AsmRAG: LLM-Driven Malware Detection by Retrieving Functionally Similar Assembly Code
إن AsmRAG هو إطار عمل للكشف عن البرمجيات الخبيثة يستخدم التوليد المعزز بالاسترجاع على مستوى لغة التجميع وآلية اختيار مرساة موزونة بالكثافة لتوفير تحليل جنائي عالي الدقة وقابل للتفسير ومقاوم للتمويه من خلال استرجاع مقتطفات برمجية متشابهة وظيفياً.
البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل
تخيل أنك حارس أمن في مطار ضخم وعالي التقنية.
حالياً، تعمل معظم أنظمة أمن المطارات مثل "اختبار الانطباع" (Vibe Check). فهي تنظر إلى حقيبة المسافر، وتفحص الوزن الإجمالي، وملمس القماش، و"الطاقة" العامة للشخص. إذا بدت الحقيبة بنسبة 99% مثل حقيبة مسافر عادي، فإن النظام يقول: "هذا الشخص مرجح بنسبة 99% أن يكون مسافراً جيداً".
المشكلة هي أن المهرب الذكي يمكنه تغيير لون الحقيبة، أو إضافة كتب ثقيلة لتغيير الوزن، أو ارتداء قبعة مختلفة لتغيير "انطباعه". يعلم حارس الأمن أن هناك خطباً ما، ولكن عندما يُسأل عن السبب، لا يمكنه سوى هز كتفيه قائلاً: "لدي مجرد شعور". هكذا تعمل كاشفات البرمجيات الخبيثة الحالية بالذكاء الاصطناعي—فهي تعطي "درجة احتمالية" ولكنها لا تستطيع إخبارك بالضبط بما يفعله الشخص السيئ.
أما AsmRAG فهو مختلف. إنه ليس "اختبار انطباع"؛ بل هو "مطابقة للحمض النووي" (DNA Match).
الفكرة الجوهرية: من "الانطباعات" إلى "المخططات الهندسية"
بدلاً من النظر إلى "الحقيبة" بأكملها (ملف البرمجيات الخبيثة بالكامل)، يقوم AsmRAG بتفكيك الحقيبة إلى مكونات صغيرة فردية—مثل النظر إلى كل مسمار، وسلك، ولوحة دارة كهربائية داخل جهاز ما. وفي لغة الكمبيوتر، يقوم بتفكيك البرنامج إلى أصغر تعليماته الوظيفية، والتي تسمى "لغة التجميع" (Assembly Code).
إليك كيف تعمل عملية AsmRng، باستخدام تشبيه "المحقق الماهر":
1. المكتبة العظمى (قاعدة المعرفة)
تخيل أن لدى محقق مكتبة ضخمة تحتوي على "المخططات الهندسية" لكل أداة إجرامية معروفة صُنعت على الإطلاق—الطريقة الدقيقة التي يتم بها تشكيل مفتاح معين أو كيفية توصيل صاعق قنبلة محدد. هذه هي "قاعدة المعرفة".
2. المترجم الدلالي (النموذج اللغوي الكبير - LLM)
المجرمون مخادعون. قد يستخدمون علامة تجارية مختلفة لمفك براغي أو سلكاً ذا شكل مختلف قليلاً للقيام بنفس المهمة تماماً. هذا ما يسمى بـ "التمويه" (Obfuscation).
يستخدم AsmRAG ذكاءً اصطناعياً متخصصاً (نموذج لغوي كبير) يعمل مثل "مترجم ماهر". هو لا يهتم إذا كان السلك أحمر أو أزرق؛ بل يفهم أن "هذا السلك يُستخدم لإكمال دائرة كهربائية". إنه ينظر إلى ما وراء "المظهر السطحي" ويفهم القصد.
3. البحث عن "المرتكز" (الاسترجاع)
عندما يصل ملف مشبوه، لا يقوم AsmRAG بمجرد التخمين. بل يأخذ "المخططات الهندسية" للأجزاء المشبوهة ويركض بها إلى المكتبة للبحث عن تطابق.
إنه يبحث عن "الدالة المرتكزة" (Anchor Function)—ذلك الجزء المحدد من الكود الذي يمثل "الدليل القاطع". الأمر يشبه العثور على بصمة إصبع نادرة ونوعية معينة على ماسة مسروقة. حتى لو ارتد اللص قفازات، فإن الطريقة التي تعامل بها الماس تترك أثراً "دلالياً" فريداً.
4. التقرير الجنائي (التفسير)
هذا هو الجزء الأهم. بدلاً من أن يقول حارس الأمن: "أعتقد أن هذا الشخص سيء"، يقدم AsmRAG للمحلل البشري تقريراً مكتوباً يقول فيه:
"هذا الملف خبيث. أنا متأكد بنسبة 96% لأنه، في الصفحة 4، يحتوي على تسلسل محدد من التعليمات يتطابق تماماً مع 'محرك التشفير' الذي تستخدمه عصابة 'Ramnit' من الهكرز. على الرغم من أنهم غيروا أسماء الأجزاء، إلا أن طريقة نقلهم للبيانات هي تطابق مثالي."
لماذا يهم هذا؟
- من الصعب خداعه: لأن AsmRAG ينظر إلى المنطق (الـ "لماذا") بدلاً من المظهر (الـ "ماذا")، فلا يمكن للهكرز خداعه بسهولة عبر مجرد إضافة كود "حشو" أو تغيير مظهر الملف.
- إنه يشرح نفسه: إنه يحول "الصندوق الأسود" (الذكاء الاصطناعي الذي يعطي إجابات دون أسباب) إلى "صندوق زجاجي" (الذكاء الاصطناعي الذي يوضح خطوات عمله). وهذا يساعد الخبراء البشريين على اتخاذ قرارات أسرع وأكثر ثقة.
- يتعلم أثناء العمل: في كل مرة يؤكد فيها خبير بشري نوعاً جديداً من التهديدات، يقوم AsmRAG بإضافة ذلك "المخطط الهندسي" الجديد إلى مكتبته فوراً. إنه يصبح أكثر ذكاءً مع كل عملية ضبط ناجحة.
باختصار: AsmRAG لا يتوقف عند تخمين ما إذا كان الملف "يشعر" بأنه برمجية خبيثة، بل يبدأ في إثبات ذلك عبر العثود على البصمات الرقمية للمجرمين المعروفين.
غارق في أبحاث مجالك؟
تصلك نشرة يومية بأحدث الأبحاث المطابقة لكلماتك البحثية المفتاحية — مع ملخصات تقنية، بلغتك.