1. 从TCHES 2026的IC逆向综述说起为什么这个方向突然又热了IC逆向工程Integrated Circuit Reverse Engineering在学术圈一直是个闷声做大事的方向。它不像AI芯片设计那样天天上头条也不像RISC-V生态那样热闹但几乎所有做硬件安全、供应链审计、知识产权取证的人都绕不开它。TCHESIACR Transactions on Cryptographic Hardware and Embedded Systems作为硬件安全领域的顶刊之一2026年收录的这篇IC逆向综述把过去十几年散落在各处的技术路线做了一次系统性梳理这件事本身就值得关注。我最早接触IC逆向是在做FPGA设计验证的时候。当时遇到一个第三方IP核文档写得含糊其辞时序约束也不完整只能靠逆向手段去推断内部逻辑结构。那时候用的还是最原始的方法抓波形、比对netlist、手工画状态机。后来慢慢接触到更系统的流程才发现这个领域远比想象中成熟——从版图到网表netlist的提取、从网表到RTL的抽象、从RTL到行为级模型的还原每一步都有专门的方法论和工具链。这篇综述之所以值得写一篇博文来拆解是因为它触及了一个关键转折点传统的IC逆向主要依赖图像处理和人工分析效率低、门槛高而LLM大语言模型的介入正在改变游戏规则。热词里出现的LLM的token三个点key我是谁、query我在找什么、value我能提供什么这个说法虽然口语化但恰好点出了LLM在逆向工程中的核心价值——它可以把非结构化的逆向数据波形、网表片段、版图特征映射到结构化的语义空间里帮助工程师快速定位功能模块。这篇文章适合几类人看做硬件安全的、做FPGA开发需要验证第三方IP的、做芯片供应链审计的以及单纯对如何从硅片反推设计意图这件事好奇的工程师。我会从综述的核心框架出发结合FPGA场景和LLM辅助的实际操作把IC逆向的完整链路拆开讲清楚。2. IC逆向的技术栈拆解从版图到netlist再到行为模型2.1 逆向工程的四个抽象层级IC逆向不是单一技术而是一条从物理层到行为层的完整链路。综述里把它分成了四个层级我结合实际操作经验重新整理了一下层级输入输出核心挑战典型工具/方法物理层芯片裸片图像版图几何信息去层、成像分辨率、对准SEM、光学显微镜、去层蚀刻门级版图几何门级netlist标准单元识别、连线提取图像分割、模板匹配RTL级门级netlistRTL代码/FSM逻辑优化还原、状态机提取布尔匹配、图同构行为级RTL/FSM功能模型协议推断、算法还原动态分析、LLM辅助语义映射这个分层看起来清晰但实际操作中最大的坑在于每一层的输出都不是下一层的完美输入。比如从版图提取门级netlist时标准单元的识别错误会直接传播到RTL还原阶段导致状态机提取完全跑偏。我在做FPGA第三方IP验证时遇到过类似问题——用综合工具反推的netlist和原始RTL之间存在大量优化痕迹寄存器被重命名、组合逻辑被重组直接看netlist根本对不上。2.2 为什么netlist是逆向工程的中间语言netlist之所以成为IC逆向的核心枢纽是因为它同时具备两个特性对下可以映射到物理版图对上可以抽象到RTL行为。在FPGA场景里netlist更是无处不在——综合后的网表、布局布线后的网表、甚至比特流反推的网表都是不同阶段的netlist表示。热词里提到的fpga case用独热码和不用独热码区别其实就和netlist逆向直接相关。独热码one-hot encoding状态机的netlist特征非常明显每个状态对应一个触发器状态转移逻辑表现为大量的与门和或门组合。而二进制编码的状态机netlist则更紧凑但状态解码逻辑更复杂。做逆向时如果你能识别出独热码的特征就能快速定位状态机模块大幅缩短分析时间。