Databricks: LLMs übersehen oft Malware in npm-Binärdateien
Databricks Threat Research zufolge erkennen LLMs häufig keine Malware, die in kompilierten Binärdateien von npm-Paketen versteckt ist. Werden strukturierte Bedrohungsdaten in die Prompts eingespeist, lassen sich die meisten übersehenen Fälle doch noch erkennen.
Kurze Antwort
Was hat das Forschungsteam von Databricks bei der Erkennung von Malware in npm-Paket-Binärdateien durch LLMs herausgefunden?
Databricks Threat Research berichtet, dass LLMs, die zur Triage von npm-Paketen eingesetzt werden, Malware in kompilierten Binärdateien oft übersehen und in der Budget-Klasse bei der Hälfte der Tests komplett versagen. Werden strukturierte "Capability-Profile" als Beweise in die Prompts eingespeist, bevor die Modelle ihre Schlussfolgerungen ziehen, lassen sich laut dem Unternehmen 91 % dieser Fehlschläge über alle getesteten Modelle hinweg beheben.
Das Wichtigste
- Databricks Threat Research zufolge entgehen npm-Pakete mit kompilierten Binärdateien einem eindeutigen Malware-Urteil mehr als doppelt so häufig wie Pakete, die Schadcode im sichtbaren Quellcode verstecken (14,4 % gegenüber 6,2 %, nach Angaben des Unternehmens).
- Databricks testete neun LLMs von sieben Anbietern und stellte fest, dass die siebenköpfige Budget-Klasse ohne zusätzliche Hinweise bei 35 von 70 Malware-Erkennungstests versagte, darunter 20 Pakete, die als vollkommen harmlos eingestuft wurden.
- Das "Capability-Profil"-System des Unternehmens speist rund 1.800 Token strukturierter statischer Analyseergebnisse in den Prompt eines Modells ein, bevor dieses ein Urteil fällt. Laut Databricks ließen sich damit 32 der 35 ursprünglichen Fehlschläge in der Budget-Klasse beheben.
- In einem von Databricks beschriebenen Test stufte Qwen3-Next 80B ein verschleiertes Paket zum Diebstahl von Zugangsdaten zunächst mit 98 % Konfidenz als "harmlos" ein, ohne die zusätzlichen Beweise. Nach Anwendung der Capability-Profile bewertete es das identische Paket mit ebenfalls 98 % Konfidenz als "bösartig".
- Databricks zufolge blieb GPT-5.4-nano auch mit Capability-Profilen das schwächste Modell und verfehlte weiterhin bei drei von zehn Testpaketen ein eindeutig bösartiges Urteil.
Was Databricks herausgefunden hat
Databricks Threat Research sammelt seit November 2025 Malware-Proben aus der npm-Paketregistrierung. Von 11.413 untersuchten Paketversionen, die mit OSV-npm-Malware-Advisories abgeglichen wurden, hätten 96,2 % ihre Schadsoftware direkt im Quellcode versteckt oder von einem externen Server nachgeladen. Die restlichen 3,8 % beziehungsweise 432 Paketversionen enthielten stattdessen eine kompilierte Binärdatei.
Databricks zufolge sind Pakete mit Binärdateien schwerer zu bewerten, obwohl sie seltener vorkommen. Bei bestätigter npm-Malware aus der OSV-Datenbank hätten Pakete mit Binärdatei mehr als doppelt so häufig kein eindeutig bösartiges Urteil erhalten wie Pakete, die nur Quellcode enthielten: 14,4 % gegenüber 6,2 %.
Wie der Test aufgebaut war
Databricks hat einen Scanner entwickelt, der die npm-Registrierung in Echtzeit überwacht, Paketcode und Metadaten mit YARA und Semgrep sowie einem Modul zur Binäranalyse prüft und die gesammelten Beweise anschließend einem LLM zur Beurteilung vorlegt.
Um die Erkennung anhand von Binärdateien gezielt zu untersuchen, erstellten die Forscher fünf feindliche Pakettypen als native Node.js-Addons: ein Paket zum Diebstahl von Zugangsdaten namens sysmon-native, einen Dropper/Backdoor namens buildchain-native, eine Reverse Shell namens netpulse-native, einen Cryptominer-Stub namens hashworker-native und einen Persistenzmechanismus namens taskd-native. Jedes Paket wurde mit einer professionell wirkenden package.json, einer README-Datei und JavaScript-Bindings versehen.
