Databricks 研究：用领域知识注入提升 LLM 对 npm 二进制恶意包的检测
低频但高风险的 npm 二进制恶意包会骗过 LLM 检测；Databricks 证明推理时注入领域知识可让低成本模型的检测失败率从 50% 降到 4%。
包注册表供应链攻击持续增长，而 npm 上约 3.8% 的恶意包把 payload 藏进预编译二进制。二进制被 strip（剥除符号表）后没有源码可读，LLM 容易被干净的外层源码误导，判恶意的失败率是纯源码包的两倍以上（14.4% vs 6.2%）。Databricks 的做法是在推理时把预先算好的静态证据和领域知识画像注入 prompt，而非重新训练模型。
正文摘录
弥合二进制盲区：为 npm 包中的 LLM 恶意软件初筛注入领域知识 针对包管理仓库的供应链攻击在数量和复杂程度上都在增长 [1]。公开研究经常观察到各类威胁行为者向 npm registry 部署恶意软件，从垃圾邮件式投放活动 [2]，到朝鲜（DPRK）恶意软件的稳步扩散 [3, 4, 5]，再到 2025 和 2026 年造成高影响的 TeamPCP [6, 7]——其中 DPRK 和 TeamPCP 都有成功入侵被广泛使用的开源项目、以最大化下游触达范围的战绩 [8]。 为了直接研究这一问题，我们自 2025 年 11 月起持续收集 npm 恶意软件样本。在我们扫描、并通过 OSV npm 恶意软件公告 [9] 交叉验证的 11,413 个包版本中，我们观察到 npm registry 上的大多数恶意软件把 payload 藏在包源码里，或从外部服务器拉取——这两类占已核实数据集的 96.2%。剩下的 3.8%（432 个包版本）则内置了一个二进制文件。这类样本数量虽少，但在初筛阶段可能带来不成比例的风险。一个 stripped（去符号）、不透明、不含任何源码供工具读取的二进制文件，可以被包裹在干净的源码与元数据伪装之下，并可能把 LLM 的判断推向「无害」的结论。 我们评估了一组 LLM 在精心构造的、不同混淆程度与歧义程度的二进制 payload 上的推理表现，识别出这一攻击向量特有的失败模式，并用一套专门构建、成本可控的领域知识编码方式将其闭环，从而让廉价模型和前沿模型都能获得检测质量的提升。