实操心得在FPGA netlist逆向中先看触发器数量和组合逻辑的比例。如果触发器数量接近状态数的两倍以上大概率是独热码如果触发器数量远少于状态数可能是二进制或格雷码编码。2.3 从netlist到RTL的语义鸿沟这是整个逆向链路里最难的一步。netlist是扁平的、无层次的、经过优化的而RTL是有层次的、有语义的、人类可读的。综述里提到传统方法依赖布尔匹配和图同构算法但这些方法在面对现代综合工具的激进优化时越来越力不从心。举个例子一个简单的8位计数器综合后可能变成一堆触发器和加法器的组合进位链被拆散、复位逻辑被合并、甚至部分逻辑被重定时retiming到不同阶段。你拿到的netlist里根本看不到计数器这个语义单元只能看到一堆门级连接。这时候就需要LLM介入——把netlist的结构特征触发器连接模式、逻辑深度、扇入扇出转换成自然语言描述让LLM去推断这大概率是一个计数器。热词里llm的token三个点key我是谁、query我在找什么、value我能提供什么这个说法放在这里特别贴切。在逆向场景中Keynetlist片段的结构特征触发器数量、逻辑门类型、连接拓扑Query当前要识别的功能模块是状态机是计数器是FIFOValueLLM从训练数据中学到的结构-功能映射知识这个类比虽然简化了注意力机制的数学原理但确实抓住了LLM辅助逆向的核心逻辑。3. LLM在IC逆向中的实际切入点别把它当万能药3.1 LLM能做什么不能做什么综述里对LLM在IC逆向中的应用前景给了比较乐观的评价但我在实际尝试后发现LLM的能力边界非常明确。先说它能做的netlist片段分类给定一段netlist的结构描述判断它属于哪种功能模块计数器、状态机、移位寄存器、FIFO等协议推断从信号波形或状态转移图中推断通信协议SPI、I2C、UART等代码还原辅助把门级netlist转换成可读的RTL伪代码文档生成为逆向出来的模块自动生成功能说明文档再说它不能做的精确的时序分析LLM对时序约束的理解非常有限不能替代静态时序分析工具大规模netlist处理受限于上下文窗口LLM无法直接处理百万门级的netlist物理层图像识别这需要专门的计算机视觉模型LLM不擅长保证正确性LLM的输出是概率性的逆向结果必须经过形式验证或仿真验证注意把LLM的输出直接当作逆向结果使用是极其危险的。我见过有人用LLM推断出一个UART控制器的结论结果仿真发现波特率完全不对——LLM只看了结构特征没考虑时钟分频参数。3.2 一个实际的LLM辅助逆向流程我在验证一个第三方FPGA IP时尝试过用LLM辅助分析netlist。具体流程是这样的第一步netlist预处理。用综合工具导出网表过滤掉无关的IO缓冲和时钟树只保留核心逻辑。这一步很关键因为原始netlist里大量的是工具自动插入的单元会干扰LLM的判断。第二步结构特征提取。写脚本统计每个模块的触发器数量、逻辑门类型分布、扇入扇出统计、逻辑深度等特征。这些特征被转换成自然语言描述比如该模块包含16个D触发器其中8个共享同一个时钟使能信号组合逻辑以与门和或门为主逻辑深度为4级。第三步LLM分类与推断。把结构描述喂给LLM让它判断模块功能。我用的提示词大概是这样的prompt 你是一个数字电路逆向分析专家。以下是一个netlist模块的结构特征描述 {structural_features} 请判断该模块最可能的功能并给出推理过程。 输出格式 - 功能类型[计数器/状态机/移位寄存器/FIFO/其他] - 置信度[高/中/低] - 推理依据[具体分析] - 建议验证方法[仿真/形式验证/动态测试] 第四步交叉验证。LLM给出判断后用仿真或形式验证工具确认。如果LLM说是计数器就写一个测试平台看它是否真的按预期计数。