💻 computer science

HackerSignal: A Large-Scale Multi-Source Dataset Linking Hacker Community Discourse to the CVE Vulnerability Lifecycle

تقدم هذه الورقة HackerSignal، وهو عبارة عن مجموعة بيانات ضخمة متعددة المصادر تجمع 7.45 مليون وثيقة من عام 1990 إلى عام 2026 لربط خطاب مجتمع الهكرز بدورة حياة ثغرات CVE الكاملة، لتكون بمثابة معيار لاستخبارات التهديدات السيبرانية خارج التوزيع الزمني ومهام ربط CVE عبر المصادر المختلفة.

المؤلفون الأصليون: Benjamin M. Ampel, Sagar Samtani

نُشر 2026-05-06

📖 5 دقيقة قراءة🧠 قراءة متعمّقة

CC BY 4.0

المؤلفون الأصليون: Benjamin M. Ampel, Sagar Samtani

البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل

تخيل عالم الأمن السيبراني كمكتبة ضخمة وفوضوية حيث تُكتب الكتب، وتُعاد كتابتها، وتُحرق أحياناً بشكل مستمر. على أحد الجوانب، لديك "أمين المكتبة الرسمي" (الوكالات الحكومية وشركات البرمجيات) الذين يكتبون تقارير رسمية عن الأقفال المكسورة (الثغرات الأمنية) وكيفية إصلاحها. وعلى الجانب الآخر، لديك "السوق الخفي" (منتديات الهكرز) حيث يتناقش الناس حول كيفية فتح تلك الأقفال، ويشاركون الأدوات اللازمة للقيام بذلك، ويتفاخرون بنجاحاتهم.

لفترة طويلة، كان هذان العالمان يتحدثان لغات مختلفة ويعيشان في مبانٍ مختلفة. لقد واجه الباحثون صعوبة في ربط محادثة معينة في منتدى مجهول بتقرير رسمي محدد حول خلل في البرمجيات.

إليك "HackerSignal".

فكر في HackerSignal كـ نظام ترجمة وأرشفة ضخم ومنظم للغاية يجسّر الفجوة بين هذين العالمين. إنه مجموعة بيانات جديدة (مجموعة ضخمة من البيانات) تربط 7.45 مليون وثيقة من 64 مصدراً مختلفاً، تمتد عبر 36 عاماً من التاريخ (من 1990 إلى 2026).

إليك كيف يشرح الورقة البحثية ذلك، باستخدام تشبيهات بسيطة:

1. المجموعة الكبيرة (المكتبة)

تجمع مجموعة البيانات النصوص من كل مكان:

العالم السفلي: منتديات الهكرز، أسواق الشبكة المظلمة (Dark Web)، وغرف الدردشة حيث يتحدث الناس عن الثغرات.
الجانب الرسمي: قواعد بيانات الثغرات الحكومية، سجلات إصلاح البرمجيات، وتقارير التنبيهات الأمنية.
المنطقة الوسطى: الأماكن التي ينشر فيها الهكرز أكواد "إثبات المفهوم" (Proof of Concept) - وهي نماذج توضح كيفية عمل عملية الاختراق.

إن سحر HackerSignal يكمكمن في استخدامه لوسم تعريف مشترك يسمى CVE (الثغرات والتعرضات الشائعة) لربط هذه المصادر المختلفة. الأمر يشبه وضع نفس "الباركود" على منتج في كشك بالسوق السوداء وعلى نفس المنتج في متجر راقٍ، مما يسمح لك بتتبع رحلة المنتج من مرحلة "الفكرة" إلى مرحلة "الإصلاح".

2. الاختبارات الثلاثة (المعايير المرجعية)

لم يكتفِ المؤلفون بمجرد ضخ البيانات؛ بل أنشأوا ثلاثة تحديات محددة (اختبارات) لمعرفة مدى قدرة الذكاء الاصطناعي (AI) على فهم هذه المعلومات الفوضوية. والأهم من ذلك، أنهم صمموا هذه الاختبارات لتكون عادلة وواقعية باستخدام قواعد "السفر عبر الزمن": حيث يتم تدريب الذكاء الاصطناعي على بيانات قديمة واختباره على بيانات أحدث لم يسبق له رؤيتها من قبل. هذا يمنع الذكاء الاصطناعي من مجرد حفظ الإجابات.