Databricks testete neun Modelle von sieben Anbietern: eine siebenköpfige "Budget"-Klasse, die laut Unternehmen realistischerweise in großem Umfang eingesetzt würde, sowie zwei leistungsfähigere Modelle, Claude Sonnet 4.6 und Kimi K3, die als Verhaltensbasis dienten, und Claude Opus 4.6, das nur als Kostenreferenz einbezogen wurde.
Ergebnisse
| Modell | Ohne Profile | Mit Profilen |
|---|---|---|
| GPT-5.4-nano | 0/10 | 7/10 |
| Qwen3-Next 80B | 1/10 | 10/10 |
| Llama 3.1 8B | 4/10 | 10/10 |
| Gemma 3 12B | 5/10 | 10/10 |
| Claude Haiku 4.5 | 6/10 | 10/10 |
| GLM 5.3 Flash | 9/10 | 10/10 |
| Gemini 3.5 Flash | 10/10 | 10/10 |
Ohne zusätzliche Hinweise sei die Budget-Klasse laut Databricks bei 35 von 70 Erkennungstests (50 %) gescheitert, darunter 20 Fälle, in denen ein Modell die Malware schlicht als harmlos einstufte, und habe in 51 von 70 Tests (73 %) kein eindeutig bösartiges Urteil erreicht. Die beiden Basismodelle hätten die Erkennungsschwelle in keinem Fall verfehlt und nur einmal kein bösartiges Urteil gefällt, so das Unternehmen.
Databricks begegnet diesem Problem mit sogenannten "Capability-Profilen": deklarativen Playbooks, die statische Scan-Ergebnisse gegen Schwellenwerte bewerten, die an eine bestimmte bösartige Technik gebunden sind, etwa das Abgreifen von Zugangsdaten oder Persistenzmechanismen. Wird ein Schwellenwert erreicht, speist das System eine rund 1.800 Token lange strukturierte Zusammenfassung in den Prompt des Modells ein, bevor dieses seine Schlussfolgerung zieht - das Modell kann die Einschätzung des Profils jedoch weiterhin überschreiben.
Mit zusätzlichen Profilen hätten sich laut Databricks 32 der ursprünglich 35 Fehlschläge (91 %) in korrekte Erkennungen verwandelt, und kein Modell habe bei einer der getesteten Schadsoftware-Varianten noch ein harmloses Urteil gefällt. Die Fehlerquote an der Erkennungsschwelle in der Budget-Klasse sei von 50 % auf 4 % (3 von 70 Tests) gesunken, die Quote verfehlter bösartiger Urteile von 73 % auf 34 %. Die drei verbleibenden Fehlschläge von GPT-5.4-nano landeten bei "verdächtig" statt bei "harmlos".
Das Unternehmen hob einen Fall besonders hervor: Qwen3-Next 80B stufte eine verschleierte Version des Stealer-Pakets sysmon-native mit 98 % Konfidenz als harmlos ein und empfahl, es auf eine Positivliste zu setzen, solange kein Profil angewendet wurde. Beim identischen Paket bewertete dasselbe Modell es, nachdem vier Capability-Profile ausgelöst worden waren, mit 98 % Konfidenz als bösartig und empfahl, es zu blockieren.
Häufige Fragen
- Welches Problem hat die Untersuchung von Databricks behandelt?
- Databricks Threat Research untersuchte, warum LLMs, die zur Triage potenziell bösartiger npm-Pakete eingesetzt werden, Malware, die in kompilierten Binärdateien versteckt ist, häufiger übersehen als solche im sichtbaren Quellcode.
- Wie viele Modelle hat Databricks getestet, und was geschah ohne zusätzliche Hinweise?
- Databricks testete neun Modelle von sieben Anbietern. Ohne zusätzliche Hinweise versagte die siebenköpfige Budget-Klasse laut Unternehmen bei 35 von 70 Erkennungstests, darunter 20 Fälle, die komplett als harmlos eingestuft wurden.
- Was ist laut Databricks ein Capability-Profil?
- Databricks beschreibt es als deklaratives Playbook, das statische Scan-Ergebnisse gegen Schwellenwerte bewertet, die an eine bestimmte bösartige Technik gebunden sind. Wird ein Schwellenwert erreicht, speist das System eine rund 1.800 Token lange strukturierte Zusammenfassung in den Prompt des Modells ein.
- Haben Capability-Profile alle von Databricks festgestellten Erkennungsfehler behoben?
- Nein. Databricks zufolge behoben die Profile 32 von 35 Fehlschlägen in der Budget-Klasse, doch GPT-5.4-nano lieferte bei drei von zehn Testpaketen weiterhin nur "verdächtig" statt "bösartig" als Urteil.