Self-Supervised Representations for Binary Program Clustering: From Empirical Study to Retrieval-Augmented Learning
تقدم هذه الورقة أول استقصاء منهجي لتعلم التمثيلات ذاتي الإشراف والتمثيلات الجدولية لتجميع البرامج الثنائية، حيث تحدد VIME كطريقة جديدة هي الأفضل في فئتها وتقترح VIME-R، وهي نسخة معززة بالاسترجاع تعمل على تحسين أداء تجميع البرمجيات الخبيثة بشكل كبير.
البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل
تخيل الإنترنت كمدينة ضخمة ومزدحمة، تصل إليها ملايين "السكان الرقميين" الجدد كل يوم. معظمهم جيران ودودون، لكن بعضهم متسللون ماكرون يحاولون السرقة أو التخريب أو إثارة الفوضى. يُطلق على هؤلاء المتسللين اسم البرمجيات الخبيثة (Malware). في عام 2024 وحده، ظهر أكثر من 80 مليون منها. وللحفاظ على سلامة المدينة، يحتاج حراس الأمن (خبراء الأمن السيبراني) إلى فرز هذه الملايين من الملفات إلى مجموعات. إذا تمكنوا من اكتشاف أن ملفًا جديدًا ينتمي إلى نفس "العائلة" التي ينتمي إليها أحد الأشرار المعروفين، فيمكنهم إيقاف التهديد فورًا. تسمى عملية الفرز هذه التجميع (Clustering).
عادةً ما يكون الفرز سهلاً إذا كان لديك قائمة أسماء (تسميات/Labels) تخبرك بهوية كل شخص. ولكن في العالم الحقيقي، غالبًا ما يضطر الحراس إلى فرز كومة هائلة من الملفات الغامضة دون أي أسماء على الإطلاق. وهنا يأتي دور التعلم الخاضع للإشراف الذاتي (Self-Supervised Learning - SSL) وتعلم التمثيل الجدولي (Tabular Representation Learning - TRL). فكر في الـ SSL كطالب يتعلم من خلال النظر إلى صورتين مختلفتين قليلاً لنفس الشيء، ويستنتج أنهما الشيء نفسه دون أن يخبره المعلم بالإجابة. أما الـ TRL فهو الفن المحدد لتعليم الحواسيب فهم "بيانات الجداول" (صفوف وأعمدة من الأرقام)، بدلاً من الصور أو النصوص. والسؤال الكبير الذي طرحه الباحثون هو: هل يمكننا تعليم الحواسيب فرز ملفات البرمجيات الخبيثة الغامضة هذه إلى عائلات مثالية بمجرد النظر إلى أرقامها، دون أي مساعدة من معلم بشري؟
لغز الملفات الغامضة
في هذه الدراسة، قرر الباحثان مارتن موكو ودانييلا تشودا لعب دور المحقق مع كومة ضخمة من الملفات الرقمية. أرادا معرفة ما إذا كان يمكن إعادة توظيف حيل الذكاء الاصطناعي الحديثة، المستخدمة عادةً للتعرف على القطط في الصور أو فهم الجمل، لإعادة تجميع ملفات البرمجيات الخبيثة معاً. وقد استخدما مجموعتي بيانات ضخمتين ومتاحتين لملفات ويندوز وهما Ember وBodmas. مجموعات البيانات هذه تشبه مكتبات ضخمة تحتوي على مئات الآلاف من الملفات، وكل ملف موصوف بقائمة طويلة من الأرقام (الميزات/Features) التي تعمل كبصمة إصبع.
قسم الباحثان تحقيقاتهما إلى مرحلتين، مثل رواية غموض من جزأين.
المرحلة الأولى: اختبار "ماذا لو؟"
أولاً، أرادا معرفة أفضل درجة ممكنة. تخيل أن معلماً يعطي الذكاء الاصطناعي مفتاح الإجابة. لقد أخذا نماذج ذكاء اصطناٍ ع مشهورة مصممة للصور (مثل BYOL وSimSiam وBarlow Twins وVICReg) وأجبراهما على التعلم من خلال مقارنة الملفات التي يعرفان أنها تنتمي إلى نفس العائلة. كان هذا اختباراً "خاضعاً للإشراف" (Supervised) لمعرفة مدى ارتفاع السقف.
جاءت النتائج مزيجاً من الأبطال والإخفاقات. فقد تبين أن BYOL وSimSiam هما الأبطال الخارقون؛ فعند إعطائهما مفتاح الإجابة، أديا بشكل جيد تقريباً مثل النموذج الخاضع للإشراف الكامل (الذي يعرف أسماء كل عائلة)، حيث حققا درجة "تجانس" (Homogeneity) -وهي مقي_اس لنقاء المجموعات- تقترب من 99% للفئات العامة وأكثر من 84% للعائلات المحددة. ومع ذلك، تعثرت نماذج Barlow Twins وVICReg بشدة، حيث كان أداؤهما أسوأ حتى من أبسط الطرق المرجعية (Baselines). ويتضح أن ليس كل نماذج الذكاء الاصطناعي "الذكية" متساوية في الذكاء عند الانتقال من الصور إلى الجداول.