الاختبار 1: مطابقة المحقق (استرجاع ربط الـ CVE)
- السيناريو: تعطِي الذكاء الاصطناعي مقتطفاً نصياً من منتدى للهكرز (مثلاً: "وجدت طريقة لكسر تسجيل الدخول في الإصدار 5.2").
- الهدف: يجب على الذكاء الاصطناعي العثور على التقرير الرسمي الصحيح (الـ CVE) الذي يطابق هذه المشكلة المحددة.
- التحدي: قد يكون نص المنتدى غامضاً، أو مليئاً باللغة العامية، أو غير مكتمل، بينما يكون التقرير الرسمي رسمياً وتقنياً. يجب على الذكاء الاصطناعي أن يكون محققاً لربط النقاط ببعضها.
- النتيجة: حصل أفضل نموذج ذكاء اصطناعي (يسمى E5) على حوالي 60% من المطابقات العليا بشكل صحيح، وهي بداية قوية لمهمة صعبة كهذه.
الاختبار 2: المصنف (تصنيف نوع الثغرة)
- السيناريو: تقدم للذكاء الاصطناعي قطعة من الكود أو وصفاً لعملية اختراق.
- الهدف: يجب على الذكاء الاصطناعي تصنيفها إلى واحدة من 8 فئات، مثل "الحقن" (Injection - خداع قاعدة البيانات)، أو "XSS" (اختطاف المواقع)، أو "فساد الذاكرة" (Memory Corruption - كسر ذاكرة الكمبيوتر).
- التحدي: يجب على الذكاء الاصطناعي تعلم أنماط هذه الاختراقات وتطبيقها على أنواع جديدة من الاختراقات لم تكن موجودة وقت تدريبه.
- النتيجة: كان نوع معين من الذكاء الاصطناعي يسمى "BiLSTM" (شبكة عصبية تقرأ النص في الاتجاهين) هو الأفضل، حيث صنف بدقة حوالي 87% من الاختراقات الجديدة.
الاختبار 3: المسافر عبر الزمن (التعميم الزمني)
- السيناريو: هذا هو الاختبار الأصعب. يتم تدريب الذكاء الاصطناعي على الثغرات المكتشفة قبل عام 2022، ثم يتم اختباره فقط على الثغرات المكتشفة بعد عام 2024.
- الهدف: لا يمكن للذكاء الاصطناعي الغش عن طريق حفظ الأسماء المحددة للثغرات القديمة. يجب أن يفهم مفهوم الثغرة بما يكفي للتعرف على ثغرة جديدة تماماً لم يسبق له رؤيتها.
- النتيجة: صمدت نماذج الذكاء الاصطناعي بشكل مفاجئ، مما أثبت أنها تعلمت المنطق الأساسي للثغرات بدلاً من مجرد حفظ قائمة من الأسماء.

3. لماذا يهم هذا؟ (ما الفائدة؟)

تؤكد الورقة البحثية أن مجموعات البيانات السابقة كانت إما صغيرة جداً، أو تنظر إلى نوع واحد فقط من المصادر، أو كانت سرية. HackerSignal هو أول مجموعة بيانات عامة، "معيار ذهبي"، تتيح للباحثين:

التوقف عن التخمين: بدلاً من التخمين حول كيفية حديث الهكرز، يمكنهم دراسة البيانات الفعلية.
بناء دفاعات أفضل: من خلال فهم الجدول الزمني من "نقاش الهكرز" إلى "الإصلاح الرسمي"، يمكن لفرق الأمن الاستجابة بشكل أسرع.
تجنب الغش: وضع المؤلفون قواعد صارمة لضمان عدم "غش" نماذج الذكاء الاصطناعي عبر رؤية إجابات الاختبار أثناء التدريب (وهي مشكلة تسمى "تسرب البيانات").

