🤖 machine learning

Can LLMs Handle WebShell Detection? Overcoming Detection Challenges with Behavioral Function-Aware Framework

تقيم هذه الورقة قدرات مختلف النماذج اللغوية الكبيرة في اكتشاف ملفات الـ WebShell وتطرح إطار عمل "الكشف القائم على الوعي بالوظائف السلوكية" (BFAD)، الذي يحسن أداء الكشف بشكل كبير من خلال تركيز التحليل على الوظائف الحساسة أمنياً وتحسين التعلم داخل السياق، مما يمكّن النماذج اللغوية الكبيرة من التفوق على أدوات الكشف الحالية الأكثر تطوراً.

المؤلفون الأصليون: Feijiang Han, Jiaming Zhang, Chuyi Deng, Jianheng Tang, Yunhuai Liu

نُشر 2026-02-13

📖 4 دقيقة قراءة☕ قراءة في استراحة قهوة

CC BY 4.0

المؤلفون الأصليون: Feijiang Han, Jiaming Zhang, Chuyi Deng, Jianheng Tang, Yunhuai Liu

البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل

تخيل أنك حارس أمن في مكتبة ضخمة وفوضوية (الإنترنت). مهمتك هي العثور على بضعة كتب محددة تحتوي على تعليمات لتفجير المبنى (WebShells)، مع تجاهل ملايين الكتب الطبيعية تماماً (الكود البرمجي السليم).

المشكلة هي أن الكتب السيئة غالباً ما تكون:

ضخمة: بعضها يمتد لآلاف الصفحات.
مخبأة: التعليمات الخطيرة مدفونة في أعماق النصوص، محاطة بنصوص مملة.
متنكرة: مكتوبة بشفرات سرية أو لغات مشفرة (التمويه/Obfuscation).

لسنوات، استخدم حراس الأمن طريقتين رئيسيتين:

كتاب القواعد: "إذا رأيت كلمة 'انفجار'، قم بالقبض عليه". (من السهل جداً خداع هذه الطريقة؛ فالأشرار ببساطة يغيرون الكلمة إلى 'تفجير بمواد متفجرة').
دليل التدريب: عرض آلاف الأمثلة للكتب السيئة على الحارس ليتعلم النمط. (هذا يستغرق وقتاً طويلاً للتحديث ويفشل عندما يظهر نوع جديد من الكتب السيئة).

مؤخراً، وصل نوع جديد من الحراس: الذكاء الاصطناوي الفائق (النماذج اللغوية الكبيرة أو LLMs). يمكن لهذه الأنظمة من الذكاء الاصطناعي قراءة وفهم أي لغة تقريباً. ولكن عندما حاول الباحثون استخدامها للعثور على هذه الكتب السيئة، اصطدموا بحائط مسدود.

المشكلة: فخ "المعلومات الزائدة عن الحد"

وجد الباحثون أن مجرد تقديم كتاب ضخم وفوضوي للذكاء الاصطناعي لا يعمل بشكل جيد.

مشكلة "الطول المفرط": إذا كان الكتاب يتكون من 1000 صفحة، فقد يقرأ الذكاء الاصطناعي أول 100 صفحة فقط. إذا كانت تعليمات القنبلة في الصفحة 900، فسوف يفتقدها الذكاء الاصطناعي تماماً.
مشكلة "التشتت": الذكاء الاصطناعي ذكي، لكنه يتشتت بسهثير. قد يرى كلمة غير ضارة مثل "قتل" (والتي تُستخدم في ألعاب الفيديو) ويعتقد: "أوه لا، هذه قنبلة!" (إنذار كاذب). أو قد يرى قنبلة حقيقية مخبأة خلف جدار من النصوص ويعتقد: "هذا يبدو آمناً" (تهديد فائت).

لاحظ الباحثون نمطاً مثيراً للاهتمام:

الأنظمة الضخمة (Big AIs): كانت حذرة للغاية. نادراً ما تطلق إنذارات كاذبة، لكنها تفوت الكثير من القنابل الحقيقية لأنها كانت مفرطة في الحذر.
الأنظمة الصغيرة (Small AIs): كانت مرتابة للغاية. تمسك بكل القنابل تقريباً، لكنها أيضاً تعتقل أمناء مكتبات أبرياء لمجرد أنهم استخدموا كلمة "قتل" في نص برمجي للعبة.

