💻 computer science

MambaNetBurst: Direct Byte-level Network Traffic Classification without Tokenization or Pretraining

تُعد MambaNetBurst شبكة مدمجة وخالية من التجزئة (tokenizer-free) لتصنيف حركة مرور الشبكة، تستفيد من هيكل Mamba-2 للقيام بتصنيف مُشرف شامل (end-to-end supervised classification) مباشرة على بايتات الحزم الخام، محققةً أداءً تنافسياً عبر معايير متنوعة دون الحاجة إلى تجزئة أو رقع (patching) أو تدريب مسبق ذاتي الإشراف.

المؤلفون الأصليون: Gayan K. Kulatilleke, Siamak Layeghy, Mahsa Baktashmotlagh, Marius Portmann

نُشر 2026-05-13

📖 4 دقيقة قراءة☕ قراءة في استراحة قهوة

CC BY 4.0

المؤلفون الأصليون: Gayan K. Kulatilleke, Siamak Layeghy, Mahsa Baktashmotlagh, Marius Portmann

البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل

تخيل أنك رجل أمن في مطار مزدحم، تحاول استنتاج نوع المسافر الذي يمر عبر الباب.

الطريقة القديمة (نهج "الملخص")
تحاول معظم الأنظمة الأمنية الحديثة أن تكون فعالة عبر أخذ تقرير مفصل وطويل لرحلة المسافر وتلخيصه. قد يقولون: "مشى هذا الشخص 500 خطوة، وارتدى قميصاً أزرق، وحمل حقيبة حمراء". إنهم يتخلصون من التفاصيل المحددة حول كيفية مشيه أو الملمس الدقيق للقماش لتوفير الوقت. في عالم شبكات الكمبيوتر، يسمى هذا الترميز (Tokenization) أو الرقع (Patching). يقومون بتقطيع البيانات الخام ("البايتات") إلى قطع، ثم يلخصونها، وبعد ذلك يغذون بها نموذج ذكاء اصطناعي ضخم ومكلف للغاية.

علاوة على ذلك، تحتاج هذه النماذج عادةً إلى "معسكر تدريبي" أولاً. قبل أن تتمكن من تصنيف حركة المرور، يجب أن تقضي أسابيع في قراءة ملايين سجلات الشبكة دون أي إجابات، محاولةً تخمين الأنماط بمفردها (وهذا ما يسمى التدريب المسبق - Pre-training). وفقط بعد هذا المعسكر المكلف والمستهلك للوقت، تبدأ في القيام بالمهمة الفعلية المتمثلة في رصد المخترقين أو تحديد التطبيقات.

الطريقة الجديدة: MambaNetBurst
تقدم الورقة البحثية MambaNetBurst، وهو حارس أمن جديد يعمل بطريقة مختلفة. فبدلاً من تلخيص المسافر، فإنه ينظر إلى بث الفيديو الخام غير المحرر للمسافر خلال خطواته الأولى.

إليك تفصيل بسيط لكيفية عمله ولما القوة التي يتميز بها:

1. لا ملخصات، فقط بايتات خام

تخيل أنك تحاول التعرف على أغنية. الطريقة القديمة قد تستمع إلى مقطع مدته 10 ثوانٍ وتقول: "يبدو صوتها كأغنية روك". أما MambaNetBurst فيستمع إلى الموجات الصوتية الخام والدقيقة للثواني القليلة الأولى.

الادعاء: وجد المؤلفون أنك لست بحاجة لتقطيع البيانات أو تلخيصها. فمن خلال تغذية الذكاء الاصطناعي بـ "البايتات" الخام (الأصفار والآحاد) مباشرة، يمكنه رصد تفاصيل دقيقة وحاسمة — مثل نمط معين في الترويسة (Header) أو خلل طفيف في الحمولة (Payload) — وهي تفاصيل تضيع عند تلخيص البيانات.
التشبيه: الأمر يشبه قراءة كتاب. الطريقة القديمة تقرأ "تقرير كتاب" كتبه شخص آخر. أما MambaNetBurst فيقرأ الكلمات الفعلية الموجودة على الصفحة.

2. لا حاجة لـ "معسكر تدريبي"

معظم نماذج الذكاء الاصطناعي لأمن الشبكات تشبه الطلاب الذين يحتاجون للدراسة لسنوات قبل خوض الامتحان النهائي. إنهم يقرؤون ملايين الكتب (التدريب المسبق) لتعلم لغة الإنترنت.

الادعاء: يتخطى MambaNetBurst معسكر الدراسة هذا تماماً. فهو يتوجه مباشرة إلى الامتحان النهائي. يتعلم تصنيف حركة المرور مباشرة عبر النظر إلى أمثلة مع وجود الإجابات مرفقة بالفعل (التعلم الخاضع للإشراف - Supervised Learning).
النتيجة: هذا يوفر قدراً هائلاً من الوقت وقوة الحوسبة. لا تحتاج إلى كمبيوتر خارق لتدريبه؛ بل يكفي كرت شاشة قياسي للقيام بذلك.

