CAM-Guided Saliency Cutout and Image-Based Malware Classification
تستقصي هذه الورقة البحثية فعالية تقنية "القطع السطحي الموجه بخرائط التنشيط الكلاسيكي" (CAM-guided saliency cutout) لتصنيف صور البرمجيات الخبيثة باستخدام مجموعة بيانات RawMal-TF، حيث وجدت أنه على عكس الصور الطبيعية التي يحسن فيها القطع منخفض البروز الأداء، فإن استراتيجيات القطع الموجه بالبروز تؤدي في الواقع إلى خفض الدقة بالنسبة للبرمجيات الخبيث، مما يسلط الضوء على وجود اختلافات جوهرية في النطاق بين هذين النوعين من الصور.
البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل
تخيل أنك تحاول تعليم روبوت التعرف على أنواع مختلفة من السيارات من خلال عرض آلاف الصور عليه. إذا عرضت على الروبوت نفس الصورة بالضبط في كل مرة، فقد يحفظ فقط الخلفية أو قطعة لامعة معينة بدلاً من تعلم ما يجعل السيارة سيارة. لمنع هذا "الحفظ"، يستخدم العلماء حيلة تسمى الاستبعاد (dropout). الأمر يشبه قولك للروبوت: "حسناً، الآن سأقوم بإخفاء جزء من هذه الصورة بمربع أسود. هل لا تزال قادراً على تخمين ماهيتها؟" هذا يجبر الروبوت على النظر إلى الصورة بأكملها وتعلم أنماط أعمق، وليس مجرد بقعة محظوظة واحدة. هذا هو جوهر تقنية Cutout، وهي تقنية تُستخدم لجعل نماذج الرؤية الحاسوبية أكثر ذكاءً وأقل عرضة للفشل عندما ترى شيئاً جديداً.
ولكن إليك السؤال الكبير: أين يجب أن نضع ذلك المربع الأسود؟ هل نلقي به في أي مكان عشوائي، أم يجب أن نكون أذكياء بشأن ذلك؟ فكر بعض الباحثين قائلين: "لننظر إلى الصورة ونجد الأجزاء الأكثر أهمية ('البروز' أو الـ saliency)، ثم نخفي الأشياء المملة حتى يركز الروبوت على الأجزاء المثيرة". هذا البحث يتعمق في هذه الفكرة، ولكن مع لمسة مختلفة: فبدلاً من النظر إلى صور القطط أو السيارات، هم ينظرون إلى البرمجيات الخبيثة (malware). البرمجيات الخبيثة هي المعادل الرقمي للفيروسات؛ وهي برنامج حاسوبي ضار. وقد وجد العلماء طريقة لتحويل الكود غير المرئي لهذه الفيروسات إلى صور بتدرج رمادي، تبدو كأنها تشويش على تلفاز قديم. والهدف هو معرفة ما إذا كانت حيلة "الإخفاء الذكي" تعمل على صور الفيروسات هذه بنفس الطريقة التي تعمل بها على صور العالم الطبيعي.
التجربة: إخفاء الأشياء الصحيحة (أو الخاطئة)
قام الباحثون بإعداد ملعب رقمي ضخم لاختبار هذا. استخدموا "دماغ روبوت" قياسي (شبكة عصبية تسمى ResNet18) وأعطوه مجموعتين مختلفتين جداً من الواجبات المنزلية. المجموعة الأولى كانت RawMal-TF، وهي مجموعة تضم 17,000 صورة بتدرج رمادي لبرمجيات خبيثة، مع 1,000 مثال لكل عائلة من عائلات الفيروسات الـ 17. والمجموعة الثانية كانت CIFAR-100، وهي مجموعة شهيرة تضم 100,000 صورة لأشياء من الحياة اليومية مثل التفاح، الشاحنات، والضفادع، استُخدمت كمجموعة ضابطة لمعرفة كيف يتصرف هذا التكتيك مع الصور العادية.
لقد اختبروا أربع طرق مختلفة لتدريب الروبوت:
- بدون Cutout: يرى الروبوت الصور تماماً كما هي.
- Random Cutout (الاستبعاد العشوائي): يرى الروبوت الصورة الأصلية بالإضافة إلى نسخ حيث يتم حجب مربع عشوائي باللون الأسود.
- Low-Saliency Cutout (الاستبعاد منخفض البروز): يرى الروبوت نسخاً حيث يتم وضع المربع الأسود فوق الأجزاء "المملة" وغير المهمة (وفقاً لنموذج معلم ذكي).
- High-Saliency Cutout (الاستبعاد عالي البروز): يرى الروبوت نسخاً حيث يتم وضع المربع الأسود فوق الأجزاء "المثيرة" والأكثر أهمية.
