🤖 machine learning

Vendor-Conditioned Contrastive Learning for Predicting Organizational Cyber Threat Targets

تقدم هذه الورقة البحثية إطار عمل TRACE، وهو إطار للتعلم التبايني المشروط بالبائع والمبني على نموذج CySecBERT، والذي يستفيد من مجموعة نصوص ضخمة متعددة المصادر تضم 352,866 منشوراً لتحقيق دقة متناهية في التنبؤ بأهداف التهديدات السيبرانية للمؤسسات مع إظهار المتانة ضد التحولات في التوزيع الزمني.

المؤلفون الأصليون: Benjamin M. Ampel

نُشر 2026-05-15

📖 4 دقيقة قراءة☕ قراءة في استراحة قهوة

CC BY 4.0

المؤلفون الأصليون: Benjamin M. Ampel

البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل

تخيل أن الإنترنت المظلم عبارة عن بازار ضخم وفوضوي حيث يجتمع الهكرز لتبادل الأسرار والأدوات والمخططات لاختراق أجهزة الكمبيوتر. هذه "منتديات الهكرز" مليئة بآلاف المنشورات يومياً. السؤال الكبير لخبراء الأمن هو: من يحاول هؤلاء الهكرز مهاجمته؟ هل يستهدفون البنوك، أم شركات ألعاب الفيديو، أم أنظمة المستشفيات؟

تقدم هذه الورقة البحثية أداة جديدة تسمى TRACE (التمثيل الزمني وتصنيف الثغرات - Temporal Representation and Classification of Exploits) والتي تعمل كأنها محقق فائق الذكاء للإجابة على هذا السؤال. إليك كيف تعمل، مقسمة إلى مفاهيم بسيطة:

1. المشكلة: لغة الهكرز تتغير

تخيل لغة الهكرز العامية مثل لهجة تتطور بسرعة. تماماً كما يستخدم المراهقون اليوم كلمات تختلف عما كانوا يستخدمونه قبل 20 عاماً، يغير الهكرز طريقة وصف أدواتهم. النموذج (برنامج الكمبيوتر) الذي يتم تدريبه على منشورات قديمة قد يصاب بالارتباك أمام المنشورات الجديدة لأن المفردات قد تغيرت.

إذا دربت محققاً على تقارير جرائم من عام 2010، فقد يفشل في رصد جريمة في عام 2025 لأن المجرمين يستخدمون رموزاً جديدة. تجادل الورقة بأن معظم الأدوات السابقة فشلت لأنها لم تأخذ في الاعتبار مشكلة "السفر عبر الزمن" هذه؛ فقد كانت تعمل جيداً على البيانات القديمة لكنها تتعثر عندما تواجه بيانات جديدة ومستقبلية.

2. البيانات: كبسولة زمنية ضخمة

لبناء TRACE، لم يكتفِ الباحثون بالبحث في عدد قليل من المنتديات، بل نبشوا في "كبسولة زمنية" ضخمة تحتوي على 8.7 مليون منشور من 35 مصدراً مختلفاً (مثل منتديات الهكرز، وقواعد بيانات الثغرات، وأسواق الشبكة المظلمة) تمتد عبر 30 عاماً (من 1990 إلى 2026).

من جبل النصوص هذا، قاموا بتنظيف وتنظيم 129,126 منشوراً محدداً ذكرت بوضوح شركة أو صناعة مستهدفة. وقد صنفوا هذه المنشورات إلى سبعة "سلال" (فئات) مثل:

CMS / المصادر المفتوحة (مثل WordPress أو Linux)
برمجيات المؤسسات (مثل الأدوات الشركات الكبرى)
الألعاب
الشبكات
وغيرها.

3. الحل: نهج "الدماغ المزدوج" لـ TRACE

بُنيت TRACE على "دماغ" ذكاء اصطناعي مُدرب مسبقاً يسمى CySecBERT، وهو يعرف بالفعل الكثير عن مصطلحات الأمن السيبراني. لكن الباحثين منحوه ترقية خاصة باستخدام التعلم التبايني (Contrastive Learning).

فكر في هذه الترقية كأنها لعبة فرز:

الهدف: يجب على الذكاء الاصطناعي تخمين "السلة" (الصناعة) التي ينتمي إليها منشور الهكر.
الحيلة: أخبر الباحثون الذكاء الاصطناعي: "قبل أن تخمن السلة، تأكد من تجميع المنشورات حسب المورد (اسم الشركة) أولاً".
- إذا ذكر منشوران "Microsoft"، فإن الذكاء الاصطناعي مجبر على جعل "بصماته الذهنية" الداخلية تبدو متشابهة جداً، حتى لو كانا يتحدثان عن منتجات مختلفة.
- إذا ذكر منشوران "Google" و"Microsoft"، فإن الذكاء الاصطناعي مجبر على جعل بصماتهما مختلفة تماماً.