الحل: إطار العمل "المدرك للسلوك والوظائف" (BFAD)

لإصلاح ذلك، بنى الباحثون مجموعة أدوات خاصة تسمى BFAD. تخيل الأمر كأنك تمنح الذكاء الاصطناعي عدسة مكبرة عالية التقنية وورقة غش مصممة خصيصاً للعثور على القنابل.

إليك كيف يعمل BFAD، باستخدام تشبيهات بسيطة:

1. "مرشح الوظائف الحرجة" (جهاز كشف المعادن)

بدلاً من جعل الذكاء الاصطناعي يقرأ الكتاب بأكمله، يعمل BFAD مثل جهاز كشف المعادن عند مدخل المكتبة. يقوم بمسح النص بحثاً عن عناصر "معدنية" محددة—وهي وظائف PHP خطيرة مثل exec (لتشغيل أمر) أو eval (لتشغيل كود).

لماذا يساعد هذا؟ إنه يتجاهل القصة المملة عن قطة، ويركز فقط على الصفحات التي تحتوي على "المعدن" (الكود الخطير). هذا يحل مشكلة "الطول المفرط".

2. "استخراج السياق الواعي" (قلم التحديد/الهايلايتر)

بمجرد أن يجد جهاز كشف المعادن مكاناً مشبوهاً، لا يكتفي BFAD بإظهار الكلمة المفردة للذكاء الاصطناعي، بل يحدد "نافذة" صغيرة من النص حول تلك الكلمة (السياق).

لماذا يساعد هذا؟ إنه يخبر الذكاء الاصطناعي: "مهلاً، انظر إلى أمر exec هذا. هل يُستخدم لتشغيل فيروس، أم أنه مجرد تحديث نظام غير ضار؟" هذا يساعد الذكاء الاصطناعي على فهم النية، وليس فقط الكلمة.

3. "توصيف السلوك الوظيفي الموزون" (ورقة الغش لـ "أشباه الأشياء")

هذا هو الجزء الأذكى. عندما يحتاج الذكاء الاصطناعي إلى تحديد ما إذا كان الملف سيئاً، فإنه ينظر إلى "ورقة غش" من الأمثلة السابقة (العروض التوضيحية) للتعلم منها.

الطريقة القديمة: يختار الذكاء الاصطناعي أمثلة عشوائية أو أمثلة تبدو متشابهة في الظاهر (مثل كتابين لهما نفس نوع الخط).
طريقة BFAD: يختار الذكاء الاصطناعي أمثلة متشابهة سلوكياً. إذا كان الملف الحالي يحاول سرقة البيانات، فإن الذكاء الاصطناعي يبحث عن ملفات سابقة حاولت أيضاً سرقة البيانات، حتى لو بدت مختلفة في الظاهر.
التشبيه: تخيل أنك تبحث عن لص يسرق التفاح الأحمر.
- الطريقة القديمة: تظهر للحارس صورة لص يسرق تفاحة حمراء، ولص آخر يسرق كرة حمراء. سيصاب الحارس بالارتباك.
- طريقة BFAD: تظهر للحارس صورة لص يسرق تفاحة حمراء، ولص آخر يسرق تفاحة حمراء من متجر مختلف. سيتعلم الحارس السلوك (سرقة التفاح الأحمر)، وليس مجرد الشيء نفسه.

النتائج: نهاية سعيدة

عندما اختبر الباحثون هذا النظام الجديد:

الأنظمة الضخمة (Big AIs): أصبحت أفضل بكثير في الإمساك بالقنابل التي كانت تفوتها، دون زيادة في الإنذارات الكاذبة.
الأنظمة الصغيرة (Small AIs): أصبحت أكثر ذكاءً، وتوقفت عن اعتقال أمناء المكتبات الأبرياء.
بشكل عام: جعل النظام الجديد حراس الذكاء الاصطناعي يؤدون بشكل أفضل من حراس "كتاب القواعد"، وحتى أفضل من حراس "دليل التدريب" الأكثر تقدماً.

الخلاصة

تخلص الورقة البحثية إلى أنه بينما يعد الذكاء الاصطناعي قوياً، فإنه ليس عصا سحرية. لا يمكنك مجرد إلقاء مشكلة فوضوية أمامه وتوقع إجابة مثالية. يجب عليك توجيه الذكاء الاصطناعي من خلال:

تركيز انتباهه على الأجزاء الخطيرة.
تزويده بالسياق الصحيح.
إظهار الأمثلة الصحيحة له ليتعلم منها.

