ملخص تقني: PHANTOM – التكيف متعدد الأشكال لـ "عسل النحل الرقمي" مع المحاكاة التنظيمية المصممة سردياً

1. بيان المشكلة

تُعد "عسل النحل الرقمي" (Honeytokens)—وهي أصول رقمية وهمية مصممة لكشف الوصول غير المصرح به—أداة أساسية في الخداع السيبراني. ومع ذلك، فإن أدوات التوليد الحالية (مثل Canarytokens وHoneyBadger) تعتمد على طرق قائمة على القوالب الثابتة التي تفتقر إلى الخصوصية التنظيمية. وبينما تكون هذه الرموز صالحة من الناحية التركيبية (Syntactically valid)، إلا أنها تفتقر إلى المعنى الدلالي (Semantically hollow). ويمكن للمهاجمين المهرة والماسحات الآلية (مثل trufflehog وgitleaks والمصنفات القائمة على تعلم الآلة) تحديدها بسهولة لأنها تفشل في محاكاة أسماء النطاقات، واتفاقيات تسمية الخدمات، واصطلاحات حزمة التقنيات، وتوزيعات القيم السرية الخاصة بالمنظمة المستهدفة.

تحدد الورقة ثلاث فجوات حرجة في النهج الحالي:

1. السياق المفقود: الائتمانات الحقيقية تكون مغروسة بعمق في السياق التنظيمي (على سبيل المثال، أسماء أدوار IAM التي تطابق بنيات خدمات محددة)، وهو ما يغيب في القوالب العامة.
2. الفجوة الدلالية: تشير الأدلة التجريبية إلى أنه بينما تحقق رموز القوالب جودة تركيبية عالية، فإنها تفشل بشكل كبير في التماسك الدلالي، وهو الميز التفريقي الأساسي بين الائتمانات الحقيقية والرموز الوهمية.
3. مقاومة الكشف: حتى الرموز الغنية بالسياق قد تفشل إذا قامت الماسحات الآلية بتمييزها قبل أن يواجهها المهاجم. لا تنجح الأدوات الحالية بشكل كافٍ في التهرب من نماذج الكشف الإحصائية والتعلم الآلي الحديثة.

2. المنهجية: إطار عمل PHANTOM

إن PHANTOM (التكيف متعدد الأشكال لـ "عسل النحل الرقمي" مع المحاكاة التنظيمية المصممة سردياً) هو إطار عمل يولد رموز عسل نحل مقنعة سياقياً عن طريق ترميز المعرفة الخاصة بالمنظمة في خط إنتاج توليد متعدد المكونات.

2.1 الملف التعريفي التنظيمي

يعمل النظام بناءً على ملف تعريفي تنظيمي ($O$) مهيكل يحتوي على:

• أسماء النطاقات والأسماء المختصرة.
• قوائم الخدمات وأنواع قواعد البيانات/المضيفين.
• مناطق السحابة وتفاصيل تنظيم Git.
• مُصدري (Issuers) وجمهور (Audiences) رموز JWT.

2.2 خط إنتاج التوليد السياقي

على عكس المولدات الثابتة، يستخدم PHANTOM مولدات مخصصة ($G_t$) لثمانية أنواع مختلفة من الرموز (بما في ذلك مفاتيح AWS، وملفات البيئة، ورموز JWT، ورموز بوت Slack). المبدأ التصميمي الأساسي هو حقن القيمة على مستوى السياق:

• يتم اشتقاق كل حقل مسمى (أسماء مستخدمي IAM، أسماء قواعد البيانات، أسماء مضيفي Redis، روابط URL البعيدة لـ Git) مباشرة من الملف التعريفي التنظيمي.
• يتجنب خط الإنتاج استدعاءات واجهة برمجة التطبيقات (API) الخارجية، مما يضمن إمكانية نشره في بيئات معزولة (Air-gapped) أو مصنفة.
• التصميم الواعي للماسحات: تم هندسة المولدات صراحةً للتهرب من ثلاثة نماذج كشف رئيسية:
  • النمط/التعبير النمطي ($S_1$): يستبدل السلاسل النصية الحمراء العامة (مثل "example.com") بقيم مشتقة من المنظمة.
  • تحليل الإنتروبيا ($S_2$): يحاكي ملف الإنتروبيا المختلط للملفات الحقيقية (أسرار ذات إنتروبيا عالية بجانب قيم بشرية سهلة القراءة) بدلاً من الإنتروبيا العالية الموحدة.
  • مصنفات تعلم الآلة ($S_3$): يدمج بصمات خاصة بالمنظمة (النطاقات، أسماء الخدمات) لمواجهة المصنفات المدربة على كشف نقص السياق.

2.3 مقاييس التقييم

تصيغ الورقة جودة الرمز من خلال درجة التصديق ($B$) والدرجة المركبة لعسل النحل ($H$):

• درجة التصديق ($B$): مركب موزون من أربعة مكونات:
  1. الصلاحية التركيبية ($S_v$): التنسيق الصحيح لنوع الرمز.
  2. التماسك الدلالي ($S_c$): الملاءمة السياقية مع الملف التعريفي التنظيمي.
  3. الطبيعية الإحصائية ($S_n$): خصائص الإنتروبيا والتوزيع التي تطابق الائتمانات الحقيقية.
  4. القبول البشري ($S_h$): نسبة المقيمين الخبراء الذين يصنفون الرمز على أنه حقيقي.
• مقاومة الكشف ($DR$): تُعرف بأنها $1 - P_d$، حيث $P_d$ هي احتمالية الكشف بواسطة مجموعة نماذج ماسحة موزونة ($S_1, S_2, S_3$).
• الدرجة المركبة ($H$): توازن بين التصديق ومقاومة الكشف ($H = B^\lambda \cdot DR^\mu$).