لماذا يساعد هذا؟
تخيل أنك تحاول فرز كومة من الجوارب المختلطة. إذا نظرت فقط إلى اللون (الصناعة)، فقد ترتبك لأن بعض الجوارب متشابهة. ولكن إذا قمت أولاً بتجميعها حسب العلامة التجارية (المورد)، فستتعرف على الأنماط المحددة لتلك العلامة. بمجرد أن يفهم الذكاء الاصطناعي "أنماط العلامات التجارية" لشركة Microsoft أو Apple، يصبح أفضل بكثير في تخمين الصناعة التي تنتمي إليها، حتى عندما تتغير اللغة بمرور الوقت.

4. الاختبار: تحدي "المستقبل"

لم يختبر الباحثون TRACE على بيانات عشوائية فحسب، بل وضعوا اختباراً للسفر عبر الزمن:

التدريب: درس الذكاء الاصطناعي المنشورات ما قبل عام 2022.
الاختبار: طُلب من الذكاء الاصطناعي بعد ذلك التنبؤ بالأهداف لمنشورات 2024 وما بعدها.

هذا يشبه تعليم طالب من كتاب مدرسي لعام 2020، ثم إعطائه امتحاناً نهائياً يعتمد على أخبار من عام 2025. فشلت معظم الطرق الأخرى في هذا الاختبار لأنها لم تستطع التعامل مع اللغة الجديدة.

5. النتائج: بطل جديد

لقد سحق TRACE المنافسة.

الدرجة: حقق دقة بنسبة 97% (تحديداً درجة F1 كليّة بلغت 97.00%) على البيانات المستقبلية.
المنافسة: تفوق على 17 طريقة أخرى، بما في ذلك نماذج التعلم الآلي القياسية ونماذج الـ Transformer المتقدمة الأخرى.
السر الخفي: وجدت الورقة أن نوع القاموس الذي استخدمه الذكاء الاصطناعي كان أكثر أهمية من بنية الذكاء الاصطناعي نفسها. فالذكاء الاصطناعي المدرب خصيصاً على نصوص الهكرز (CySecBERT) كان متفوقاً بمراحل على الذكاء الاصطناعي المدرب على اللغة الإنجليزية العامة. علاوة على ذلك، أعطت حيلة "فرز الموردين" (التعلم التبايني) دفعة كبيرة، خاصة للفئات النادرة مثل الألعاب، حيث حسنت الدقة بنسبة تقارب 20%.

ملخص

باخت-الكلمات، تقدم الورقة البحثية TRACE، وهي أداة تتنبأ بالمنظمات التي يستهدفها الهكرز من خلال تحليل منشورات المنتديات. إنها تعمل بشكل أفضل من الأدوات السابقة لأنها:

تستخدم مجموعة بيانات ضخمة تمتد لـ 30 عاماً من دردشات الهكرز الحقيقية.
تستخدم حيلة "الشرط المرتبط بالمورد" لتعليم الذكاء الاصطناعي التعرف على الأنماط الخاصة بالشركات أولاً.
تثبت قدرتها على التعامل مع المستقبل من خلال النجاح في التنبؤ بالأهداف بناءً على بيانات من سنوات لم يسبق له رؤيتها من قبل.

النتيجة هي نظام يساعد فرق الأمن على الفهم السريع لـ: "مهلاً، الهكرز يتحدثون عن صناعتنا الآن"، مما يسمح لهم بالدفاع عن أنفسهم قبل وقوع الهجوم.

ملخص تقني: TRACE – التعلم التبايني المشروط بالبائع للتنبؤ بالأهداف السيبرانية للمؤسسات

بيان المشكلة
تتسبب الهجمات السيبرانية في أضرار مالية هائلة، حيث من المتوقع أن تصل التكاليف العالمية إلى 15.6 تريليون دولار سنويًا بحلول عام 2029. وبينما يعتمد استخبارات التهديدات السيبرانية (CTI) بشكل كبير على تحليل منتديات الهكرز حيث يشارك الفاعلون الخبيثون أكواد الاستغلال والتقنيات، توجد فجوة حرجة في الأبحاث الحالية: تحديد أي مؤسسات محددة هي المستهدفة بهذه الثغرات. ركزت الأعمال السابقة على تحديد الاستغلال، أو رسم خرائط MITRE ATT&CK، أو الكشف عبر اللغات، ولكنها ندرت في التنبؤ بالمستهدف التنظيمي. علاوة على ذلك، غالبًا ما تفشل النماذج الحالية في مراعاة التحول في التوزيع الزمني. مع ظهور موردين ومنتجات وثغرات جديدة، تتطور اللغة المستخدمة في منشورات الاستغلال. قد تتعلم النماذج المدربة على بيانات تاريخية أنماطًا تصبح غير موثوقة عند تطبيقها على منشورات مستقبلية، مما يستلزم بروتوكولات تقييم تختبر التعميم الاستشرافي بدلاً من الدقة الساكنة.

