中山大学本科生开源 BLA：给 AI 逆向 Agent 挖坑，Token 账单最高暴涨 2800 倍

量子位报道，一位中山大学本科生开源了名为 BLA 的项目，目标是反制近来爆火的 AI 逆向工具。BLA 是一套 MCP 服务和 CLI 工具，作者的描述很直白：让 AI 逆向 Agent 失明。

背景是另一个项目 REA。REA 主打“AI 逆向一切”，登上 GitHub 仅一周就获得 10 万以上标星，被一些开发者视为“软件已死”的信号，同时也被列为 2026 年最危险的开源项目之一。BLA 正是针对这类工具的加固方案。

BLA 的思路分三步：投毒、耗尽预算、诱导误判。第一步是在文件里放入格式逼真的假凭据、假诊断信息、看起来像授权逻辑的代码分支，以及诱饵 Source Map。例如它能生成一份格式有效、但源码路径和代码片段纯属虚构的映射，让普通客户端代码看起来像在调用硬件安全区，Agent 若把它当作证据，就会沿着一条根本不存在的调用链继续追查。

第二步更直接：精确触发分析器内部硬编码的配额上限，让工具直接报错。以 Electron 常用的 .asar 包为例，BLA 的最强加固档会塞进约 4000 条诱饵文件，每条内容很短但路径很长，体积主要堆在包头索引上。作者测试中，一个 607 字节的包经加固后变成 16.93 MiB，包头超过 REA 的默认上限，读取直接失败。

作者给出了实测与估算结果。13 个加固前后的对照项中，7 项在被测步骤报错或被拒绝，2 项只返回部分结果，1 项仅在指定查询时报错，其余 3 项没有观察到分析被阻断。成本方面，内部测试显示加固后逆向 AI 的 Token 消耗约为原来的 300 至 2800 倍；用仓库中 14 个示例估算，总 Token 消耗约为加固前的 639.5 倍，总费用约为 304.4 倍。

项目作者 Timo Zhang 是中山大学软件工程专业大三学生，目前在字节跳动实习，也是 LobeHub 的贡献者。他另一个有 500 多标星的项目 mu（μ），是基于树莓派构建、用于降低 Coding Agent Token 消耗的小模型，方向与 BLA 正好相反。

BLA 目前获得 3900 多标星和 476 个 fork。它反映的是一个正在成形的对抗面：当 AI Agent 可以低成本地拆解二进制与前端产物，软件保护的重心就从混淆与加壳，转向如何污染 Agent 的证据链、抬高它的推理成本。

需要看到的是，这类加固并非不可破解。作者自己也指出，分析器的默认配额上限可以调高，而塞入大量诱饵文件会让包体显著变大，本身就是一个可被察觉的信号。对防守方来说，BLA 更像是在成本与收益之间抬价，而不是一道绝对屏障；接下来值得关注的是 AI 逆向工具会不会针对这类投毒做专门的鲁棒性训练。