كما اختبروا أحجاماً مختلفة لهذه المربعات السوداء (تغطي 5%، 10%، 20%، أو 30% من الصورة) وأعداداً مختلفة من النسخ الإضافية (4 أو 8 نسخ لكل صورة أصلية).
النتائج: حكاية عالمين
كانت النتائج مزيجاً رائعاً من "لقد نجح الأمر!" و"مهلاً، لا، لم ينجح!".
على الصور الطبيعية (CIFAR-100):
نجحت استراتيجية "الإخفاء الذكي" بالفعل! فعندما استخدم الباحثون تقنية Low-Saliency Cutout (إخفاء الأجزاء المملة)، أصبح الروبوت أفضل في أداء مهمته. وتحديداً، عندما أخفوا 10% من الصورة في الأماكن الأقل أهمية، ارتفعت دقة الروبوت إلى 63.51%، متفوقة على نتيجة "عدم الإخفاء" القياسية التي بلغت 62.65%. يبدو أنه بالنسبة لصور الأشياء في العالم الحقيقي، فإن إخبار الروبوت بتجاهل الخلفية والتركيز على الموضوع الرئيسي هو وسيلة رائعة للتعلم. ومع ذلك، إذا حاولوا إخفاء الأجز الأهم (High-Saliency)، ارتبك الروبوت وأدى أداءً أسوأ بكثير.
على صور البرمجيات الخبيثة (RawMal-TF):
هنا، تغيرت القصة تماماً. ففي هذه الحالة، فشلت استراتيجية "الإخفاء الذكي". في الواقع، جعلت الأمور أسوأ. أفضل نتيجة لصور الفيروسات جاءت من مجموعة No Cutout، حيث رأى الروبوت الصور بشكل مثالي، محققاً درجة 72.83%. كل نسخة من حيلة "الإخفاء" — سواء كانت عشوائية، أو منخفضة البروز، أو عالية البروز — أدت إلى انخفاض النتيجة.
- أفضل محاولة "إخفاء" (Random Cutout بمربع بنسبة 30%) وصلت فقط إلى 71.55%.
- استراتيجية "Low-Saliency" (إخفاء الأجز المملة) كانت أحياناً أفضل قليلاً من العشوائية، لكنها غالباً ما كانت أسوأ قليلاً، ولم تتفوق أبداً على نتيجة "No Cutout".
- استراتيجية "High-Saliency" (إخفاء الأجز المهمة) كانت الأسوأ باستمرار، حيث خفضت الدرجات بشكل كبير.
ماذا يعني هذا: الفيروسات ليست مجرد صور
يشير المؤلفون إلى أن هذا الاختلاف يحدث لأن صور البرمجيات الخبيفة وصور الطبيعة مختلفان جوهرياً. عندما تنظر إلى صورة كلب، فإن الأجزاء "المهمة" هي وجه الكلب وأذناه. إخفاء العشب في الخلفية (low-saliency) يساعد الروبوت على التركيز على الكلب.
لكن صورة البرمجيات الخبيثة هي مجرد ترجمة لكود حاسوبي إلى صورة. "الأجزاء المهمة" التي يراها الكمبيوتر قد تكون أنماطاً محددة من البايتات (bytes)، أو رؤوس الملفات (file headers)، أو الحشوات (padding) التي قد تبدو لنا كتشويش عشوائي. عندما استخدم الباحثون الطريقة "الذكية" لإخفاء الأجز "المملة"، ربما أخفوا عن غير قصد أدلة هيكلية حاسمة تحتاج عائلة الفيروسات لتحديد هويتها. الأمر يشبه محاولة تعلم لغة عبر تغطية الحروف المتحركة؛ قد تعتقد أنك تركز على الحروف الساكنة، لكنك في الواقع دمرت بنية الجملة.
يخلص البحث إلى أنه بينما تعد تقنية saliency-guided cutout أداة قوية للصور الطبيعية، إلا أنها لا تعمل تلقائياً مع البرمجيات الخبيثة. فالطريقة "الذكية" لإخفاء أجزاء من صورة الفيروس ليست مجرد النظر إلى الصورة؛ بل تتطلب فهم الهيكل الخفي للكود نفسه. وفي الوقت الحالي، يظل النهج الأبسط — وهو إظهار الصورة الكاملة غير المحجوبة للروبوت — هو البطل في تحديد هذه التهديدات الرقمية.
غارق في أبحاث مجالك؟
تصلك نشرة يومية بأحدث الأبحاث المطابقة لكلماتك البحثية المفتاحية — مع ملخصات تقنية، بلغتك.