Malformer: A Multi-Modal Malware Detector Using Transformers
تقدم الورقة البحثية Malformer، وهو كاشف يعتمد على المحولات رباعية الأنماط يدمج تمثيلات النص والصورة والرسوم البيانية والصوت للملفات التنفيذية لنظام ويندوز لتحقيق دقة تصل إلى 98.3%، متفوقاً بشكل كبير على أنظمة كشف البرمجيات الخبيثة التقليدية أحادية النمط وثنائية النمط.
البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل
في العالم الرقمي، تواجه فرق الأمن معركة مستمرة ومتغيرة ضد البرمجيات الخبيثة. لعقود من الزمن، كان الدفاع الأساسي هو البحث عن بصمات معروفة: أنماط محددة من الكود أو توقيعات رقمية فريدة تحدد ماهية الفيروس. هذا النهج يعمل بشكل جيد ضد التهديدات القديمة، لكنه يفشل عندما ينشئ المهاجمون برامج جديدة غير مرئية أو يعدلون طفيفاً على برامج موجودة لإخفاء آثارهم. ولمواكبة هذا التطور، لجأ الباحثون إلى تعلم الآلة، حيث علموا الحواسيب كيفية التعرف على الهياكل العميقة والخفية للبرمجيات الضارة بدلاً من مجرد مطابقة الأنماط المعروفة. كانت المحاولات الأولى تعتمد على تعليم الحواسيب قراءة الكود الخام أو النظر إلى الملف كصورة بسيطة، لكن كل طريقة كانت تعاني من نقاط ضعف. فاعتماد طريقة واحدة فقط للنظر إلى الملف قد يؤدي إلى تفويت أدلة حاسمة، تماماً مثل محاولة التعرف على شخص من خلال رؤية ظله فقط أو سماع صوته فقط.
قام فريق من الباحثين من جامعة تينيسي تيك، وجامعة نبراسكا في أوماها، وجامعة نورث كارولينا إيه آند تي ستيت، بتطوير نظام جديد يسمى "مالفورمر" (Malformer) للتغلب على هذه القيود. فبدلاً من الاعتماد على عرض واحد فقط لملف الكمبيوتر، ينظر نظامهم إلى الملف نفسه بأربع طرق مختلفة تماماً في آن واحد؛ حيث يعامل الملف كنص، وصورة، وخريطة اتصالات، وموجة صوتية. ومن خلال دمج هذه المنظورات الأربعة، يبني النظام فهماً أغنى بكثير لما يحاول الملف القيام به. اختبر الباحثون هذا النهج على مجموعة ضخمة تضم أكثر من 200,000 ملف كمبيوتر، ووجدوا أن النظر إلى المشكلة من خلال العدسات الأربع جميعها في وقت واحد سمح للنظام برصد التهديدات بدقة أعلى بكثير من الطرق التي تستخدم عرضاً واحداً أو عرضين فقط.
الفكرة الجوهرية وراء "مالفورمر" هي أن الطرق المختلفة لتمثيل الملف تكشف عن أنواع مختلفة من المعلومات. فعندما يتم تحويل ملف الكمبيوتر إلى نص، فإنه يظهر التعليمات المحددة التي يعطيها البرنامج للمعالج. وعندما يتم تحويل الملف نفسه إلى صورة، فإنه يكشف عن أنماط في ترتيب بياناته، بشكل يشبه كيف تظهر البصمة التعرجات والوديان. وعند تحويله إلى رسم بياني (Graph)، فإنه يرسم خريطة لكيفية تواصل أجزاء البرنامج مع بعضها البعض، موضحاً تدفق التحكم. وأخيراً، عند معاملته كإشارة صوتية، فإن تسلسل البايتات في الملف يخلق موجة صوتية تحمل أنماطاً إيقاعية. واكتشف الباحثون أن الاعتماد على عرض واحد فقط من هذه العروض غالباً ما يترك فجوات؛ فعلى سبيل المثال، إذا قام مهاجم بتعمية الكود النصي لإخفائه، فقد يظل عرض الصورة أو الصوت يظهر الهيكل الخبيث. ومن خلال دمج هذه المنظورات الأربعة، ينشئ النظام شبكة أمان حيث يمكن لأحد العروض أن يعوض نقاط الضعف في عرض آخر.
