AIDebug

レビュアー向けの出発点

エビデンス重視のリバースエンジニアリングCLI。 Andrey Pautov が Python アナリストインターフェース、オフライントリアージ、文字列インテリジェンス、PE 検査、レポートワークフローを開発しています。Capstone、Ghidra、GDB、およびオプションの AI プロバイダーは統合機能であり、本プロジェクトが独自に作成したツールではありません。

役割との関連性: マルウェアトリアージ、リバースエンジニアリングツール、安全な AI 支援分析、Python による提供。

安全なローカルデモを実行し、検証スコープを確認する · 記録済みのローカル検証

AIDebug は、エビデンス重視のマルウェアリバースエンジニアリング CLI およびターミナル UI です。 決定論的なオフライントリアージ、ファイル全体の hex 検査、詳細な PE 構造解析、Capstone 逆アセンブリ、Ghidra 再構築、オプションの LLM クロスチェック、ローカル ELF デバッグ、コンパイル済み学習演習、および アナリストレビュー用レポートを組み合わせています。

現在のソースバージョン: AIDebug 3.1.0。詳細は 3.1.0 リリースノートを参照してください。

最新の不変公開リリースは引き続き AIDebug v3.0.0 であり、 1200km-aidebug として提供されています。 バージョン一致の 3.1.0 タグと GitHub リリースが検証済みの 公開ワークフローを完了するまでの間、こちらが最新となります。

ハイライト

• AI サービスを必要としない、決定論的な PE および ELF の静的トリアージ。
• ファイル全体を対象とした、出現箇所を考慮した ASCII、UTF-8、UTF-16LE、UTF-16BE の文字列 インテリジェンス。スマートカテゴリ、ランキング、DLL/API の解説付き。
• 解析対象ファイル全体を閲覧できる、読み取り専用のページング式 hex ビューア。
• マッピングされた RVA、VA、ファイルオフセットを備えた詳細な PE32/PE32+ 構造エクスプローラー。
• 単一関数または境界付けられた関数セット全体に対する、Ghidra ベースの C ライクな再構築。
• Anthropic、OpenAI、Google Gemini、またはローカル Ollama 互換エンドポイントを介した、 オプションのエビデンスに基づくレビュー。
• ブレークポイント、ステップ実行、レジスタ、差分、逆アセンブリコンテキスト、 関数の入出力候補を備えた、GDB ベースのローカル ELF デバッグ。
• メイン GUI 内で実際のコンパイラ出力、逆アセンブリ、Ghidra 疑似コードを備えた 100 件のスタンドアロン C 学習ケース。
• SHA-256 でインデックス化されたローカル解析履歴と、互換性のある検出事項の復元。
• アナリストレビュー用の HTML、バージョン付き JSON、YARA 候補、ATT&CK 候補、CFG 出力。

インストール

公開済み 3.0.0 パッケージ

PyPI から安定版パッケージをインストールします:

python3 -m venv .venv
source .venv/bin/activate
python -m pip install --upgrade pip
python -m pip install 1200km-aidebug==3.0.0
aidebug --version

必要に応じてオプション機能をインストールします:

# LLM provider clients and local validation of AI-generated YARA candidates
python -m pip install "1200km-aidebug[ai]==3.0.0"

# Frida dynamic instrumentation
python -m pip install "1200km-aidebug[dynamic]==3.0.0"

# All optional Python integrations
python -m pip install "1200km-aidebug[all]==3.0.0"

レビュー済み 3.1.0 ソース

String Intelligence はパッケージが公開されるまでソース 3.1 を必要とします。 3.1 レビュー では以下のリビジョンを固定しています。そのランタイムコードは、監査済みの 10 月 1 日 main リビジョン 80b0b7172b592814504c405a16bf4cc0ce4161eb とも一致します。

git clone https://github.com/anpa1200/AIDebug.git
cd AIDebug
git checkout cd81ef242db0bcea3296970d45c241a4228d2d27
python3 -m venv .venv
source .venv/bin/activate
python -m pip install --upgrade pip
python -m pip install -e .
aidebug --version

そのチェックアウトから、python -m pip install -e ".[ai]"、".[dynamic]"、または ".[all]" で extras を追加します。extras は同じインストールトラックに保ってください。ソース 3.1 の上に "1200km-aidebug[ai]==3.0.0" をインストールすると、公開されている 3.0 パッケージに置き換わる可能性があります。

開発

移動する開発チェックアウトの場合:

git clone https://github.com/anpa1200/AIDebug.git
cd AIDebug
python3 -m venv .venv
source .venv/bin/activate
python -m pip install -e ".[dev,dynamic]"

Ghidra、GDB、Bubblewrap、C コンパイラ、および Frida のターゲットコンポーネントは、それらを必要とするワークフローでのみ使用される外部ツールです。

REMnux 統合

AIDebug は 2026年10月7日 に PR #355 を通じて REMnux に採用され、 salt-states v2026.41.4 で初めて含まれました。 採用された state は、バージョン固定されていない 1200km-aidebug[ai] を PyPI から /opt/aidebug にインストールし、 アップグレードを有効化し、/usr/local/bin/aidebug を公開します。2026年10月8日に確認されたとおり、 PyPI は依然として 3.0.0 を提供しており、これは未公開の 3.1 ソースや dynamic extra をインストールするものではありません。分析をローカルに保つには --offline を使用してください。 REMnux のセットアップとバージョンの境界を参照してください。

