，该方案帮助客户将固件安全审查周期从平均45天缩短至8小时，显著提升了供应链安全防护能力。

未来研究将聚焦于实时动态分析能力的提升。计划开发基于知识图谱的语义推理引擎，结合运行时监控数据，实现固件漏洞的动态追踪和预测。技术路线图显示，2025年将完成对设备固件全生命周期的支持，涵盖开发、编译、部署和运维各阶段的安全检测。预计到2027年，该技术方案将在全球TOP50物联网设备厂商中得到广泛应用，每年可为行业减少超过20亿的安全损失。