AIDebug

Punto di partenza per il revisore

CLI di reverse engineering orientata alle evidenze. Andrey Pautov sviluppa l'interfaccia Python per l'analista, il triage offline, la string intelligence, l'ispezione PE e i flussi di reporting. Capstone, Ghidra, GDB e i provider AI opzionali sono integrazioni, non strumenti originali realizzati da questo progetto.

Rilevanza del ruolo: Triage di malware, strumenti di reverse engineering, analisi assistita da AI sicura, delivery in Python.

Esegui la demo locale sicura e consulta l'ambito di validazione · Validazione locale registrata

AIDebug è una CLI e interfaccia terminale per il reverse engineering di malware orientata alle evidenze. Combina triage offline deterministico, ispezione esadecimale dell'intero file, analisi approfondita della struttura PE, disassemblaggio Capstone, ricostruzione Ghidra, verifiche incrociate LLM opzionali, debugging ELF locale, esercizi di apprendimento compilati e reporting per la revisione dell'analista.

Versione sorgente corrente: AIDebug 3.1.0. Consulta le note di rilascio 3.1.0.

L'ultima release pubblicata immutabile resta AIDebug v3.0.0, disponibile come 1200km-aidebug, finché il tag 3.1.0 corrispondente alla versione e la release GitHub non completano il flusso di pubblicazione verificato.

Punti salienti

• Triage statico deterministico di PE ed ELF senza richiedere un servizio AI.
• String intelligence sull'intero file, consapevole delle occorrenze, per ASCII, UTF-8, UTF-16LE e UTF-16BE con categorie intelligenti, ranking e spiegazioni di DLL/API.
• Visualizzatore esadecimale in sola lettura e paginato per l'intero file analizzato.
• Esploratore approfondito della struttura PE32/PE32+ con RVA, VA e offset di file mappati.
• Ricostruzione in stile C basata su Ghidra per una singola funzione o per l'intero insieme limitato di funzioni.
• Revisione opzionale ancorata alle evidenze tramite Anthropic, OpenAI, Google Gemini o un endpoint locale compatibile con Ollama.
• Debugging ELF locale basato su GDB con breakpoint, stepping, registri, delta, contesto di disassemblaggio e candidati input/output delle funzioni.
• Cento casi di apprendimento C autonomi con output reale del compilatore, disassemblaggio e pseudo-codice Ghidra nella GUI principale.
• Cronologia locale delle analisi indicizzata tramite SHA-256 e ripristino compatibile dei finding.
• Output HTML, JSON versionato, candidati YARA, candidati ATT&CK e CFG per la revisione dell'analista.

Installazione

Pacchetto pubblicato 3.0.0

Installa il pacchetto stabile da PyPI:

python3 -m venv .venv
source .venv/bin/activate
python -m pip install --upgrade pip
python -m pip install 1200km-aidebug==3.0.0
aidebug --version

Installa le funzionalità opzionali secondo necessità:

# LLM provider clients and local validation of AI-generated YARA candidates
python -m pip install "1200km-aidebug[ai]==3.0.0"

# Frida dynamic instrumentation
python -m pip install "1200km-aidebug[dynamic]==3.0.0"

# All optional Python integrations
python -m pip install "1200km-aidebug[all]==3.0.0"

Sorgente 3.1.0 revisionata

String Intelligence richiede la sorgente 3.1 finché il suo pacchetto non viene pubblicato. La revisione 3.1 fissa la revisione riportata di seguito. Il suo codice runtime corrisponde anche alla revisione main del 1° ottobre verificata 80b0b7172b592814504c405a16bf4cc0ce4161eb.

git clone https://github.com/anpa1200/AIDebug.git
cd AIDebug
git checkout cd81ef242db0bcea3296970d45c241a4228d2d27
python3 -m venv .venv
source .venv/bin/activate
python -m pip install --upgrade pip
python -m pip install -e .
aidebug --version

Da quel checkout, aggiungi gli extra con python -m pip install -e ".[ai]", ".[dynamic]", o ".[all]". Mantieni gli extra sullo stesso canale di installazione: installare "1200km-aidebug[ai]==3.0.0" sopra il sorgente 3.1 può sostituirlo con il pacchetto 3.0 pubblicato.

Sviluppo

Per un checkout di sviluppo in evoluzione:

git clone https://github.com/anpa1200/AIDebug.git
cd AIDebug
python3 -m venv .venv
source .venv/bin/activate
python -m pip install -e ".[dev,dynamic]"

Ghidra, GDB, Bubblewrap, un compilatore C e i componenti target di Frida sono strumenti esterni utilizzati solo dai workflow che li richiedono.

Integrazione con REMnux

AIDebug è stato accettato in REMnux il 7 ottobre 2026 tramite PR #355, incluso per la prima volta in salt-states v2026.41.4. Lo stato accettato installa 1200km-aidebug[ai] senza pin da PyPI in /opt/aidebug, abilita gli aggiornamenti ed espone /usr/local/bin/aidebug. Come verificato l'8 ottobre 2026, PyPI fornisce ancora la 3.0.0; questo non installa il sorgente 3.1 non pubblicato né l'extra dynamic. Usa --offline per mantenere l'analisi locale. Vedi Configurazione di REMnux e limiti di versione.

Avvio rapido

Apri un campione PE o ELF nell'interfaccia principale del terminale:

aidebug --binary /path/to/sample.exe --offline

Esegui l'analisi deterministica senza l'interfaccia a schermo intero ed esporta le prove:

aidebug --binary /path/to/sample.exe \
  --offline --no-tui --report --json-export --yara \
  --out-dir reports/

Usa la ricostruzione di Ghidra:

aidebug --binary /path/to/sample.exe --offline --no-tui --decompile
aidebug --binary /path/to/sample.exe --offline --no-tui \
  --decompile-all reports/sample-reconstruction.c

Analizza un'unità di traduzione C tramite un artefatto ELF temporaneo e non eseguito:

aidebug --source /path/to/example.c --offline --no-tui

Identificare un file arbitrario indipendentemente dalla sua estensione:

aidebug --identify /path/to/renamed-or-unknown-file --offline