Explainable Autonomous Cyber Defense using Adversarial Multi-Agent Reinforcement Learning
تقدم هذه الورقة البحثية إطار C-MADF، وهو إطار عمل للدفاع السيبراني الذاتي مقيد هيكلياً يجمع بين النمذجة السببية والتعلم التعزيزي للسياسة المزدوجة الخصومة لتقليل الإيجابيات الكاذبة وتعزيز القابلية للتفسير في اكتشاف التهديدات المستمرة المتقدمة.
البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل
تخيل مبنى عالي الأمن حيث يعمل فريق من الروبوتات المستقلة على حماية المنشأة. مهمتهم هي رصد المتسللين وإغلاق المبنى إذا لزم الأمر.
في الماضي، كانت هذه الروبوتات تعمل مثل حراس أمن مصابين بالبارانويا (جنون الارتياب). فإذا رأوا ظلاً يتحرك، يصرخون فوراً: "متسلل!" ويغلقون كل الأبواب، حتى لو كان مجرد قط أو عامل نظافة. وهذا ما يسمى بـ الإنذار الكاذب (False Positive). وفي سيناريو واقعي (مثل شبكة طاقة أو بنك)، فإن إغلاق كل شيء دون داعٍ يسبب الفوضى ويعطل عمل المبنى.
علاوة على ذلك، فإن المخترقين السيئين (المعروفين بـ جهات التهديد المتقدمة المستمرة - APT) أذكياء. فهم لا يقتحمون فحسب، بل يرتدون تنكرات. قد يقلدون خطوات عامل النظافة أو يطفئون الكاميرات لثانية واحدة لإرباك الروبوتات. وهذا ما يسمى بـ تلاعب البيانات (Telemetry Manipulation).
يقدم البحث الذي شاركته نظاماً جديداً يسمى C-MADF (إطار اتخاذ القرار متعدد الوكلاء السببي). فكر في هذا كترقية لهؤلاء الروبوتات المصابة بالبارانويا وتحويلهم إلى فريق أمني عالي التدريب، منطقي، وذاتي التحقق.
إليك كيف يعمل، مقسماً إلى مفاهيم بسيطة:
1. خريطة "السبب والنتيجة" (SCM)
الأنظمة الأمنية القديمة كانت تبحث عن الارتباطات. كانت تعتقد أنه "إذا ومضت الأضواء وانفتح الباب، فلا بد أن هناك هجوماً!". لكن المخترقين يمكنهم خداع هذا النظام بجعل الأضواء تومض بلا سبب.
يقوم C-MADF ببناء خريطة سببية. إنه يتعلم القصة الحقيقية لكيفية حدوث الأشياء.
- التشبيه: تخيل محققاً يعرف أن "الدخان يسبب إنذار الحريق"، ولكن "إنذار الحريق لا يسبب الدخان".
- كيف يساعد: إذا رأى النظام إنذار حريق يعمل ولكن دون وجود دخان، فسيعرف أن هناك خطأ في المستشعر، وليس أن هناك حريقاً. وبالتالي يرفض الذعر لأن "السبب" (الدخان) مفقود. هذا يمنع الروبوتات من إغلاق المبناء لمجرد حدوث خلل في أحد المستشعرات.
2. "مجلس المنافسين" (الفريق الأزرق والفريق الأحمر)
بدلاً من روبوت واحد يتخذ القرار، يستخدم C-MADF روبوتين يتجادلان مع بعضهما البعض قبل اتخاذ أي إجراء.
- الفريق الأزرق (المدافع الهجومي): مهمته هي الإمساك بالأشرار. يقول: "أنا أرى نمطاً مشبوهاً! لنغلق الباب!".
- الفريق الأحمر (المحامي المتشكك): مهمته هي لعب دور "محامي الشيطان". يقول: "انتظر. هل هناك دليل كافٍ؟ هل يمكن أن يكون هذا إنذاراً كاذباً؟ إذا أغلقنا الباب الآن، فقد نؤذي أشخاصاً أبرياء".
السحر: هم لا يخمنون فقط؛ بل يتجادلون بناءً على الخريطة السببية.