المرحلة الثانية: التحدي الحقيقي
بعد ذلك، سحب الباحثون مفتاح الإجابة. هذا هو سيناريو العالم الحقيقي: يجب على الذكاء الاصطناعي فرز الملفات دون معرفة أي أسماء للعائلات. اختبروا أفضل النماذج من المرحلة الأولى جنباً إلى جنب مع طرق أحدث مصممة خصيصاً لبيانات الجداول، مثل VIME وSCARF وSwitchTab.
هنا، عانت نماذج الصور القديمة (BYOL وSimSiam) عندما أُجبرت على استخدام حيل "الفساد/التشويه" (Corruption) المخصصة للجداول. لم يتمكنوا من التفوق على الطرق المرجعية البسيطة. لكن نموذج VIME (إسناد القيم وتقدير القناع) برز في المشهد؛ حيث عمل عن طريق إخفاء أجزاء من بيانات الملف عشوائياً ومحاولة تخمين الجزء المفقود، متعلمًا الأنماط في هذه العملية. أثبت VIME أنه البطل الجديد، حيث تفوق على الطرق المرجعية التقليدية القوية (مثل PCA وAutoencoders) وسجل رقماً قياسياً جديداً في الأداء.
التحول: VIME-R
لم ينتهِ الباحثون بعد. فقد لاحظوا أن VIME كان يخمن البيانات المفقودة من خلال النظر إلى ملفات عشوائية من المكتبة بأكملها. ولكن ماذا لو نظر فقط إلى الملفات التي تشبه الملف الذي يدرسه بالفعل؟ لقد ابتكروا VIME-R (المعزز بالاسترجاع/Retrieval-Augmented). بدلاً من التخمين من الحشد بأكمله، يسأل VIME-R: "من هم الـ 100 جار الأكثر شبهاً بهذا الملف؟" ويستخدم بياناتهم لملء الفراغات.
كان هذا التغيير البسيط بمثابة تغيير لقواعد اللعبة. لم يتفوق VIME-R على الطرق الأخرى غير الخاضعة للإشراف فحسب، بل إنه في مجموعة بيانات Ember، تفوق فعلياً على "سقف الإشراف" الذي وضعه أفضل نموذج خاضع للإشراف في ذلك الاختبار، وهو SimSiam. وبينما سجل مصنف MLP الخاضع للإشراف بالكامل درجات أعلى في مجموعة بيانات Bodmas، حقق VIME-R في مجموعة Ember درجة تجانس للعائلات بلغت 77.48%، متفوقاً على درجة SimSiam التي بلغت 76.53%. وهذا يعني أنه باستخدام استراتيجية "الجوار" الذكية، تعلم الذكاء الاصطناعي غير الخاضع للإشراف كيفية تجميع عائلات البرمجيات الخبيثة بشكل أفضل من النموذج الخاضع للإشراف الذي قيل له صراحةً أسماء العائلات في ذلك السياق المحدد!
ماذا يعني هذا للمستقبل؟
تشير الورقة البحثية إلى أنه بينما قد لا تكون بعض نماذج الذكاء الاصطناعي الشهيرة (مثل Barlow Twins وVICReg) هي الأدوات المناسبة لفرز جداول البرمجيات الخبيثة، إلا أن نماذج أخرى (مثل BYOL وSimSiam) تمتلك إمكانات هائلة إذا تمكنا من معرفة كيفية إنشاء "الأزواج" الصحيحة من الملفات ليتعلموا منها.
والأهم من ذلك، تثبت الدراسة أن التعلم المعزز بالاسترجاع (Retrieval-augmented learning) هو اتجاه جديد قوي. فمن خلال تعليم الذكاء الاصطناعي التعلم من أقرب جيرانه بدلاً من العالم بأكمله، يمكننا الحصول على نتائج دقيقة للغاية دون الحاجة إلى تسميات بشرية مكلفة. وجد الباحثون أن VIME-R حسن جودة التجميع بنسبة تتراوح بين 2.7% إلى 5.8% مقارنة بأفضل طريقة سابقة.
وعلى الرغم من أن الدراسة محدودة بالسمات الثابتة (مثل النظر إلى مخطط الملف بدلاً من مراقبة تشغيله) وبمجموعات بيانات محددة، إلا أن النتائج تعد إشارة قوية. فهي تظهر أنه مع الحيل المناسبة، يمكن للحواسيب تعلم تنظيم عالم البرمجيات الخبيبة الفوضوي بمفردها، مما قد يساعد حراس الأمن على رصد التهديدات الجديدة بسرعة أكبر من أي وقت مضى. سيتم توفير الكود الخاص بهذه الطرق، مما يدعو الآخرين للبناء على هذا الاكتشاف.
غارق في أبحاث مجالك؟
تصلك نشرة يومية بأحدث الأبحاث المطابقة لكلماتك البحثية المفتاحية — مع ملخصات تقنية، بلغتك.