中山大学在读生开源反 AI 逆向工具 BLA：把逆向成本放大到 300 倍以上
要点
一个开源项目正在给出 AI 逆向工程的新应对思路。与其继续加固软件本身，不如让逆向代理的算力预算先被耗尽。名为 BLA（Blind LLM Agents）的工具由中山大学在读学生 Timo Zhang 独立开发，是一个 MIT 许可的命令行工具与 MCP 服务，专门用于保护软件…
一个开源项目正在给出 AI 逆向工程的新应对思路。与其继续加固软件本身，不如让逆向代理的算力预算先被耗尽。名为 BLA（Blind LLM Agents）的工具由中山大学在读学生 Timo Zhang 独立开发，是一个 MIT 许可的命令行工具与 MCP 服务，专门用于保护软件的发布产物，使其不易被 AI 逆向代理还原——这类工具以 morluto/rea 这类能自动解包归档、还原源码映射、追踪进程间通信并反编译原生二进制的开源项目为代表。项目自 10 月 25 日开源，到 11 月 10 日已积累 4492 个 Star 与 542 次 fork。作者在 GitHub 主页自述为本科生，同时维护着把中山大学校园数字系统重构为个人校园操作系统的 SYSU-Anything 等项目，另有减少编程代理 Token 消耗的树莓派小模型项目 mu。
BLA 的作用机理分为四层。它首先做的是投毒，在产物中植入格式合规的诱饵，包括伪造的硬件飞地委托清单、诱饵 SourceMap 与高拟真影子状态机，让模型在互相冲突的假设之间分散注意力。其次是预算爆破，精确触发分析器内部硬编码的资源上限，例如把 Electron 的 ASAR 包头撑过 16 MiB 限制、让模型元数据嵌套超过 32 层、在 SQLite 中布置虚拟生成列求值陷阱，使分析状态从”完成”强制降级为”受限”或直接抛出容量异常。第三层是反剥离缠绕，通过运行时摘要把 JavaScript、WebAssembly 与原生二进制相互绑定，防止攻击者裁剪诱饵分支后继续分析。第四层是运行时检测，识别 Chrome DevTools 协议、Frida、WebDriver 等调试挂载，并向调试方返回可信的合成遥测数据。
官方给出的成本估算区间是 300 至 2800 倍。在覆盖 14 类代表性产物的基准测试中，汇总 Token 消耗放大 639.5 倍、费用放大 304.4 倍，14 个目标全部通过运行时行为等价校验——所有诱饵载荷都被放置在数论不透明谓词保护的不可达分支或惰性元数据段内，正常用户的运行路径不受影响。放大倍数的分布并不均匀：最高的一档是从 JavaScript 声道平移计算任务上的 2822.7 倍，最低的一档是原生 ELF64 二进制上的 105.6 倍。体积膨胀是这套思路的直接代价，例如一个 607 字节的 Electron 包在加固后变为 16.9 MiB。
关于这些数字的口径，项目自身的说明比外界的转述更克制。项目文档明确标注 Token 与美元两列属于内部估算，是根据其掌握的分析器限制清单推导出的相对放大结果，而非第三方审计结论，也不代表每种环境下的实际账单。真正做过端到端实测的是另一组数据：在真实分析器上直接运行加固产物，12 种格式中有 9 种被容量或预算阈值直接拒绝，2 种状态降级为部分解析，仅 1 种触发了特定条件下的错误；其余部分格式（如原生反编译深度、动态调试会话、完整安卓应用流程）只完成了单元测试而未经真实链路验证。项目同时声明，不声称对未实测的原生反编译与动态调试工具有效。
这也划出了这类工具的边界。它攻击的是分析器而非分析者，在对方保持现有配额与实现逻辑的前提下有效，一旦对方上调阈值或改为识别诱饵特征，防护就会衰减。项目作者本人也把这一点讲在前面，公开表示这是针对智能体预算的反制，而非传统意义上的人工逆向混淆，逆向能力是否真的被拖垮需要实测判定。另一重现实约束来自产物本身——诱饵凭据与反调试代码会进入交付给用户的二进制，这可能触发应用商店审核、企业安全扫描或客户自身审计的误判，也与供应链治理中”不要在发布物里放假密钥”的惯例存在张力。
这套思路反映出的行业变化更为根本。当 AI 逆向代理把针对商业软件核心逻辑的克隆成本压到极低的量级时，防守方的可选策略从”让对方算不出来”转向”让对方算得起但不划算”。第三方应用安全威胁报告给出的背景是：2022 年以来企业应用受攻击率由 55% 升至 87%，应用上架后 1 小时 56 分内即可出现首次恶意接触，一台笔记本加一份大模型订阅就能在一个下午内完成对一款应用的逆向。对于批量扫描大量目标以寻找低价值漏洞的自动化流水线，BLA 制造的价差本身就是有效门槛；对于愿意为单个目标手动调配额、盯着日志逐条排查的专门分析者，它更多是延缓而非阻断。真正需要从服务端守住的，始终是那些不宜下发的核心逻辑。