- إذا أراد الفريق الأزرق إغلاق الباب، يسأل الفريق الأحمر: "هل تحققت من مستشعرات الدخان أولاً؟".
- إذا قال الفريق الأزرق: "لا"، يقوم الفريق الأحمر بمنع الإجراء.
- إذا اتفقا، يتم تنفيذ الإجراء. وإذا اختلفا كثيراً، يتوقف النظام ويطلب المساعدة من إنسان.
3. "مقياس إشارة المرور" (ETS)
كيف يعرف النظام متى يطلب المساعدة من البشر؟ يستخدم مقياساً يسمى درجة القابلية للتفسير والشفافية (ETS).
- الضوء الأخضر (درجة عالية): الروبوتات متفقة، والأدلة واضحة، والخريطة السببية منطقية. الإجراء: إغلاق الباب تلقائياً.
- الضوء الأصفر (درجة متوسطة): الروبوتات غير متأكدة تماماً، أو الأدلة غامضة. الإجراء: الانتظار وجمع المزيد من الأدلة.
- الضوء الأحمر (درجة منخفضة): الروبوتات تتجادل، أو الأدلة مربكة، أو أن المخترقين يحاولون خداعهم. الإجراء: توقف! استدعِ المشرف البشري فوراً.
يعمل هذا المقياس كـ "مقياس ثقة". فهو يضمن أن النظام لا يعمل بعشوائية عندما يكون مرتبكاً.
4. قاعدة "لا للاختصار" (خريطة الطريق DAG)
يجبر النظام الروبوتات على اتباع مسار تحقيق محدد. لا يمكنهم القفز مباشرة إلى "الإغلاق التام" دون التحقق أولاً من "جمع الأدلة".
- التشبيه: يشبه الأمر لعبة فيديو حيث لا يمكنك قتال الزعيم النهائي حتى تجمع كل المفاتيح.
- لماذا يهم هذا: غالباً ما يحاول المخترقون خداع الأنظمة لتخطي الخطوات. هذه القاعدة تجبر النظام على التمهل والقيام بواجبه المنزلي، مما يجعل من الصر جداً خداعه.
النتائج: لماذا يعد هذا أمراً هاماً؟
اختبر الباحثون هذا النظام على مجموعة بيانات حقيقية (CICIoT2023) وقارنوه بأفضل الأنظمة الأمنية الموجودة حالياً.
- الأنظمة القديمة: كانت جيدة في العثور على الأشرار، لكنها كانت كثيرة الضجيج. كانت تغلق النظام بنسبة تتراوح بين 8% إلى 11% في الأوقات التي لم يكن فيها خطأ (إنذارات كاذبة). هذا يشبه حارساً يطلق النار على كل ظل.
- C-MADF: وجد الأشرار بنفس الكفاءة، لكنه فقط أغلق النظام بنسبة 1.8% من المرات التي أخطأ فيها.
- الانتصار: لقد قلل "الضجيج" بنسبة تقارب 80%. وهذا يعني إنذارات كاذبة أقل، وذعراً أقل، ونظاماً يمكن للبشر الوثوق به فعلياً لإدارة الأمور تلقائياً.
الملخص
C-MADF يشبه ترقية فريق أمني من مجموعة من الحراس المذعورين والمصابين بالبارانويا إلى وحدة تحقيق منطقية، متناقشة، وحذرة.
- يفهم السبب والنتيجة، وليس مجرد المصادفات.
- يستخدم وكيلين يتجادلان ويراجع كل قرار.
- لديه مقياس ثقة يعرف متى يتوقف ويطلب مساعدة البشر.
- يتبع قواعد صارمة حتى لا يتخطى الخطوات أبداً.
النتيجة هي نظام دفاع سيبراني سريع، ذكي، والأهم من ذلك، آمن بما يكفي ليتم الوثوق به في إدارة البنية التحتية الحيوية مثل شبكات الطاقة والمستشفيات.
غارق في أبحاث مجالك؟
تصلك نشرة يومية بأحدث الأبحاث المطابقة لكلماتك البحثية المفتاحية — مع ملخصات تقنية، بلغتك.