クイックスタート

メインのターミナルインターフェースで PE または ELF サンプルを開きます:

aidebug --binary /path/to/sample.exe --offline

フルスクリーンUIを使わずに決定論的分析を実行し、証拠をエクスポートします:

aidebug --binary /path/to/sample.exe \
  --offline --no-tui --report --json-export --yara \
  --out-dir reports/

Ghidra の再構成を使用します:

aidebug --binary /path/to/sample.exe --offline --no-tui --decompile
aidebug --binary /path/to/sample.exe --offline --no-tui \
  --decompile-all reports/sample-reconstruction.c

一時的な非実行ELFアーティファクトを通じて、1つのC翻訳単位を解析します:

aidebug --source /path/to/example.c --offline --no-tui

ファイル名の拡張子に依存せずに任意のファイルを識別します:

aidebug --identify /path/to/renamed-or-unknown-file --offline

--identify は、宣言された型、MIME タイプ、一般的な拡張子、信頼度、判定方法、根拠、SHA-256、およびサイズを含む構造化 JSON を報告します。決定論的なカバレッジには、一般的な実行ファイルおよびバイトコード形式、アーカイブおよびディスクイメージ、Office/OpenDocument/EPUB コンテナ、ドキュメント、画像、音声/動画、パケットキャプチャ、データベース、レジストリ/イベントログのアーティファクト、スクリプト、およびテキストが含まれます。ZIP の分類では最初の 4,096 個の名前を考慮し、mimetype エントリの最大 128 バイトを読み取ります。Python は名前の制限が適用される前にセントラルディレクトリを解析します。これは初期のディレクトリ解析メモリを制限するものではありません。入力全体は 128 MiB に制限され、ファイルが実行または展開されることはありません。組み込みのキャプチャシグネチャは、両方のバイトオーダーにおけるナノ秒 PCAP および PCAP-NG をカバーします。従来のマイクロ秒 PCAP シグネチャは現在欠落しています。オプションの libmagic がそれらを認識できる場合があります。

ローカルプラットフォームで認識される追加のシグネチャのために、python-magic とオペレーティングシステムの libmagic データベースをインストールしてください:

python -m pip install python-magic

決定論的なシグネチャ、構造、テキストルールのいずれにも一致しない場合、設定されたAIプロバイダーが限定的なメタデータから候補を推測することがあります。そのメタデータとは、拡張子、サイズ、SHA-256、最大96バイトのヘッダー、32バイトの末尾、サンプルのエントロピー、NUL比率です。ファイル本体、抽出された文字列、ファイルシステムパスは送信されません。AIのみの結果はai-inferenceとラベル付けされ、信頼度は最大60%に制限され、アナリストによる検証が必要です。フォールバックを完全に無効にするには--offlineを使用してください。解決できない型はUnknownとして報告され、終了ステータスは2になります。

文字列インテリジェンスワークスペース (3.1.0)

メインのターミナルインターフェースでSを押すか、ワークスペース内で直接起動します:

aidebug --binary /path/to/sample.exe --offline --strings

ワークスペースは、ファイルオフセット、利用可能な場合はマップ済みアドレス、エンコーディング、バイト長と文字長、重複出現情報、セクションコンテキスト、信頼度、トリアージスコア、および各分類の決定論的な理由を保持します。フィルタは最小長、エンコーディング、カテゴリ、フリーテキスト検索をカバーし、列ソートとページネーションにより大規模なインベントリでも扱いやすく保ちます。選択された各エンコーディングは、サイズ上限付きの成果物全体をスキャンします。保持されるインベントリは25,000レコード、値ごとに表示4,096文字に制限され、正確な候補数/省略数と全バイトカバレッジにより、どちらの上限も可視化されます。各レコードは最大32件のDLL/APIアノテーションと4,096文字の説明を保持し、敵対的なオーバーフローはレコードの理由に報告されます。

検出はマルチラベルです。単一の値が同時にDLL、Windowsパス、URL、IPアドレス、レジストリキー、コマンド、PowerShellフラグメント、名前付きパイプ、ハッシュ、資格情報候補、ユーザーエージェント、またはその他のサポートされる証拠タイプであり得ます。ドメイン候補はIDNA正規化され、パッケージ化されたオフラインIANAルートゾーンスナップショットに対して照合されます。IPアドレスは完全で有効なトークンを占める必要があり、設定の代入は保守的な全行文法に一致しなければなりません。これにより、短いバイナリ断片がドット、コロン、等号を含むというだけの理由で昇格されることを防ぎます。関連するラベルは1つの信頼度ファミリーを共有するため、ip_address と ipv6 は2つの独立した観測として扱われません。既知のDLLとAPIには短く中立的な機能説明が付与され、未知の名前には推測された目的ではなく、明示的な未検証のフォールバックが付与されます。抽出された名前は存在の証拠であり、コードがそれを呼び出したことや、サンプルが悪意あるものであることの証明ではありません。

決定論的なインベントリをローカルに出力するか、表示されるCLIビューをフィルタするか、正規の完全なインベントリをオーナーのみのJSONとして書き出します:

aidebug --binary /path/to/sample.exe --strings --no-tui
aidebug --binary /path/to/sample.exe --strings --no-tui \
  --string-encoding ascii --min-string-length 6 --string-category url
aidebug --binary /path/to/sample.exe --strings --no-tui \
  --strings-output reports/sample-strings.json