4. قواعد اللعبة (الأخلاقيات)

المؤلفون حذرون جداً بشأن السلامة. فهم يذكرون أن مجموعة البيانات هذه مخصصة للأبحاث الدفاعية فقط.

الأمر يشبه إعطاء خبير أقفال خريطة لجميع الأقفال المكسورة في المدينة حتى يتمكن من إصلاحها، وليس لكسر المنازل.
تتضمن مجموعة البيانات قواعد تمنع استخدام البيانات لبناء أدوات اختراق مؤتمتة أو لتحديد أفراد معينين.
كما يقرون بأن البيانات ليست مثالية؛ فبعض الروابط يتم إنشاؤها تلقائياً بواسطة الكمبيوتر وقد تحتوي على بعض الأخطاء الصغيرة، لكنهم يوفرون أدوات للباحثين للتحقق من هذه الأخطاء وإصلاحها.

باختاًصار: HackerSignal هو خريطة ضخمة مرتبة زمنياً تربط عالم "النقاشات السرية" للهكرز بالعالم "الرسمي" للإصلاحات الأمنية. إنه يوفر بيئة اختبار صارمة لمعرفة ما إذا كانت أدوات الذكاء الاصطنا لدينا ذكية بما يكفي للتنبؤ بالتهديدات السيبرانية وفهمها قبل أن تصبح مشكلات واسعة الانتشار.

ملخص تقني: HackerSignal

بيان المشكلة

تواجه الأمن السيبراني التطبيقي الحديث تحديًا مركزيًا في فهم كيفية ظهور التهديدات السيبرانية، وانتشارها، وعلاقتها بالثغرات الأمنية. الإشارات التي تتبع هذا المسار موزعة عبر مصادر نصية متباينة، بما في ذلك منتديات الهكرز، وقواعد بيانات الثغرات العامة، والتنبيهات الرسمية للثغرات (مثل NVD وCISA KEV)، وإصلاحات الأكواد المصدرية المفتوحة (fix commits). عادةً ما تغطي مجموعات البيانات العامة الموجودة في هذا المجال طبقة واحدة فقط أو جزءًا من هذه المصادر، وغالبًا ما تكون مملوكة لجهات خاصة. علاوة على ذلك، تفتقر الأدبيات العامة بشكل كبير إلى مجموعات البيانات المهيكلة التي تربط خطاب مجتمعات الهكرز بسجلات الثغرات الرسمية. كما تفتقر الاختبارات المعيارية الحالية إلى الدقة الزمنية، حيث تفشل في تقييم كيفية تعميم النماذج على التهديدات التي لم تكن موجودة وقت التدريب، وكثيرًا ما تعاني من مشكلات تسرب البيانات التي تضخم ادعاءات الأداء.

المنهجية

يقدم المؤلفون HackerSignal، وهو عبارة عن مجموعة بيانات ضخمة، مهيكلة زمنيًا، ومتعددة المصادر، صُممت لربط خطاب مجتمعات الهكرز بدورة حياة ثغرة CVE الكاملة.

