Lily: автоматический охотник за бэкдорами на этапе коммита и релиза

Скрытые бэкдоры на уровне кода — незаметные изменения, которые открывают тайные привилегии по секретному «триггеру», — остаются постоянной угрозой для открытого программного обеспечения. Известные попытки протащить такой код в широко используемые проекты через вредоносные коммиты, подменённые релизные пакеты или скомпрометированные сторонние зависимости до сих пор останавливались, по сути, только благодаря удаче и ручному ревью. Авторы новой работы, представленной на конференции ASE 2026 в Мюнхене, напоминают: типовые конвейеры непрерывной интеграции такие атаки не ловят, а инструменты бинарного анализа на стороне потребителя требуют серьёзных ручных усилий.

Димитри Коккнис, Микаэль Маркоцци и Стефано Заккироли предлагают инструмент под названием Lily, который должен укрепить процессы разработки и выпуска против внедрения бэкдоров. Механизм обнаружения встраивается сразу в два места: в CI-конвейеры, чтобы блокировать вредоносные коммиты, и в процедуры проверки релизов, чтобы подменённые сборки или заражённые зависимости не проникали в крупные экосистемы вроде дистрибутивов Linux.

Как это устроено

Первый вклад работы — расширение фаззинга, совместимого с CI. Lily учится распознавать триггеры подозрительного поведения, сопоставляя исторические и текущие запуски программы. По утверждению авторов, это даёт быстрое и точное обнаружение, пригодное как для CI, так и для валидации обновлений.

Второй вклад — сочетание анализа изменений в коде с данными фаззинга. Это позволяет указывать сопровождающим на конкретные участки кода, выдающие бэкдор, даже когда обновление релиза затрагивает миллионы строк. Иными словами, инструмент не просто говорит «здесь что-то не так», но и показывает где именно, экономя часы ручного разбора.

Авторы не ограничиваются идеальным сценарием: они описывают пять стратегий, которыми атакующий мог бы попытаться обойти Lily, и оценивают соответствующие защитные меры.

Результаты

Эксперименты охватили сотни как «чистых», так и заражённых коммитов и релизов. По данным исследователей, Lily демонстрирует высокую точность обнаружения при низком уровне ложных срабатываний, надёжно находит вредоносный код, устойчив к попыткам обхода — и, что особенно показательно, предотвратил бы реальные инциденты с бэкдорами, случавшиеся ранее. Учитывая, сколько внимания в последнее время привлекли атаки на цепочку поставок открытого ПО, попытка автоматизировать то, что прежде спасала лишь бдительность отдельных мейнтейнеров, выглядит своевременной.

Источник: Lobsters