من خلال القيام بذلك، يمكننا تحويل هذه الأنظمة فائقة الذكاء إلى حراس أمن موثوقين للعالم الرقمي.

إليك ملخص تقني مفصل للورقة البحثية بعنوان "هل يمكن للنماذج اللغوية الكبيرة (LLMs) التعامل مع كشف الـ WebShell؟ التغلب على تحديات الكشف باستخدام إطار عمل مدرك للوظائف السلوكية".

1. بيان المشكلة

تتضمن هجمات الـ WebShell قيام المهاجمين بزرع نصوص برمجية خبيثة في خوادم الويب لتمكين تنفيذ الأوامر عن بُعد واستخراج البيانات. تتطور هذه التهديدات بسرعة من خلال تقنيات التعمية (Obfuscation) والتشفير، مما يجعل الدفاع ضدها أمراً صعباً.

قصور الأعمال السابقة: الأنظمة التقليدية القائمة على القواعد هشة أمام المتغيرات الجديدة. كما أن نماذج تعلم الآلة (ML) والتعلم العميق (DL) الخاضعة للإشراف تتطلب بيانات مصنفة ضخمة، وتعاني من "النسيان الكارثي" أثناء التحديثات، وغالباً ما يكون تعميمها ضعيفاً تجاه استراتيجيات التعمية خارج نطاق التوزيع (OOD).
فجوة النماذج اللغوية الكبيرة (LLM Gap): رغم أن النماذج اللغبية الكبيرة تظهر قدرات قوية في فهم الكود، إلا أن تطبيقها على كشف الـ WebShell يواجه تحديات محددة:
- حدود السياق: يمكن أن تكون ملفات الـ WebShell طويلة للغاية (تصل إلى ~1.3 مليون توكن)، مما يتجاوز نافذة سياق النموذج. عملية الاقتطاع الساذجة غالباً ما تحذف الجوهر الخبيث.
- الضجيج: غالباً ما تُدفن الحمولات الخبيثة داخل كود حميد، مما يضعف انتباه النموذج.
- هشاشة التعلم داخل السياق (ICL): اختيار الأمثلة ذات الصلة للتعلم داخل السياق أمر صعب؛ فالاختيار العشوائي أو القائم على التشابه الدلالي البحت غالباً ما يفشل في التقاط الأنماط السلوكية المحددة للـ WebShell.
- اختلال الأداء: تظهر النماذج الجاهزة مقايضة بين الدقة (Precision) والاستدعاء (Recall): النماذج الكبيرة تتميز بدقة عالية ولكنها تفقد الهجمات (استدعاء منخفض)، بينما النماذج الصغيرة تتميز باستدعاء عالٍ ولكنها تولد الكثير من الإيجابيات الكاذبة (دقة منخفضة).

2. المنهجية: الكشف المدرك للوظائف السلوكية (BFAD)

يقترح المؤلفون إطار عمل BFAD، وهو إطار عمل متمحور حول السلوك مصمم لتكييف استدلال النماذج اللغوية الكبيرة مع أنماط التنفيذ الخاصة بالـ WebShell دون الحاجة إلى ضبط دقيق (Fine-tuning) خاص بالمهمة. يتكون BFAD من ثلاثة مكونات أساسية:

أ. مرشح الوظائف الحرجة (Critical Function Filter)

يعمل هذا المكون كمعالج مسبق لتحديد وظائف PHP عالية الخطورة المرتبطة بالسلوكيات الخبيثة. ويصنف الوظائف إلى ست مجموعات سلوكية:

تنفيذ البرامج: (مثل exec, system)
تنفيذ الكود: (مثل eval, preg_replace مع /e)
وظائف الاستدعاء (Callback): (مثل array_map, register_shutdown_function)
الاتصال بالشبكة: (مثل fsockopen, curl_init)
جمع المعلومات: (مثل phpinfo, getenv)
التعمية والتشفير: (مثل base64_encode, openssl_encrypt)

يظهر التحليل الإحصائي أن الـ WebShell تستدعي هذه الوظائف الحرجة بشكل متكرر أكثر بكثير من الملفات الحميدة (بمتوسط 22.76 مقابل 0.74 استدعاء).