بناء مجموعة البيانات

النطاق والحجم: تجمع مجموعة البيانات 7.45 مليون وثيقة بعد إزالة التكرار المطابق من 64 معرفًا للمنتديات والمصادر العامة تغطي 8 طبقات من المصادر ونافذة زمنية مدتها 36 عامًا (1990–2026).
طبقات المصادر: تدمج المجموعة:
1. مجتمعات الهكرز والأمن (6.97 مليون صف، تشمل أسواق الشبكة المظلمة ولوحات الأمن).
2. مراجع الثغرات (NVD).
3. أرشيفات الاستغلال (مثل ExploitDB).
4. مراجع الأسئلة والأجوبة المتعلقة بالاستغلال.
5. مراجع التنبيهات (Advisory references).
6. إفصاحات مكافآت اكتشاف الثغرات (Bug-bounty).
7. مراجع إصلاح الأكواد (Fix-commit references).
8. مراجع الاستغلال (CISA KEV).
التوحيد: تم توحيد جميع المصادر في مخطط JSONL مشترك موحد بواسطة فضاء أسماء معرف CVE مشترك. يقوم فهرس CVE منفصل بربط السجلات بالمراجع عبر مفاتيح خارجية، مما يسمح بعمليات الربط بين المصادر المختلفة.
المعالجة المسبقة: تضمنت عملية جمع البيانات استخدام واجهات برمجة التطبيقات الرسمية (APIs)، واستيعاب مجموعات البيانات العامة الموجودة، والزحف الأخلاقي للويب. شملت خطوات المعالجة تطبيع يونيكود (Unicode normalization)، وإزالة وسوم HTML، واستبدال الروابط (URLs)، وطي المساحات البيضاء، وتصفية المحتوى غير الإنجليزي والنصوص القصيرة (أقل من 20 حرفًا). كما تم تطبيق إزالة التكرار المطابق (SHA-256) وإزالة التكرار التقريبي (MinHash-LSH).
التقسيمات الزمنية: لضمان التعميم المستقبلي، تم تقسيم البيانات زمنيًا:
- المهمة 1 و3: التدريب (قبل 2022)، التحقق (2022–2023)، الاختبار (2024 فما فوق).
- المهمة 2: التدريب (قبل 2020)، التحقق (2020–2022)، الاختبار (من 2023 فما فوق).

مهام الاختبار المعياري

يحدد البحث ثلاث مهام اختبارية لتقييم التعميم الزمني خارج التوزيع (OOD):

استرجاع ربط CVE (المهمة CVE-R): مهمة ربط الكيانات عبر المصادر، حيث يقوم النموذج باسترجاع الوصف الصحيح لـ CVE من مجموعة NVD (340 ألف مدخل) بناءً على استعلام نصي للاستغلال أو التنبيه.
- النماذج المرجعية: BM25، والمشفرات الثنائية الكثيفة (MiniLM, mpnet, BGE, E5)، ونهج هجين (sparse+dense).
تصنيف نوع الاستغلال (المهمة ETC): مهمة تصنيف مكونة من 8 فئات للتنبؤ بأنواع الثغرات (مثل: Injection، XSS، Memory Corruption، RCE) من نص الاستغلال.
- النماذج المرجعية: مصنفات حقيبة الكلمات (Decision Tree, TF-IDF+LR, SVM)، والشبكات العصبية المتكررة (RNN, GRU, LSTM, BiLSTM)، ونموذج Transformer متخصص في المجال (SecBERT).
التعميم الزمني (المهمة TG): مهمة استرجاع صارمة مطابقة للمهمة الأولى ولكن مع قيد عدم تقاطع CVE ( $C_{train} \cap C_{test} = \emptyset$ ). يجب على النماذج التعميم على أوصاف ثغرات لم يسبق لها رؤيتها تمامًا، مما يمنع حفظ مدخلات CVE محددة.

بروتوكولات التقييم

تدقيق التسرب: قام المؤلفون بتدقيق التسرب الزمني وتسرب المصادر صراحةً، والتحقق من عدم تقاطع CVE برمجيًا.
سلم النماذج المرجعية: اتباعًا لمنهجيات BEIR وWILDS، يستخدم التقييم سلماً متبايناً من النماذج يتراوح من المعجمية (BM25) إلى البنى الكثيفة والهجينة.
المقاييس: تستخدم مهام الاسترجاع مقاييس Recall@k وMean Reciprocal Rank (MRR)؛ بينما يستخدم التصنيف مقاييس Macro-F1 وper-class F1.