这个流程实测下来对于简单模块计数器、移位寄存器、简单状态机的识别准确率能到80%以上但对于复杂模块带握手的FIFO、多时钟域状态机准确率会降到50%以下。所以LLM只能作为辅助不能替代传统逆向方法。3.3 热词里的LLM as judge在逆向中怎么用LLM as judge这个思路在IC逆向里有一个很有意思的应用用LLM来评估逆向结果的质量。传统方法评估逆向结果靠的是形式验证等价性检查但这需要原始RTL作为参考。在很多逆向场景中原始RTL是拿不到的这时候就需要一个裁判来判断逆向出来的RTL是否合理。LLM作为裁判的逻辑是给它逆向出来的RTL代码和原始netlist的结构描述让它判断两者在功能上是否一致。虽然LLM不能做精确的等价性证明但它可以识别出明显的矛盾——比如netlist里有16个触发器RTL里只写了8个netlist里有异步复位RTL里全是同步逻辑。我在实际使用中发现LLM as judge最适合做粗筛先用它快速排除明显错误的逆向结果再用形式验证做精确检查。这样可以把形式验证的工作量减少60%以上。4. FPGA场景下的IC逆向为什么FPGA是最好的练兵场4.1 FPGA逆向和ASIC逆向的本质区别虽然IC逆向的通用方法论对FPGA和ASIC都适用但两者在实际操作上有很大差异。FPGA逆向的最大优势是你可以直接控制芯片的配置——比特流bitstream就是FPGA的版图而且比特流和netlist之间的映射关系比ASIC版图到netlist的映射要清晰得多。热词里fpga怎么编写光口代码、fpga实现mipi、fpga高速adc采样这些应用场景其实都涉及到一个共同需求验证第三方IP或参考设计的真实行为。很多时候供应商给的文档和实际IP行为不一致这时候就需要逆向手段来搞清楚IP到底在做什么。FPGA逆向的典型流程比特流提取从FPGA配置存储器中读出比特流比特流解析根据FPGA厂商的比特流格式文档解析出LUT配置、布线信息、IO配置netlist重建把LUT配置和布线信息转换成门级netlist功能推断分析netlist推断出原始设计的功能模块这个流程听起来简单但实际操作中最大的坑是比特流格式的厂商差异性。Xilinx、IntelAltera、Lattice、安路等厂商的比特流格式完全不同而且很多细节没有公开文档。热词里安路fpga 仿真、黑金fpga这些关键词说明国内FPGA生态里有很多人在做逆向相关的工作。4.2 用LLM辅助FPGA比特流逆向的尝试我尝试过用LLM辅助分析FPGA比特流。具体做法是先把比特流按帧frame解析成二进制数据然后统计每个帧的熵值和位翻转率把统计特征转换成自然语言描述让LLM判断哪些帧可能对应LUT配置、哪些对应布线、哪些对应IO。这个方法的理论基础是LUT配置帧的熵值通常较高因为LUT内容随机性大布线帧的熵值中等布线模式有规律但复杂IO配置帧的熵值较低配置选项有限。LLM可以根据这些统计特征给出初步分类。实测下来对于Xilinx 7系列FPGA这个方法的分类准确率大概在70%左右。对于国产FPGA如安路、高云由于比特流格式文档更少准确率会低一些。但这个方法的优势是不需要厂商文档完全基于数据驱动。实操心得做FPGA比特流逆向时先从一个已知功能的简单设计比如fpga实现串口控制led开始提取比特流并分析其统计特征。有了这个基准再去分析未知设计时就有了参照。4.3 FPGA逆向在硬件安全审计中的价值热词里rocev2 fpga、fpga网卡测速程序这些关键词指向一个重要的应用场景网络设备的硬件安全审计。很多高性能网卡、交换机使用FPGA做包处理如果这些FPGA里存在后门或未公开的功能传统的软件审计方法根本发现不了。通过FPGA逆向可以检查比特流中是否存在未在文档中说明的功能模块。