Databricks 研究：用领域知识注入提升 LLM 对 npm 二进制恶意包的识别
Databricks 威胁研究团队发布研究，针对 npm 包中捆绑二进制文件的恶意样本，提出在推理阶段注入「能力画像」领域知识，以改善 LLM 的恶意软件分诊表现。研究称在预算级模型上，启用画像后多数失败案例恢复为检出。
核心事实
Databricks 威胁研究团队在其博客发布研究，主题为面向 npm 包中二进制载荷的 LLM 恶意软件分诊。研究称，团队自 2025 年 11 月起收集 npm 恶意样本，在扫描并经 OSV npm 恶意软件公告交叉确认的 11,413 个包版本中，96.2% 将载荷藏在源码中或从外部服务器获取，其余 3.8%（432 个包版本）捆绑了二进制文件。研究指出，捆绑二进制的包在 OSV 确认的 npm 恶意软件中，未能得出明确恶意结论的比例是纯源码包的两倍以上（14.4% 对 6.2%）。
背景与影响
研究认为，二进制载荷虽数量少，但在分诊中风险不成比例：剥离符号、不透明且无源码可读的二进制可被包裹在看似干净的源码与元数据中，可能使 LLM 倾向判定为良性。团队的做法不同于把专家知识写入模型权重的指令微调路线，而是在推理阶段把预先计算的静态证据放入提示词。其「能力画像」是一套声明式规则，把凭证窃取、持久化等恶意技术编码为对扫描器静态证据的加权条件；达到阈值时，引擎在模型推理前注入约 1,800 token 的结构化摘要。研究测试了 9 个模型，覆盖 7 家提供商，其中 7 个为预算级模型、2 个为能力基线，另将 Claude Opus 4.6 仅作成本参照。研究称，未启用画像时预算级模型在 70 次测试中失败 35 次（50%），启用后 35 次失败中有 32 次（91%）恢复为检出，且没有模型对任何载荷给出良性结论。
限制与来源
上述数据来自 Databricks 官方博客的单一研究，测试基于其自建的对抗性载荷集与内部扫描流程，并非独立第三方复现，具体结论的适用范围尚待更多验证。研究也列出检测限制等章节，说明该方法存在边界。相关模型名称、版本与定价信息请以各厂商官网当前信息为准。本文不构成任何安全采购或投资建议。