المنهجية
لمعالجة هذه التحديات، يقترح المؤلفون إطار عمل TRACE (التمثيل والتصنيف الزمني للاستغلال)، وهو إطار مصمم للتنبؤ بالأهداف التنظيمية مع الحفاظ على المتانة ضد الانحراف الزمني.

بناء البيانات:
- قام المؤلفون ببناء مجموعة بيانات ضخمة متعددة المصادر بالاعتماد على مجموعة بيانات HackerSignal، التي تجمع 8.7 مليون منشور من 35 مصدرًا (بما في ذلك منتديات الهكرز، وقواعد بيانات الاستغلال، وأسواق الشبكة المظلمة) تمتد لثلاثة عقود (1990–2026).
- من هذه المجموعة، تم اختيار جزء فرعي مكون من 352,866 منشورًا باللغة الإنجليزية من المصادر الغنية بالاستغلالات لاستخراج الكيانات.
- استُخدم قاموس (Gazetteer) منسق يحتوي على أكثر من 150 نمطًا لأسماء الموردين والمنتجات لاستخراج مراجع الموردين وتطبيعها، وربطها بسبعة فئات تنظيمية (مثل: CMS/المصادر المفتوحة، البرمجيات المؤسسية، منصات الويب، الشبكات/إنترنت الأشياء، الهواتف المحمولة، الألعاب، قواعد البيانات).
- نتجت عن هذه العملية مجموعة بيانات ذهبية مكونة من 129,126 عينة.
- التقسيم الزمني: لمحاكاة النشر في العالم الحقيقي وتجنب تسرب البيانات، تم تقسيم البيانات زمنيًا: التدريب على المنشورات قبل عام 2022 (125,963 عينة)، والتحقق على الفترة 2022–2023، والاختبار على 2024 فصاعدًا (خارج التوزيع/OOD).
بنية النموذج (TRACE):
- المشفر الأساسي (Base Encoder): يستخدم الإطار CySecBERT، وهو مشفر من نوع BERT-base تم تدريبه مسبقًا خصيًا على مجموعات بيانات الأمن السيبراني للتعامل مع المفردات المتخصصة (مثل CVEs، أوامر shell، والأكواد المشفرة).
- التصميم ثنائي الرأس (Dual-Head Design):
  - رأس التصنيف (Classification Head): تقوم طبقة خطية برسم تمثيل [CLS] من المشفر إلى لوغاريتمات الفئات التنظيمية السبع، ويتم تحسينها عبر دالة خسارة الإنتروبيا المتقاطعة القياسية ( $L_{CE}$ ).
  - رأس الإسقاط التبايني (Contrastive Projection Head): يقوم MLP مكون من طبقتين بإسقاط التمثيل إلى مساحة ذات 128 بُعدًا. يتم تحسين هذا الرأس باستخدام خسارة التباين الخاضع للإشراف (SupCon) ( $L_{SC}$ ).
- الهدف المشروط بالمورد (Vendor-Conditioned Objective): على عكس التصنيف القياسي، يقوم فقدان التباين بتجميع العينات حسب هوية المورد بدلاً من الفئة التنظيمية. فهو يسحب التمثيلات الخاصة بالمنشورات التي تناقش نفس المورد معًا، بينما يدفع الموردين المختلفين بعيدًا. يستفيد هذا من ملاحظة أن منشورات الاستغلال لنفس المورد تشترك في مفردات وأنماط برمجية محددة تتجاوز الفئات الأوسع.
- هدف التدريب: إجمالي الخسارة هو مجموع مرجح: $L = L_{CE} + \lambda L_{SC}$ ، حيث $\lambda = 0.1$ . يضمن ذلك بقاء التصنيف هو الهدف الأساسي بينما يشكل هدف التباين مساحة التمثيل لتكون متماسكة بناءً على المورد.