3. الإعداد التجريبي

• مجموعة البيانات: 32 رمزاً من PHANTOM و32 رمزاً من خط الأساس القائم على القوالب، تم توليدها عبر 8 أنواع من الرموز و4 سياقات تنظيمية (التكنولوجيا المالية، الرعاية الصحية، الدفاع، التجارة الإلكترونية).
• خط الأساس: مولد قوالب ثابت يستخدم قيم أسرار عشوائية ولكن بدون سياق تنظيمي (ما يعادل Canarytokens).
• التقييم:
  • آلي: ثلاثة نماذج ماسحة (التعبير النمطي، الإنتروبيا، مصنف تعلم الآلة) طُبقت على جميع الرموز.
  • بشري: قام مقيمون خبراء بتصنيف الرموز كحقيقية أو وهمية.
  • إحصائي: اختبارات Welch's t-test لعينتين مع تصحيح Bonferroni؛ وتم الإبلاغ عن أحجام التأثير كمعاملات Cohen's $d$.

4. النتائج الرئيسية

يتفوق PHANTOM بشكل كبير على خط الأساس القائم على القوالب عبر جميع المقاييس الأساسية:

المقياس	خط الأساس (القالب)	PHANTOM	$\Delta$	الدلالة
التصديق ($B$)	$0.576 \pm 0.058$	$0.778 \pm 0.057$	$+0.203$	$p < 0.001$ ($d=3.52$)
الصلاحية التركيبية ($S_v$)	$0.842$|$0.876$|$+0.034$	غير دال إحصائياً
التماسك الدلالي ($S_c$)	$0.396$|$0.705$|$+0.309$|$p < 0.001$($d=4.52$)
القبول البشري ($S_h$)	$6.2\%$	$100.0\%$	$+93.8\%$	$p < 0.001$
مقاومة الكشف ($DR$)	$0.609$|$0.870$|$+0.261$|$p < 0.001$($d=7.49$)

• التماسك الدلالي كمحرك أساسي: كان التحسن الأكبر في التماسك الدلالي ($\Delta S_c = +0.309$)، مما يؤكد أن السياق التنظيمي هو المكون المفقود الحاسم. لم تظهر الصلاحية التركيبية فرقاً جوهرياً، مما يشير إلى أن صحة التنسيق شرط ضروري ولكنه غير كافٍ للخداع.
• القبول البشري: اجتازت 100% من رموز PHANTOM عتبة الخبراء البشر ($B \ge 0.65$)، مقارنة بـ 6.2% فقط من القوالب.
• مقاومة الكشف: كانت رموز PHANTOM أصعب بكثير في الكشف عبر جميع نماذج الماسحات الثلاثة، وكان التحسن الأكثر دراماتيكية ضد مصنفات تعلم الآلة (انخفض احتمال الكشف من 54.1% إلى 16.2%).
• الأمثلية الباريتية (Pareto Optimality): وقعت 100% من رموز PH_ANTOM ضمن "المنطقة المثالية" ($B \ge 0.70$ و $DR \ge 0.70$)، بينما وقع 6.2% فقط من رموز القوالب في هذه المنطقة.

5. الأهمية والادعاءات

تدعي الورقة أن PHANTOM يعالج القيد الجوهري في توليد عسل النحل الرقمي: غياب الخصوصية التنظيمية.

• المساهمة الأساسية: تقديم إطار عمل درجة التصديق الذي يدمس الأبعاد التركيبية والدلالية والإحصائية والبشرية، موضحاً أن التماسك الدلالي هو المحرك المهيمن لجودة الخداع.
• الميزة التشغيلية: من خلال العمل دون استدعاءات واجهة برمجة التطبيقات (API) الخارجية، يمكن نشر PHANTOM بالكامل في البيئات المعزولة (مثل الشبكات الحكومية المصنفة، وأنظمة التحكم الصناعية) حيث يُمنع الوصول إلى السحابة، مما يوفر جودة تضاهي النهج القائم على النماذج اللغوية الكبيرة (LLM) دون الاعتماد على الشبكة.
• الأثر الاستراتيجي: يوفر إطار العمل مكون "الطعم" عالي الجودة اللازم لخط إنتاج كامل للخداع بعد استخراج البيانات والنسب (Attribution)، مكملاً الأنظمة الحالية مثل Passive Hack-Back وأنظمة إعادة التحديد الطولية.

يخلص المؤلفون إلى أن جهود جودة المولدات في المستقبل يجب أن تنتقل من التركيز على صحة التنسيق (الصلاحية التركيبية) إلى التضمين الدلالي، حيث أن الأخير هو العامل الرئيسي في تحديد ما إذا كان رمز عسل النحل غير قابل للتمييز عن الائتمان الشرعي.