BinSight

---

ダウンロードした .exe、ファームウェアのダンプ、ドライバー、ゲーム、ECU のキャリブレーション、アプリのアップデートなど、ほとんどのファイルはブラックボックスです。BinSight は、ファイルを実行することなく、手元のマシンで静的にその中身を開き、重要な3つの疑問に、根拠を添えて平易な言葉で答えます。

You: What is this file? Is it hiding anything? And what changed vs the old version?

BinSight: PE/Windows x64, compiled with MSVC, UPX-packed (entropy 7.9),
          imports consistent with network + process injection, Authenticode
          signature present, and vs the previous build 3 regions changed —
          here are the offsets. All static, all offline, with evidence.

3つの疑問

🔎 これは何ですか？

triage_file と inspect_executable は ELF、PE/Windows、Mach-O（および生のバイナリデータ）を読み取り、種類、アーキテクチャ、エントリーポイント、インポート／エクスポート、セクション、ハッシュ、コンパイラー／パッカーのフィンガープリントを報告します。macOS、Windows、Linuxで動作し、GhidraやIDAを起動する必要はありません。

🕵️ 何を隠していますか？

detect_binary_toolchain、measure_binary_entropy、classify_import_capabilities、identify_crypto_constants、extract_binary_strings、inspect_code_signature、scan_embedded_content は、パッキング、高エントロピー領域、インポートされた機能（ネットワーク、プロセス、暗号など）、IOC文字列、埋め込みファイル、署名が実在するかどうかを明らかにします。判定ではなく、証拠と推論として報告します。

🔁 何が変わりましたか？

compare_binaries は任意の2つのファイルをバイト単位で比較し、どの領域が移動したのか、何がゼロ化または最大値に設定されたのか、変更前後の値を説明します。アプリのアップデート、ドライバー、ファームウェア、ECUのキャリブレーションダンプなど、さまざまなファイルに対応します。 compare_executables は、実行ファイルのインポート／エクスポート／セクション／ハードニングの差分も追加で表示します。

17 個すべてのツール

ツール	回答できること
triage_file	1 回の呼び出しで、種類、ハッシュ、構造、エントロピー、パッキング、機能、署名、文字列、次のステップを提示します
generate_triage_report	共有可能な Markdown トリアージレポートを作成します
compare_binaries	任意の 2 つのファイルを比較し、何が変わったかを説明します（ファームウェア、ECU ダンプ、アップデート）
compare_executables	2 つの実行ファイルを比較します：インポート、エクスポート、セクション、ハードニング、エントロピー
inspect_executable	セクション、インポート、エクスポート、ライブラリ、シンボル、エントリーポイント、オーバーレイ — ELF/PE/Mach-O
inspect_binary_hardening	すべての OS の checksec：PIE、canary、NX、RELRO、CFG、ASLR、ハードニングされたランタイム
measure_binary_entropy	ファイル／セクション／ブロックのシャノンエントロピー + カイ二乗検定
detect_binary_toolchain	コンパイラー、パッカー、インストーラー、言語（UPX、MSVC、PyInstaller、Go…）
extract_binary_strings	ASCII/UTF-16 文字列を IOC（URL、IP、パス、レジストリ…）に分類します
identify_crypto_constants	AES S-box、SHA/MD5、CRC32、ChaCha、曲線パラメーター…
classify_import_capabilities	インポートから推定される機能（「整合性がある」ことを示すものであり、決して断定ではありません）
scan_byte_patterns	バイト／16 進数ワイルドカード／テキスト／正規表現による検索。プロバイダーは不要です
compute_similarity_hashes	imphash、Rich hash、symhash、telfhash、ssdeep、TLSH
inspect_code_signature	Authenticode + Mach-O コード署名 — 任意のホストで実行できます
scan_embedded_content	binwalk 形式の埋め込みファイル識別（オフセットのみ）
generate_sbom	埋め込みメタデータから CycloneDX / SPDX コンポーネント一覧を作成します
recover_go_symbols	ストリップされた Go pclntab から関数名を復元します

すべての結果は、観測事項、推論、未確認事項を分けて提示し、ファイルオフセットを記載して制限事項を明示します。検出のみ — 展開、復号、クラック、実行は行いません。

クイックスタート

npx binsight triage-file /path/to/file --json
npx binsight compare-binaries /path/to/old /path/to/new --json
npx binsight generate-triage-report /path/to/file --json

BinSight を AI エージェント用の MCP サーバーとして登録し、自然な言葉で質問するだけです（「このファイルは何か、何を隠しているか、何が変わったか？」）：

npx binsight setup

BinSight は REA と同じエージェントをサポートしています。サポート対象のエージェントを参照してください。その他のクライアントでは、MCP の手動登録を利用できます。

リファレンスツールとの照合済み

BinSight のパーサーとハッシュは、アナリストがすでに信頼しているツールと照合されています。imphash は pefile とバイト単位で一致し、構造は LIEF / readelf / otool と一致します。また、ハードニングとパッキングの結果は、ELF、PE、Mach-O バイナリの実データセットにおいて checksec および Detect It Easy と一致します。

ドキュメント

• 静的インテリジェンススイート：CLI と MCP の例を含む 17 個のツール。
• ツールカタログ：ツール、プロバイダー、CLI コマンドの自動生成された一覧。
• インストールとセットアップ：プロバイダー、エージェント、手動登録。

REA を基盤に構築

BinSight は REA を基盤とし、前述の静的インテリジェンススイートを追加しています。REA は MIT ライセンスで公開されており、このプロジェクトも同じライセンスと著作権表示を引き継いでいます。これは公式の REA リリースではありません — REA については、morluto/rea をご覧ください。

ライセンス

MIT。LICENSE をご覧ください。一部の著作権は REA の作者に帰属します。