3. محرك "Mamba-2"

عقل هذا النظام هو نوع جديد من بنية الذكاء الاصطنا وهو Mamba-2.

المحرك القديم (Transformers): فكر في هذا كأمين مكتبة يتعين عليه قراءة كل كتاب في المكتبة ليجد جملة واحدة محددة. إنه قوي ولكنه يصبح بطيئاً ومكلفاً جداً كلما كبرت المكتبة (البيانات).
محرك Mamba-1: كان أمين مكتبة أسرع يمكنه مسح الكتب بشكل خطي.
محرك Mamba-2: هو النسخة الأكثر كفاءة من أمين المكتبة. يستخدم خدعة ذكية (تسمى "ثنائية فضاء الحالة المهيكلة - Structured State Space Duality") لمعالجة المعلومات بسرعة فائقة، مثل حزام ناقل عالي السرعة.
- العيب: Mamba-2 أكثر "جموداً" قليلاً في كيفية معالجته للمعلومات مقارنة بأخيه الأقدم (Mamba-1) الأكثر مرونة.
- المفاجأة: وجدت الورقة البحثية أن هذا الجمود في حالة حركة مرور الشبكة هو في الواقع أمر جيد. فهو يعمل كمعلم صارم يمنع الذكاء الاصطناعي من الارتباك بسبب الضجيج. إنه أبسط، وأسرع، وبنفس القدر من الدقة.

4. استراتيجية "الاندفاع" (Burst)

النظام لا يحاول تحليل عمر الاتصال بالكامل (والذي قد يستمر لساعات). بدلاً من ذلك، ينظر إلى "اندفاع" (Burst) — أي أول بضعة حزم من البيانات (مثل أول 5 ثوانٍ من المحادثة).

النتيجة: اتضح أن أهم الأدلة حول ما يفعله تطبيق ما (أو ما إذا كان برمجية خبيثة) تحدث في البداية تماماً. ومن خلال التركيز على هذه النافذة القصيرة وعالية الدقة، يظل النموذج سريعاً ودقيقاً.

الخلاصة الكبرى

اختبر المؤلفون هذا النظام على ستة تحديات مختلفة من الواقع، بدءاً من تحديد تطبيقات الهاتف المحمول المشفرة وصولاً إلى رصد حركة مرور Tor والبرمجيات الخبيثة. إليكم ما اكتشفوه:

لا تبهت الصورة: إذا حاولت "تقليل العينات" (التمويه/التبسيط) للبيانات لجعلها أصغر، فإن الذكاء الاصطناعي يصبح أسوأ بكثير في أداء مهمته. أنت بحاجة إلى التفاصيل الخام عالية الدقة.
الصغير جميل: لست بحاجة إلى عقل ضخم وعميق. نموذج مدمج وضحل يعمل بشكل مثالي.
السرعة مقابل الذكاء: Mamba-2 ليس فقط أسرع في التدريب (بنسبة تصل إلى 60% أسرع من النسخة الأقدم) بل يستخدم أيضاً ذاكرة أقل. إنه يحقق "النقطة المثالية" حيث يكون ذكياً وفعالاً في آن واحد.
لا تدريب مسبق: النتيجة الأكثر إثارة للدهشة هي أنك لا تحتاج إلى مرحلة التدريب المسبق المكلفة التي يستخدمها الجميع. يمكنك ببساطة تدريب النموذج مباشرة على المهمة، وسيعمل بنفس كفاءة العمالقة الضخمة المدربة مسبقاً.

باختصار:
MambaNetBurst يشبه رجل أمن لا يحتاج إلى شهادة جامعية، ولا يحتاج لقراءة مكتبة من الكتب أولاً، ولا يحتاج لتلخيص الأدلة. هو فقط ينظر إلى اللقطات الخام عالية الدقة للثواني الأولى من اتصال الشبكة ويعرف فوراً ما الذي يحدث. إنه أسرع، وأرخص، وأكثر دقة بشكل مفاجئ من الأنظمة المعقدة المستخدمة حالياً.