ب. استخراج الكود المدرك للسياق (Context-Aware Code Extraction)

لمعالجة حدود نافذة السياق والضجيج، يقوم BFAD ببناء رؤية كود مدمجة ومعلوماتية:

الاستخراج: يحدد مواقع حدوث الوظائف الحرجة ويستخرج نوافذ السياق المحيطة بها (المحددة بالحجم $\tau$ ).
الدمج: يتم دمج النوافذ المتداخلة للحفاظ على الأدلة السلوكية المحلية مع تجنب تكرار الـ (Tokens).
الاستراتيجية الهجينة: إذا سمحت ميزانية التوكنات، يتم إلحاق مقاطع غير متداخلة من الكود المتبقي لتوفين سياق عالمي دون تجاوز الحدود. هذا يوازن بين التركيز السلوكي المحلي والفهم الهيكلي العالمي.

ج. التوصيف الوظيفي السلوكي الموزون (WBFP)

يعمل هذا النموذج على تحسين التعلم داخل السياق (ICL) عبر اختيار الأمثلة الأكثر صلة. بدلاً من التشابه الدلالي العام، يقوم WBFP بترتيب الأمثلة بناءً على التشابه الموزون سلوكياً:

درجة التمييز (Discrimination Scoring): لكل نوع من أنواع الوظائف الحرجة، يتم حساب درجة بناءً على ثلاثة إحصائيات مستمدة من مجموعة بيانات التدريب:
- فرق التغطية ( $r_c$ ): تكرار ظهور الوظيفة مرة واحدة على الأقل.
- نسبة التكرار ( $r_f$ ): نسبة متوسط عدد استدعاءات الوظيفة لكل ملف.
- نسبة الاستخدام ( $r_u$ ): نسبة إجمالي عدد الاستدعاءات.
التشابه الموزون: يتم تطبيع هذه الدرجات في أوزان ( $w_f$ ). ويتم حساب التشابه بين ملف مستهدف ومثال مرشح كجموع موزون لمتجهات التشابه الجيبي (Cosine Similarities) الخاصة بالوظائف. يضمن ذلك أن الأمثلة تطابق الملف السلوكي للمستهدف، وليس فقط محتواه اللفظي.

3. الإعداد التجريبي

مجموعة البيانات: 26,594 نصاً برمجياً بلغة PHP (21,665 حميداً، 4,929 WebShell). تم تعزيز الـ WebShells بتعّمية اصطناعية.
النماذج التي تم تقييمها: سبعة نماذج لغوية كبيرة تتراوح من 0.5 مليار إلى 70 مليار معلمة (GPT-4, LLaMA-3.1-70B, متغيرات Qwen-2.5) مقارنة بالنماذج المرجعية:
- القائمة على التسلسل: GloVe+SVM, CodeBERT+Random Forest.
- القائمة على الرسم البياني: GCN, GAT (أفضل الكواشف الخاضعة للإشراف).
المقاييس: الدقة (Accuracy)، الدقة المحددة (Precision)، الاستدعاء (Recall)، ودرجة F1.

4. النتائج الرئيسية

خلصت الدراسة إلى عدة نتائج حاسمة فيما يتعلق بأداء النماذج اللغبية الكبيرة وفعالية BFAD:

أ. أداء النماذج الأساسية (بدون BFAD)

عدم التماثل بين الدقة والاستدعاء: تحقق النماذج الكبيرة (مثل GPT-4) دقة شبه مثالية (100%) ولكنها تعاني من استدعاء منخفض (86%)، مما يعني فقدان الهجمات المموهة. أما النماذج الصغيرة (مثل Qwen-2.5-0.5B) فتحقق استدعاءً مثالياً ولكن بدقة منخفضة جداً (18%)، حيث تصنف الكود الحميد كخبيث.
الفجوة مع SOTA: النماذج اللغبية الكبيرة الجاهزة (Vanilla) تتفوق عليها النماذج الخاضعة للإشراف القوية. على سبيل المثال، حقق أفضل نموذج Vanilla (وهو Qwen-2.5-Coder-14B) درجة F1 بلغت 96.39%، متخلفاً عن نموذج GAT الذي حقق 98.87%.