النتائج الرئيسية

استرجاع ربط CVE (المهمة 1): حقق نموذج E5-base-v2 أعلى أداء بـ MRR قدره 0.587، متفوقًا على نهج الهجين (BM25+mpnet) الذي سجل (0.567) وعلى المشفرات الثنائية المتماثلة الأخرى. يشير هذا إلى أن تدريب بادئة الاستعلام/الممر غير المتماثل (asymmetric query/passage prefix) فعال بشكل خاص لربط CVE عبر المصادر.
تصنيف نوع الاستغلال (المهمة 2): حقق نموذج BiLSTM أفضل Macro-F1 بنسبة 0.871، متفوقًا على أفضل نموذج مرجعي من حقيبة الكلمات (SVM بنسبة 0.799) وعلى نموذج SecBERT المتخصص (0.846). يشير هذا إلى أن السياق ثنائي الاتجاه أمر بالغ الأهمية لنصوص الاستغلال، بينما قدم التدريب المسبق المتخصص في المجال فوائد متواضعة فقط مقارنة بالبنى القياسية.
التعميم الزمني (المهمة 3): تحت ظروف عدم تقاطع CVE الصارمة، تصدر E5-base-v2 مرة أخرى بـ MRR قدره 0.602. حافظت النماذج عمومًا على أدائها أو حسنته مقارنة بالمهمة 1، مما يؤكد أن التقسيمات الزمنية منعت بفعالية الحفظ المباشر لبيانات التدريب.

المساهمات الرئيسية

مجموعة بيانات CTI ذات أساس زمني: مجموعة وثائق تضم 7.45 مليون وثيقة تمتد عبر ثماني طبقات من المصادر مع بيانات ربط CVE، مما يدعم مهام معالجة اللغات الطبيعية المتنوعة (مثل تلخيص كود الاستغلال، ونمذجة المواضيع).
ثلاث مهام اختبار معيارية: مجموعة من المهام مع تقسيمات تدريب/تحقق/اختبار زمنية مصممة لاختبار التعميم المتزايد الصعوبة، بما في ذلك الاسترجاع عبر المصادر، والتصنيف ذي الـ 8 فئات، والتقييم المستقبلي غير المرتبط بـ CVE.
وثائق الحوكمة والشفافية: سلم كامل للنماذج، وتشخيصات اختصار المصادر، وحزم التدقيق اليدوي، وورقة بيانات (datasheet)، وملحق حوكمة الإصدار لضمان النزاهة ومنع تسرب البيانات.

الأهمية والادعاءات

يضع البحث HackerSignal كأداة تأسيسية لـ استخبارات التهديدات السيبرانية (CTI) ذات التعميم الزمني خارج التوزيع. تكمن أهميته الأساسية في:

سد الفجوة: يعد من أوائل الاختبارات المعيارية العامة التي ترسم المسار الكامل من خطاب مجتمعات الهكرز إلى سجلات الثغرات الرسمية وإصلاحات البرمجيات.
التقييم الصارم: من خلال فرض التقسيمات الزمنية وقيود عدم تقاطع CVE، يعالج البحث مشكلة الادعاءات المتضخمة الناتجة عن تسرب البيانات والتقييم غير المستقبلي.
التركيز على البحث الدفاعي: تم تنسيق مجموعة البيانات خصيصًا للبحث الدفاعي، مع قواعد حوكمة تمنع التدريب الدقيق (fine-tuning) لنماذج الاستغلال الآلية أو إلغاء مجهولية المستخدمين.

يقر المؤلفون بوجود قيود، مشيرين إلى أن روابط CVE مستمدة من البيانات الوصفية وليست محكومة من قبل خبراء (مما يدخل بعض الضجيج)، وأن الاسترجاع متعدد اللغات لم يتم تقييمه، كما لم يتم تضمين نماذج إعادة ترتيب (rerankers) النماذج اللغوية الكبيرة بسبب تكلفة الحوسبة. ومع ذلك، فإن إصدار الكود والبيانات وبيانات Croissant يهدف إلى دعم التوسعات المستقبلية في تلخيص كود الاستغلال، وتحليل التفاعل المجتمعي، واستخراج الـ CTI متعدد اللغات.