ملخص تقني: MambaNetBurst

بيان المشكلة

يعد تصنيف حركة مرور الشبكة وكشف التسلل أمراً بالغ الأهمية للأمن السيبراني، ومع ذلك، غالباً ما تعتمد الأساليب المتطورة على مسارات عمل معقدة ومستهلكة للموارد. تتضمن الطرق المهيمنة حالياً عادةً ما يلي:

التدريب المسبق الثقيل: استخدام أهداف التعلم الذاتي (مثل نمذجة اللغة المقنعة، أو التنبؤ بالرمز التالي) على مجموعات بيانات ضخمة قبل الضبط الدقيق، وهو أمر مكلف ويستغرق وقتاً طويلاً.
التجميع المبكر: للتعامل مع تسلسلات المدخلات الطويلة بكفاءة، غالباً ما تستخدم النماذج الحالية التقطيع (tokenization)، أو الرقع (patching)، أو التخطي (striding). هذا التقليل من العينات يمكن أن يؤدي إلى تخفيف المعلومات الهيكلية الدقيقة على مستوى البايت (مثل رؤوس البروتوكولات أو تواقيع الحمولة) الضرورية للكشف الدقيق عن التهديدات.
عدم الكفاءة الهيكلية: تعاني البنى القائمة على المحولات (Transformers)، رغم قوتها، من تعقيد الانتباه التربيعي أو تتطلب طبقات تغذية أمامية ثقيلة حتى مع متغيرات الانتباه الخطي، مما يجعلها مكلفة حاسوبياً بالنسبة لتسلسلات البايت الخام.

تفترض الورقة أن هذه التعقيدات قد تكون غير ضرورية. وهي تتساءل عما إذا كان النمذجة المباشرة لبايتات الحزم الخام يمكن أن تلغي الحاجة إلى التدريب المسبق، أو التمثيلات الهندسية، أو التجميع المبكر، لا سيما عند الاستفادة من نماذج فضاء الحالة (SSMs) الفعالة.

المنهجية: MambaNetBurst

يقترح المؤلفون MambaNetBurst، وهو مصنف تسلسل لتدفق البيانات على مستوى البايت، مدمج، وخالٍ من الرموز (tokenizer-free)، مبني على بنية Mamba-2. تعمل البنية كما يلي:

بناء المدخلات: يعالج النموذج تدفقات الشبكة عن طريق اختيار أول $n$ من الحزم (الافتراضي $n=5$ ). ومن كل حزمة، يتم الاحتفاظ بأول $m$ بايت (الافتراضي $m=320$ )، مما يشكل "دفقة" (burst) ثابتة الطول تبلغ 1600 بايت. هذا يحافظ على حدود الحزم ويركز على الرؤوس والحمولات الأولية المعلوماتية.
تضمين خالٍ من الرموز (Tokenizer-Free Embedding): على عكس الطرق التي تربط البايتات برموز الكلمات الفرعية، يقوم MambaNetBurst بربط قيم البايت الخام (0–255) مباشرة بمتجهات تضمين قابلة للتعلم ( $d_{model}=256$ ). تقوم شبكة MLP خفيفة الوزن ذات طبقتين بإسقاط هذه التضمينات لإثراء الميزات المحلية قبل نمذجة التسلسل.
نمذجة التسلسل: يتم معالجة تسلسل البايت، الملحق برمز [CLS] قابل للتعلم وتضمينات موضعية، بواسطة مجموعة من كتل Mamba-2 ذات التنميط المسبق المتبقي (residual pre-normalized).
- تفاصيل Mamba-2 الخاصة: يستخدم النموذج ازدواج فضاء الحالة المهيكل (SSD)، مما يعيد صياغة الحساب الجوهري في عمليات صديقة لـ GEMM. والأهم من ذلك، يستخدم Mamba-2 مصفوفة انتقال مقيدة ( $A = \alpha I$ ، أي عدد قياسي مضروب في مصفوفة الوحدة) بدلاً من المصفوفة القطرية المرنة المستخدمة في Mamba-1.
التصنيف: يتم تمرير الحالة المخفية النهائية لرمز [CLS] عبر طبقة خطية و "softmax" للتصنيف الخاضع للإشراف من البداية إلى النهاية.
لا يوجد تدريب مسبق: يتم تدريب النموذج حصرياً عبر خسارة الإنتروبيا المتقاطعة الخاضعة للإشراف، متجاوزاً أي مرحلة تدريب مسبق ذاتي الإشراف.