ب. تأثير BFAD

حسن BFAD الأداء بشكل كبير عبر جميع أحجام النماذج:

التحسن المتوسط: رفع BFAD متوسط درجة F1 بنسبة 13.82% عبر جميع النماذج التي تم تقييمها.
النماذج الكبيرة: تحسن GPT-4 من 92.46% إلى 99.35% F1، متجاوزاً نموذج GAT.
النماذج الصغيرة: شهد نموذج Qwen-2.5-0.5B قفزة هائلة بمقدار +51.23 F1، مرتفعاً من 31.44% إلى 82.67%، مما جعله منافساً للطرق التقليدية.
الآلية: نجح BFAD في معالجة نقاط الفشل في كل من النماذج الكبيرة والصغيرة عبر تثبيت التحليل على الاستدعاءات الحرجة سلوكياً وتوفير أمثلة متوافقة سلوكياً.

ج. تحليل المكونات

استخراج الكود: أدى استخدام المناطق الحرجة إلى تحسين الاستدعاء للنماذج الكبيرة (استعادة الهجمات المفقودة) وتحسين الدقة للنماذج الصغيرة (تقليل الضجيج). قدمت الاستراتيجية الهجينة (المقاطع الحرجة + المقاطع العالمية) أفضل توازن.
WBFP مقابل طرق الاسترجاع الأخرى: تفوق WBBF بشكل كبير على الاختيار العشوائي والتشابه الدلالي القياسي (SC-Sim). فشل SC-Sim لأن تشابه الملف الكامل يهيمن عليه المناطق الحميدة، مما يخفف الإشارة الخبيثة. كان التوزين على مستوى الوظيفة في WBFP حاسماً لفعالية التعلم داخل السياق (ICL).

5. المساهمات الرئيسية

تقييم منهجي: أول دراسة شاملة توضح أداء أحجام متنوعة من النماذج اللغبية الكبيرة (0.5B إلى 70B) في كشف الـ WebShell، كاشفة عن مقايضة مميزة بين الدقة والاستدعاء تعتمد على حجم النموذج.
إطار عمل BFAD: إطار عمل مبتكر لا يتطلب تدريباً، يدمج ترشيح الوظائف الحرجة، واستخراج السياق، واختيار الأمثلة الموزونة سلوكياً لجعل النماذج اللغبية الكبيرة موثوقة للمهام الأمنية.
تكافؤ الأداء: أثبت أن النماذج اللغبية الكبيرة، مع استخدام BFAD، يمكنها مطابقة أو تجاوز أداء أفضل الكواشف القائمة على الرسوم البيانية الخاضعة للإشراف (مثل GAT) دون الحاجة إلى إعادة تدريب مخصص للمهمة أو مجموعات بيانات ضخمة مصنفة.
رؤية حول التوسع: حددت الدراسة أن النماذج الصغيرة جداً تستفيد بشكل غير متناسب من الأمثلة المتوافقة سلوكياً (تأثير اتباع النموذج)، بينما تستفيد النماذج الكبيرة من تحسين الاستدعاء عبر معالجة السياق الأفضل.

6. الأهمية والتوجهات المستقبلية

تجسر هذه العمل الفجوة بين الإمكانات النظرية للنماذج اللغبية الكبيرة وتطبيقها العملي في الأمن السيبراني. وهي تثبت أن التحفيز المتمحور حول السلوك ضروري للمهام الأمنية حيث يكون الكود الخبيث نادراً ومعمى.

التوجهات المستقبلية التي اقترحها المؤلفون:

المعايير الاصطناعية: استخدام النماذج اللغبية الكبيرة لتوليد WebShells اصطناعية متنوعة تحافظ على الخصوصية لاختبار القدرة على التعميم.
التكامل متعدد الوسائط: دمج التمثيلات السلوكية القائمة على الرسوم البيانية (التي تلتقط تدفق التحكم بشكل أفضل من التسلسلات) مع النماذج اللغبية الكبيرة عبر الـ Adapters.
خطوط أنابيب الوكلاء (Agentic Pipelines): تطوير أنظمة كشف "سريعة-بطيئة" حيث تقوم النماذج الخفيفة بعملية فرز عالية الاستدعاء، يتبعها تحليل عميق بواسطة نماذج أكبر، مع حلقات ذاتية لتحديث أنماط الكشف ضد تغيرات التوزيع.