比如一个声称只做包转发的FPGA设计逆向后发现里面还有一个隐藏的状态机在特定条件下会修改包内容——这就是典型的安全隐患。这个场景对逆向工程师的要求很高不仅要懂FPGA架构和比特流格式还要懂网络协议和硬件安全。LLM在这里可以辅助做协议推断和异常行为识别但最终的判断还是要靠人。5. 逆向工程中的脏活累活那些综述不会告诉你的细节5.1 去层和成像物理逆向的第一道坎如果你做的是芯片级逆向不是FPGA比特流逆向第一道坎就是去层。芯片是多层结构金属层、氧化层、多晶硅层叠在一起要看到底层结构就必须一层一层去掉。这个过程用化学蚀刻或等离子蚀刻完成但控制蚀刻速率和均匀性非常困难。我见过的最惨案例是蚀刻过度把关键的多晶硅层也去掉了整个芯片报废。所以去层操作必须从背面开始先磨薄衬底再用选择性蚀刻液逐层去除。每一步都要在显微镜下检查确认当前层的结构清晰可见后再进行下一步。成像环节的坑更多。光学显微镜的分辨率受衍射极限限制对于先进工艺节点比如28nm以下光学显微镜根本看不清细节必须用SEM扫描电子显微镜。但SEM成像速度慢、成本高而且样品需要镀导电层一旦镀层就很难再做后续处理。5.2 标准单元识别模板匹配的局限性从版图图像到门级netlist的关键一步是标准单元识别。传统方法是模板匹配预先建立标准单元库的图像模板然后在版图图像中搜索匹配。但这个方法在现代工艺下面临严重挑战工艺变异同一标准单元在不同芯片上的成像可能有差异光学邻近效应先进工艺下版图图像和设计图形之间存在畸变金属层遮挡上层金属会遮挡下层结构综述里提到基于深度学习的方法正在取代传统模板匹配。用CNN做标准单元识别可以自动学习工艺变异和成像畸变的特征识别准确率能提升到95%以上。但训练数据的获取是个问题——你需要大量已知标准单元的版图图像而这些数据通常掌握在代工厂手里。5.3 连线提取最容易被低估的环节门级netlist不仅包含标准单元还包含单元之间的连线。连线提取的难度往往被低估。在版图图像中连线表现为金属层上的线条但问题是不同金属层的线条在图像上可能重叠通孔via连接不同金属层但通孔在图像上只是一个小点电源线和地线通常很宽会遮挡信号线我在做一个小规模ASIC逆向时光是连线提取就花了整个项目60%的时间。后来发现用多角度成像从不同角度拍摄SEM图像可以部分解决金属层重叠的问题但数据量和处理复杂度会大幅增加。6. 从逆向到正向如何把逆向结果变成可复用的设计资产6.1 逆向结果的验证链逆向出来的netlist或RTL不能直接使用必须经过严格的验证。验证链通常包括结构验证检查netlist的拓扑结构是否合理无悬空节点、无组合环路等功能验证用仿真或形式验证确认逆向结果的功能正确性时序验证确认逆向出来的设计满足时序约束物理验证如果要做版图重建还需要DRC和LVS检查这个验证链里功能验证是最耗时的。对于复杂设计可能需要构造大量的测试向量。LLM在这里可以辅助生成测试向量——给它逆向出来的RTL描述让它生成覆盖各种边界条件的测试用例。6.2 逆向知识库的构建每次逆向项目都会产生大量有价值的数据netlist片段、功能标注、验证结果、踩坑记录。这些数据如果只是散落在各个项目文件夹里下次遇到类似问题时又要从头开始。我建议构建一个逆向知识库把以下内容结构化存储模块特征库常见功能模块的netlist结构特征触发器数量、逻辑深度、连接模式协议特征库常见通信协议的波形特征和状态转移模式工具配置库各种逆向工具的参数配置和脚本模板案例库完整逆向项目的流程记录和关键决策点这个知识库可以用向量数据库存储配合LLM做检索增强生成RAG。当你遇到一个新的逆向任务时先检索知识库里是否有类似案例再让LLM基于检索结果给出分析建议。6.3 逆向工程的法律和伦理边界做IC逆向必须清楚法律边界。