المساهمات الرئيسية

مجموعة بيانات ضخمة متعددة المصادر: إنشاء مجموعة بيانات مصنفة مكونة من 129,126 عينة مستمدة من 9 قواعد بيانات استغلال ومنتديات هكرز مختلفة، تغطي ثلاثة عقود من البيانات.
التعلم التبايني المشروط بالمورد: تقديم استراتيجية ضبط دقيق تستخدم هوية المورد كإشارة إشراف مساعدة. يشجع هذا النهج النموذج على تعلم تمثيلات تحافظ على البنية على مستوى المورد، مما يحسن التعميم تحت تأثير التحول في التوزيع الزمني.
تقييم OOD الزمني: بروتوكول تقييم صارم يختبر أداء النموذج على بيانات مستقبلية (2024+)، مما يثبت قدرة الإطار على التعامل مع لغة الاستغلال المتطورة.

النتائج التجريبية
تم تقييم إطار عمل TRACE مقابل 17 نموذجًا مرجعيًا، بما في ذلك التعلم الآلي الكلاسيكي (Naïve Bayes, SVM, Logistic Regression)، وهياكل التعلم العميق (RNN, LSTM, CNN, Transformers) مع تضمينات GloVe وFastText، والنماذج المحولة المدربة مسبقًا (BERT, RoBERta, ModernBERT, CySecBERT).

الأداء: حقق إطار TRACE درجة F1 كليّة (Macro F1-score) بلغت 97.00% ودقة بلغت 98.65% على مجموعة اختبار OOD الزمنية، متفوقًا بشكل كبير على جميع النماذج المرجعية.
المقارنة مع النماذج المرجعية:
- تكييف المجال (Domain Adaptation): ثبت أن التدريب المسبق الخاص بالمجال كان حاسمًا. فقد تفوق CySecBERT (F1=94.45%) بشكل ملحوظ على BERT العام (89.29%) وRoBERTa (84.36%).
- التضمينات (Embeddings): بالنسبة لنماذج التعلم العميق المرجعية، تفوقت تضمينات FastText المدربة على مجموعة بيانات الاستغلال باستمرار على تضمينات GloVe العامة (على سبيل المثال، BiLSTM: 81.84% مقابل 63.11%).
- مكاسب التباين (Contrastive Gain): وفر هدف التباين المشروط بالمورد دفعة كبيرة مقارنة بالضبط الدقيق القياسي لـ CySecBERT، حيث رفع درجة F1 بمقدار 2.55 نقطة مئوية (من 94.45% إلى 97.00%).
التحليل لكل فئة: أظهر TRACE أكبر تحسن في الفئات ذات الدعم المنخفض، لا سيما الألعاب (Gaming) (ارتفعت F1 من 72.34% إلى 91.80%)، وذلك من خلال تعلم تمثيلات متماسكة مع المورد تساعد في فصل الفئات النادرة بشكل أفضل.

الأهمية والادعاءات
يزعم البحث أن TRACE يوفر آلية قوية لاستخبارات التهديدات السيبرانية الاستباقية، مما يمكن أصحاب المصلحة من تحديد الصناعات المستهدفة بالاستغلالات الناشئة بسرعة. وتبرز الدراسة أن اختيار التضمين هو العامل الأكثر أهمية في أداء النموذج؛ حيث يعد التدريب المسبق الخاص بالمجال وتضمينات المجموعة المخصصة ضروريين للتعامل مع المصطلحات المتخصصة لمجتمعات الهكرز.

يؤكد المؤلفون أن تقييم OOD الزمني يقدم تقييمًا واقعيًا لجدوى النموذج، حيث إن النماذج المدربة على بيانات تاريخية ساكنة غالبًا ما تفشل عند نشرها ضد تهديدات متطورة. ومن خلال دمج البنية على مستوى المورد في هدف التعلم، يثبت TRACE أن البيانات الوصفية المساعدة يمكن أن تعزز القدرة التمييزية للتمثيلات، حتى عندما تتغير المفردات والأنماط المستهدفة بمرور الوقت.

القيود
يشير المؤلفون إلى أن التصنيف القائم على القاموس (Gazetteer)، رغم دقته العالية، قد يغفل موردين غير مدرجين في القاموس. بالإضافة إلى ذلك، فإن تصنيف الفئات السبعة يجمع المؤسسات في مجموعات واسعة، مما قد يؤدي إلى طمس الحدود (مثل التمييز بين منصات الويب والمصادر المفتوحة لـ CMS). كما أن انخفاض عدد العينات لفئات مثل "قواعد البيانات" (عينتان في الاختبار) و"الألعاب" (30 عينة في الاختبار) يحد من الموثوقية الإحصائية لمقاييس الفئة لكل من هذه الفئات المحددة.