Automated Malware Family Classification using Weighted Hierarchical Ensembles of Large Language Models

إليك ملخص تقني مفصل لورقة البحث بعنوان: "التصنيف الآلي لعائلات البرمجيات الخبيثة باستخدام المجموعات الهرمية الموزونة للنماذج اللغوية الكبيرة."

1. بيان المشكلة

يعد تصنيف عائلات البرمجيات الخبيثة مهمة بالغة الأهمية ولكنها صعبة في مجال الأمن السيبراني، لا سيما في سيناريوهات "العالم المفتوح" التي تتميز بـ:

• التعمية والتغليف (Obfuscation and Packing): تقنيات تخفي النوايا الخبيثة وتغير السمات الثابتة.
• التطور السريع: ظهور متغيرات جديدة وأكواد متعددة الأشكال (polymorphic) تجعل التواقيع الثابتة والسمات المصممة يدويًا غير ذات جدوى.
• ندرة البيانات: نقص مجموعات البيانات الضخمة والموسومة المطلوبة لتدريب التعلم العميق الخاضع للإشراف.
• قصور الطرق الحالية: تعتمد طرق التعلم الآلي (ML) والتعلم العميق (DL) التقليدية بشكل كبير على هندسة السمات، أو إعادة التدريب الخاضع للإشراف، أو التحليل الديناميكي المكلف (البيئة المعزولة/Sandboxing)، مما يحد من قدرتها على التوسع والمتانة ضد "انزياح المفهوم" (concept drift).

بينما تظهر النماذج اللغوية الكبيرة (LLMs) إمكانات واعدة في الاستنتاج بصفر من الأمثلة (zero-shot reasoning) وفهم الأكواد، إلا أن النماذج الفردية منها تعاني من عدم استقرار التنبؤ، وعدم الاتساق عبر تنويعات الأوامر (prompts)، والهلوسة عند تصنيف عائلات البرمجيات الخبيثة ذات التداخل الدلالي.

2. المنهجية

يقترح المؤلفون إطار عمل هرمي للمجموعات (Ensemble) على مستوى القرار، يعمل بصفر من التسميات (Zero-Label)، حيث يقوم بتجميع تنبؤات من عدة نماذج لغوية كبيرة مدربة مسبقًا دون الحاجة إلى ضبط دقيق (fine-tuning) أو بيانات موسومة للتدريب.

أ. المكونات الأساسية

1. المدخلات والأوامر (Prompting):

   • مجموعة البيانات: يستخدم إطار العمل مجموعة بيانات SBAN (المصدر-الثنائي-التجميع-اللغة الطبيعية)، وتحديدًا الجزء الخاص بالبرمجيات الخبيثة الذي يحتوي على عينات Windows PE مع الكود المصدري واستدعاءات واجهة برمجة التطبيقات (API imports).
   • الأوامر بصفر من الأمثلة (Zero-Shot Prompting): يقوم أمر واحد ثابت بتوجيه النماذج اللغوية الكبيرة لتصنيف عينة ما إلى واحدة من 10 عائلات برمجيات خبيثة نموذجية (مثل: حصان طروادة، دودة، فدية، بوت نت). يتم تقييد المخرجات بصرامة لتكون اسم العائلة فقط لتقليل الهلوسة.
   • النماذج: تتكون المجموعة من أربعة نماذج لغوية كبيرة متنوعة ومدرية مسبقًا هي: Qwen3-4B، وCodeLLaMA-7B، وGPT-4.1، وGPT-5.1. (تم استبعاد DeepSeekCoder بسبب ضعف الأداء).

2. التطبيع والتحقق (Normalization & Validation):

   • يتم تطبيع مخرجات النماذج اللغوية الخام لربط التسميات المترادفة (مثل "Backdoor" مقابل "RAT") بالأسماء النموذجية.
   • يتم استبعاد الاستجابات غير الصالحة (الشروحات، تنسيقات markdown، النصوص الفارغة).

3. استراتيجية المجموعة الهرمية الموزونة (Weighted Hierarchical Ensemble Strategy):
   بدلاً من التصويت بالأغلبية البسيطة، يستخدم إطار العمل عملية اتخاذ قرار مكونة من ثلاث مراحل:

   • المرحلة 1: التصويت الموزون للعائلات: يتم تخصيص أوزان موثوقية ($w_i$) للنماذج بناءً على درجات Macro-F1 الخاصة بها على "مجموعة ذهبية" صغيرة موسومة بشريًا (200 عينة). إذا حققت عائلة ما درجة موزونة $> 50\%$ من الوزن الإجمالي، يتم اختيارها فورًا.
   • المرحلة 2: دمج مجموعات السلوك: إذا لم تفز عائلة واحدة، يتم تجميع التنبؤات في 5 مجموعات سلوكية عامة (مثل: "شبيه بحصان طروادة"، "ذاتي التكرار"، "مثبت/Installer"). إذا فازت مجموعة سلوكية بالوزن الموزون، يتم اختيار العائلة الأكثر تحديدًا داخل تلك المجموعة.
   • المرحلة 3: حل التعارض بناءً على التحديد (Specificity-Based Tie Resolution): إذا استمر التعادل، يتم استخدام ترتيب تحديد مسبق لحل الغموض (على سبيل المثال، تفضيل "Backdoor" على "Trojan" العام إذا كان كلاهما متعادلًا، لكونه أكثر إفادة من الناحية السلوكية).