不同国家和地区对逆向工程的法律规定不同但有几个通用原则互操作性目的为了确保不同厂商设备之间的互操作性而进行的逆向通常受到法律保护安全研究目的为了发现和修复安全漏洞而进行的逆向在多数司法管辖区受到一定保护知识产权保护逆向过程中不得复制受版权保护的代码或设计商业机密不得通过逆向获取他人的商业机密在实际项目中我建议在开始逆向之前先做一次法律评估明确逆向的目的、范围和输出物的使用方式。这不是小题大做——我见过因为逆向结果使用不当而引发法律纠纷的案例。7. 工具链选型从开源方案到商业套件7.1 开源逆向工具的实际可用性开源IC逆向工具里比较有名的有Degate用于版图分析和标准单元识别支持多种图像格式NanoMapSEM图像处理和多层对齐BitstreamFPGA比特流解析主要支持XilinxYosys虽然主要是综合工具但它的netlist处理能力在逆向中很有用这些工具的实际可用性参差不齐。Degate的界面比较老旧处理大尺寸图像时经常崩溃NanoMap的对齐算法对图像质量要求很高Bitstream的文档很少很多功能需要看源码才能理解。我的建议是开源工具适合做原型验证和小规模项目商业项目还是需要商业工具。但商业工具如TechInsights的逆向套件价格昂贵而且有出口管制限制不是所有团队都能用上。7.2 FPGA厂商工具的逆向友好度对比厂商比特流文档完整度逆向工具支持社区活跃度备注Xilinx中等高Project X-Ray等高7系列文档较全UltraScale较少Intel/Altera低中中比特流格式复杂文档稀缺Lattice中等中中部分系列有开源逆向项目安路低低低国产FPGA文档少高云低低低国产FPGA逆向难度大这个表格是基于我个人经验整理的不一定全面但可以给选型提供参考。如果你要做FPGA逆向Xilinx 7系列是最友好的起点——社区资源多比特流格式相对清晰。7.3 LLM工具链的集成方式把LLM集成到逆向工作流里有几种方式本地部署用Ollama或llama.cpp在本地跑开源模型如Llama 3、Qwen适合处理敏感数据API调用用云端LLM API如GPT-4、Claude适合处理非敏感数据成本按token计费混合方案敏感数据本地处理非敏感数据云端处理我在实际项目中用的是混合方案netlist结构特征提取在本地完成只把脱敏后的特征描述发给云端LLM做分类。这样既利用了云端LLM的强大能力又避免了敏感数据泄露。注意无论用哪种方案都要确保逆向数据不包含个人信息、商业机密或受出口管制的内容。在发送给云端LLM之前务必做数据脱敏。8. 写在最后一些个人体会做IC逆向这些年最大的感受是这个领域的技术门槛在降低但判断门槛在升高。以前难在工具和方法——没有好的显微镜、没有好的图像处理算法根本做不了逆向。现在工具越来越成熟LLM又降低了语义分析的门槛技术上的障碍少了很多。但判断门槛反而更高了。因为工具给出的结果越来越多你需要判断哪些结果是可信的、哪些是噪声、哪些需要进一步验证。这种判断力不是看几篇论文就能获得的必须通过大量的实际项目积累。另外LLM在逆向中的应用还处于早期阶段。我试过的所有LLM辅助逆向方法都只能作为副驾驶——它帮你快速筛选可能性但最终决策还是要靠人。如果你指望LLM直接告诉你这个netlist是什么功能大概率会失望。但如果你用它来缩小搜索空间、生成假设、辅助验证它确实能大幅提升效率。最后分享一个实用技巧做逆向时先从一个已知功能的简单模块开始建立基准特征库。比如先逆向一个fpga实现串口控制led的设计把UART模块、LED驱动模块的netlist特征记录下来。有了这个基准再去分析复杂设计时就可以用类比的方法快速定位功能模块。这个思路在LLM辅助逆向中尤其重要——LLM需要参照物才能做出准确判断基准特征库就是它的参照物。