AI逆向惡意程式，專家仍不能退場
SentinelLabs把真實的Fast16調查重建成八階段測試，讓AI在無外網沙箱中操作IDA Pro 9.3，拆解Windows樣本、還原混淆Lua、分析101條程式碼修補規則，再隨新證據修正結論並產出威脅報告。三次受測的GPT-5.6 Sol都跑完全程，其他模型只完成局部工作；不過連完成者也會誤判語意、放過品質缺陷，甚至太早宣布收工。
現實應用
這類AI適合資安研究團隊、SOC、事件應變與惡意程式分析人員，用來整理IDA資料庫、追蹤跨元件執行流程、驗證假設及起草報告。真正的價值不是單次解釋某個函式，而是能在調查持續數天、證據不斷翻新的情況下，維護整套分析狀態。人力不足但手上樣本很多的團隊，最有機會先吃到效益。
期望評估
我認為低標期望，是把AI當成會操作工具的進階copilot：處理重複標註、建立初步假設、補齊報告骨架，讓專家把時間留給關鍵判斷。先前輔助模式已把原本約三週的專家工作壓到8至10小時，但這不代表每個案件都能複製。
我猜高標期望，是一名資深分析師同時監督多個調查代理，AI能在推論被推翻後，自動回頭修正相依文件、測試與產物。這會放大專家產能，但短期內不會變成無人值守的全自動逆向工程。
商業策略分析
我認為最先受影響的是威脅情報服務、端點資安商、逆向工程顧問與高階模型供應商。競爭焦點會從「能不能看懂一段惡意程式」轉向「能否長時間維持可信調查」。這值得跟進，但別只看模型排行榜：本次各模型測試次數不一，證據釋出與品質關卡也有人介入，而且全體實驗消耗超過230億tokens。企業採購前應用自家樣本測完成率、人工覆核成本與總花費。
實作細節
測試環境包含IDA Pro 9.3、禁止外連的沙箱與分階段提供的軟體元件及研究報告。每項結論都要回扣位址與產物，通過人工品質審查才能前進。已知問題包括錯誤假設延續、品質檢查不足、里程碑過早升級，以及仍需操作者指出盲點。SentinelLabs已公開部分標註完成的IDA資料庫，方便研究者驗證。