ب. سير العمل (Workflow)

يعمل خط الإنتاج كما يلي:
الكود المصدري المدخل $\rightarrow$ استدلال متوازي للنماذج اللغوية الكبيرة (Zero-Shot) $\rightarrow$ التطبيع $\rightarrow$ التجميع الهرمي الموزون $\rightarrow$ تسمية العائلة النهائية.
ملاحظة: تُستخدم المجموعة الذهبية فقط لمعايرة الأوزان والتقييم، ولا تُستخدم أبدًا للتدريب أو الاستدلال.

3. المساهمات الرئيسية

1. التجميع على مستوى القرار: صياغة تصنيف البرمجيات الخبيثة كمشكلة تجميع قرارات فوق النماذج اللغوية الكبيرة، مما يلغي الحاجة إلى هندسة السمات، أو إعادة التدريب الخاضع للإشراف، أو التنفيذ الديناميكي.
2. الوزن المدرك للأداء: تقديم مخطط وزن يعتمد على Macro-F1 يستفيد من نقاط القوة المتكاملة لمختلف النماذج اللغوية الكبيرة، مما يقلل من تأثير عدم استقرار النماذج الفردية.
3. هيكل القرار الهرمي: تصميم هيكل واعٍ بالسلوك (عام $\leftarrow$ دقيق) يحاكي تفكير المحلل. هذا يقلل من الغموض الدلالي بين العائلات المتداخلة (مثل التمييز بين حصان طروادة والباب الخلفي/Backdoor) عن طريق حل الفئات السلوكية العريضة أولاً.
4. المتانة في البيئات المقيدة: إثبات أن هذا النهج يتفوق على النماذج الفردية والمجموعات المسطحة في السيناريوهات التي لا تتوفر فيها بيانات موسومة أو تحليل ديناميكي.

4. النتائج التجريبية

تم تقييم إطار العمل على مجموعة فرعية ذهبية مكونة من 200 عينة من مجموعة بيانات SBAN.

• أداء الخط المرجعي (Baseline): أظهرت النماذج اللغوية الكبيرة الفردية تباينًا عاليًا. حقق GPT-4.1 أعلى دقة (0.710)، بينما حقق GPT-5.1 أفضل درجة Macro-F1 (0.427). أما CodeLLaMA فقد كان أداؤه ضعيفًا بشكل ملحوظ (Macro-F1: 0.159).
• أداء المجموعة (Ensemble):
  • التصويت الموحد (Uniform Voting): حسّن الدقة إلى 0.740 (Macro-F1: 0.481).
  • التصويت الموزون (بدون هرمية): كان أقل دقة قليلاً (0.735) من التصويت الموحد، مما يشير إلى أن التوزين وحده غير كافٍ بدون توجيه هيكلي.
  • المجموعة الهرمية الموزونة (النهائية): حققت أفضل أداء إجمالي بدقة 0.750 ودرجة Macro-F1 بلغت 0.481.
• النتائج الرئيسية:
  • حسن الهيكل الهرمي المتانة بشكل كبير من خلال حل حالات الغموض "عامة المستوى" قبل محاولة التصنيف "دقيق المستوى".
  • تفوقت المجموعة باستمرار على أقوى نموذج فردي (GPT-4.1) عبر جميع المقاييس.
  • أثبتت الطريقة فعاليتها حتى مع مجموعة معايرة صغيرة (200 عينة) ودون الحاجة إلى ضبط دقيق.

5. الأهمية والتوجهات المستقبلية

• العملية في تحليل العالم المفتوح: يقدم إطار العمل حلاً قابلاً للتوسع لتحليل البرمجيات الخبيثة في العالم الحقيقي حيث تندر البيانات الموسومة وتتطور البرمجيات الخبيثة بسرعة. كما أنه يزيل الاعتماد على بيئات الاختبار الديناميكية (Sandboxes) المكلفة.
• القابلية للتفسير: يتماشى الهيكل الهرمي مع منطق المحلل البشري (السلوك أولاً، ثم العائلة)، مما يجعل عملية اتخاذ القرار أكثر شفافية من نماذج التعلم العميق التي تعمل كـ "صندوق أسود".
• القيود والعمل المستقبلي:
  • الاعتماد الحالي على مدخلات الكود الثابتة يحد من اكتشاف السلوكيات التي تظهر وقت التشغيل فقط.
  • الهيكل الهرمي محدد يدويًا؛ ويهدف العمل المستقبلي إلى استنباط هياكل هرمية قائمة على البيانات.
  • التقييم حاليًا محدود بمجموعة ذهبية صغيرة؛ ومن المخطط التوسع ليشمل مجموعات بيانات أكبر.

الخلاصة: تثبت الورقة أن التجميع الهرمي الموزون للنماذج اللغوية الكبيرة يعد نهجًا متفوقًا لتصنيف عائلات البرمجيات الخبيثة بصفر من التسميات، مما يوفر بديلاً قويًا، وقابلاً للتفسير، وعالي الدقة لطرق التعلم الخاضعة للإشراف التقليدية في بيئات التهديدات الديناميكية.