المساهمات الرئيسية

أول تطبيق مباشر من البايت إلى التصنيف باستخدام Mamba-2: يعد MambaNetBurst أول عمل يطبق Mamba-2 مباشرة على بايتات حزم الشبكة الخام دون الحاجة إلى ترميز، أو تقطيع، أو تدريب مسبق.
التحقق من الديناميكيات المقيدة: تثبت الورقة أن هيكل الانتقال المقيد في Mamba-2 (العدد القياسي $\times$ الوحدة) ليس كافياً فقط لنمذجة بايتات الحزم، بل يعمل أيضاً كمنظم (regularizer) مفيد، مما يحسن الاتساق عبر مجموعات البيانات مقارنة بـ Mamba-1 الأكثر مرونة.
إلغاء التدريب المسبق: تثبت الدراسة أن التمثيلات التمييزية لحركة المرور يمكن تعلمها مباشرة من البايتات الخام في إعداد خاضع للإشراف بالكامل، مما يلغي الحاجة إلى مسارات العمل المكونة من مرحلتين (تدريب مسبق + ضبط دقيق) المهيمنة في الأدبيات.
التحليل الاستقصائي الشامل (Ablation): يقدم المؤلفون تحليلاً مستفيضاً على استراتيجيات التضمين، والترميز الموضعي، والتخطي (striding)، وعمق النموذج، وأحجام الحالة، مما يكشف أن الحفاظ على الدقة الزمنية لمستوى البايت أمر بالغ الأهمية وأن أحجام الحالة المتوسطة ( $d_{state}=16-64$ ) كافية.

النتائج التجريبية

تم تقييم النموذج على ستة معايير عامة تغطي تحديد تطبيقات الهاتف المحمول المشفرة، وحركة مرور VPN/Tor، وتصنيف البرامج الضارة، وهجمات IoT.

الأداء: حقق MambaNetBurst نتائج قوية باستمرار، حيث تفوق غالباً على أو كافأ النماذج المرجعية الأثقل والأكثر تدريباً مسبقاً (مثل ET-BERT و YaTC و NetMamba).
- في ISCXTor2016، حقق درجة macro-F1 بلغت 0.9990، متفوقاً على NetMamba (0.9986) و ET-BERT (0.9967).
- في USTC-TFC2016 (البرامج الضارة)، وصل إلى 0.9954 (macro-F1)، متفوقاً على NetMamba (0.9957) و ET-BERT (0.9910).
- في CrossPlatform (Android/iOS)، حقق درجات macro-F1 بلغت 0.9824 و 0.9851 على التوالي، وهي نتائج تنافسية أو متفوقة على نماذج Transformer المدربة مسبقاً.
الكفاءة:
- سرعة التدريب: أظهر Mamba-2 تسريعاً بنسبة 30–60% في عمليات التمرير الخلفي (backward passes) مقارنة بـ Mamba-1، واستدلالاً أسرع بكثير من نماذج Linear Transformers مع FlashAttention-2.
- الذاكرة: استهلك ذاكرة GPU أقل بمقدار 2–4 $\times$ من متغيرات Transformer، مما سمح بأحجام دفعات أكبر على الأجهزة العادية (مثل RTX 3090).
رؤى التحليل الاستقصائي (Ablation):
- التخطي (Striding) ضار: تسبب التخطي المبكر (striding) في أكبر قدر من تدهور الأداء، مما يؤكد أن ترتيب البايتات الدقيق أمر بالغ الأهمية.
- Mamba-2 مقابل Mamba-1: أظهر Mamba-2 متوسط أداء أفضل وتباين أقل عبر مجموعات البيانات، مما يشير إلى أن قيوده تعمل كمنظم ضمني.
- العمق والحجم: كانت الأعماق المتوسطة (4 طبقات) وأحجام الحالة (16–64) كافية؛ حيث أدى زيادة حجم الحالة إلى 128 إلى تدهور الأداء، مما يشير إلى أن الذاكرة الكامنة الضخمة ليست ضرورية لهذا النوع من البيانات.

الأهمية والادعاءات

تزعم الورقة أن MambaNetBurst يضع نموذجاً عملياً جديداً لتحليل حركة مرور الشبكة:

جدوى التعلم المباشر: يتحدى النموذج الافتراض بأن مسارات التدريب المسبق المكلفة ضرورية لتصنيف حركة المرور المتطور. فقد ثبت أن التعلم المباشر من البايت إلى التصنيف باستخدام نماذج SSM المدمجة هو نهج فعال للغاية.
الكفاءة والقابلية للنشر: من خلال تجنب التدريب المسبق والاستفادة من كفاءة Mamba-2 في الأجهزة، يوفر هذا النهج حلاً أبسط، وأسرع، وأكثر قابلية للنشر، خاصة في البيئات محدودة الموارد أو السيناريوهات التي تتطلب إعادة تدريب متكررة (مثل NIDS).
متانة النمذجة على مستوى البايت: تشير النتائج إلى أن الحفاظ على الدقة الأصلية لبايتات الحزم أكثر أهمية من تعظيم مرونة النظام الديناميكي الكامن أو تجميع البيانات مبكراً.

يخلص المؤلفون إلى أن هذا العمل يفتح اتجاهات واعدة لنماذج SSM على مستوى البايت في مجال الأمن السيبراني، مما يوفر بديلاً أبسط للخطوط العريضة المعقدة والمعتمدة بكثافة على التدريب المسبق والتي تهيمن على المجال حالياً.