AI加速App逆向工程，Digital.ai實測揭示傳統加殼防護侷限

隨著生成式AI快速發展，行動應用安全（App Security）面臨新挑戰。過去需要耗費大量時間的部分App逆向分析工作，如今可透過AI與自動化工具大幅加速，也讓既有加殼與程式碼保護機制面臨考驗。專精於App安全的Digital.ai與其臺灣代理商叡揚資訊，在臺揭露這方面的技術變化，並提出強化程式碼混淆，以及結合伺服器端動態風險回應等防禦新方向。

關於AI如何降低應用程式逆向工程（Reverse engineering）的技術門檻，Digital.ai亞太資安銷售工程師Pil Park進一步說明，他指出，傳統App加殼（Packing）與局部加密雖能增加反編譯及人工分析的難度，但仍可能留下未加密的程式結構資訊，讓AI得以利用這些線索重建檔案結構，作為進一步還原程式碼的起點。

他以一款經過簡易加殼保護的Android App為例，說明團隊使用Anthropic Claude模型進行實測，約花費2分鐘，就透過靜態分析重建出可供解析的DEX檔案結構。DEX是Android App儲存編譯後程式碼的檔案格式。這項實測的關鍵在於，受測檔案雖有部分內容受到加密保護，卻仍保留標頭、map_list及方法識別資訊等明文資料，使AI得以利用這些線索推算資料位置、修復檔案結構，而不必先取得解密金鑰。

不過，Pil Park指出，這次實測也顯示AI分析結果仍需進一步驗證。雖然Claude模型初步回覆已完整取得DEX內容，但團隊後續檢查發現，重建的兩個DEX檔案仍有17,179個方法主體（Method Body）缺少實際執行的程式碼內容，顯示DEX結構能被解析，不代表程式碼已完整還原。

針對靜態分析無法取得的程式內容，團隊進一步在App執行期間進行Memory Dump，從記憶體擷取缺少的程式碼。Pil Park指出，在冷啟動測試情境下，團隊僅花費34秒便取得包含完整方法主體的DEX檔案。

Pil Park指出，這項實測顯示，簡易加殼與局部加密仍可能留下可供AI利用的分析線索，而App執行期間載入記憶體的程式碼，也可能透過Memory Dump取得。同時他也提醒，即使完整DEX檔案能夠透過上述方法取得，若其中的程式碼經過深度混淆，攻擊者仍難以輕易理解其程式邏輯。

因此，他建議企業進一步採用類別加密（Class Encryption），並強化程式碼混淆（Code Obfuscation），透過類別加密增加靜態分析的難度，並利用深度混淆保護關鍵程式邏輯，提高攻擊者逆向分析的技術門檻。

還有哪些App防護發展趨勢是Digital.ai認為也值得關注的？Pil Park指出，除了強化程式碼保護，App偵測到威脅後的反應，也可能成為攻擊者追查防護邏輯的線索。例如，傳統防護機制若透過拋出未處理的Java例外，使App崩潰並結束運作，產生的崩潰日誌可能留下Java堆疊軌跡（Stack Trace），暴露部分防護邏輯。對此，Digital.ai發展一項名為NativeFail的機制，在觸發防護時，改由Native層透過SIGSEGV等訊號使App崩潰，雖然這麼做仍可能留下Native層的崩潰紀錄，但有助於減少Java堆疊軌跡暴露的防護線索，增加攻擊者追查與繞過防護機制的難度。

除了減少崩潰時留下的分析線索，如何避免防護反應過於固定而容易被攻擊者預測，也是另一項重點。Pil Park指出，若App偵測到異常便立即關閉自身，攻擊者可能透過反覆測試掌握觸發條件。為此，Digital.ai提出將執行期應用程式自我防護（RASP）與伺服器端風險決策結合，由App回報Root、Frida等風險偵測訊號，再由後端依據累積風險分數決定處置方式。例如，針對Root、Frida等不同威脅設定相應的風險分數，當累積分數達到設定門檻時，便可撤銷工作階段、限制敏感功能或拒絕存取。

另一方面，從整體App威脅趨勢來看，叡揚資訊資安事業處業務代表徐尚永也引用Digital.ai發布的《2026 Application Security Threat Report》指出，在原廠監控的App中，遭受攻擊的比例從2022年的55%增加至2026年報告中的87%。其中，iOS與Android的受攻擊比例分別為86%與89%，差距逐漸縮小。值得注意的是，針對iOS的動態Instrumentation相關攻擊，一年內增加10個百分點，顯示執行階段的逆向分析威脅已不只是Android需要關注的問題。此外，汽車產業App遭受攻擊的比例達91%，與金融服務業相當；醫療裝置相關App則從78%升至86%，顯示攻擊風險已擴及不同產業。

綜合而言，隨著AI Agent等工具降低逆向分析的技術門檻，叡揚資訊表示，企業的AppSec團隊需更加重視發布後的攻擊風險，但這並非原始程式碼的靜態安全測試（SAST）、軟體組成分析（SCA）及弱點修補已失去價值，而是企業還需要進一步考量App發布後，攻擊者可能透過逆向工程取得程式碼、分析運作邏輯，進一步尋找可利用的攻擊路徑，因此有必要將執行階段的安全防護納入整體App安全策略。