لبناء هذا النظام، استخدم الباحثون أدوات متقدمة تُعرف باسم "المحولات" (Transformers)، وهي نماذج حاسوبية قوية قادرة على فهم العلاقات المعقدة في البيانات. وقد طوعوا هذه النماذج للتعامل مع الأنواع الأربعة المختلفة من البيانات؛ فبالنسبة للنصوص وخريطة الاتصالات، استخدموا نماذج مصممة لفهم اللغة والتسلسلات. وبالنسبة للصورة، استخدموا نموذجاً يُستخدم عادةً لتحليل الصور الفوتوغرافية ولكن تم تعديله ليرى أنماط البايتات للملف. أما بالنسبة للصوت، فقد استخدموا نموذجاً تدرب على الكلام البشري للاستماع إلى إيقاع بيانات الملف. لم يكن التحدي يكمن فقط في إنشاء هذه الرؤى الأربع المنفصلة، بل في تعليم النظام كيفية موازنتها مع بعضها البعض. وقد طور الباحثون طريقة تضبط تلقائياً مقدار الاهتمام الذي يوليه النظام لكل عرض أثناء التدريب؛ فإذا كان أحد العروض يتعلم بشكل أسرع من غيره، يقوم النظام مؤقتاً بتقليل تأثيره لضمان لحاق العروض الأبطأ به، مما يمنع النظام بأكمله من التحيز لنوع واحد فقط من المعلومات.
كانت نتائج هذا النهج مذهلة. فعند اختباره على مجموعة بيانات تضم 201,549 ملفاً، نجح نظام "مالفورمر" في تحديد البرمجيات الخبيثة بدقة بلغت 98.3% من الوقت. وكان هذا الأداء أفضل بشكل ملحوظ من الأنظمة التي نظرت إلى نوع واحد فقط من البيانات أو حتى تلك التي دمجت عرضين فقط. ووجد الباحثون أن الجمع بين هذه المنظورات الأربعة وفر مستوى من التفاصيل لم يستطع أي عرض منفرد تحقيقه بمفرده. والأهم من ذلك، أثبت النظام أنه يتسم بالمرونة؛ ففي سيناريوهات العالم الحقيقي، قد تتعرض بعض أجزاء الملف للتلف أو يصبح من المستحيل قراءتها، مما يؤدي إلى فشل أحد العروض الأربعة. وقد اختبر الباحثون ما سيحدث إذا تمت إزالة عرض النص أو عرض خريطة الاتصالات، وظل النظام يعمل بشكل جيد جداً، مع انخفاض طفيف فقط في الدقة. وهذا يشير إلى أن النظام لا يعتمد على نقطة فشل واحدة، بل على القوة الجماعية للمنظورات الأربعة.
كما سلطت الدراسة الضوء على القيمة الفريدة لكل منظور؛ فبينما كان عرض الصورة هو الأكثر اتساقاً وموثوقية، قدم عرض خريطة الاتصالات أقوى إشارة فردية عندما يكون متاحاً. وكان عرض النص، الذي يمثل لغة التجميع (Assembly)، مفيداً بشكل خاص عندما يفشل عرض خريطة الاتصالات في الاستخراج بشكل صحيح. أما عرض الصوت، وهو نهج أقل شيوعاً في هذا المجال، فقد أثبت فعاليته أيضاً في التقاط الأنماط التي فاتتها العروض الأخرى. ومن خلال الجمع بين هذه الأساليب المتنوعة، أنشأ الباحثون كاشفاً ليس أكثر دقة فحسب، بل أكثر حصانة أيضاً ضد الحيل التي يستخدمها المهاجمون لإخفاء عملهم. ويشير هذا العمل إلى أن مستقبل اكتشاف البرمجيات الخبيثة لا يكمن في إيجاد طريقة مثالية واحدة لتحليل الملف، بل في دمج طرق متعددة ومتكاملة لرؤية التهديد ذاته. وبينما يستمر المهاجمون في تطوير أساليبهم، فإن امتلاك نظام يمكنه النظر إلى المشكلة من أربع زوايا مختلفة في آن واحد يقدم دفاعاً قوياً وعاماً للبنية التحتية الرقمية التي نعتمد عليها كل يوم.
غارق في أبحاث مجالك؟
تصلك نشرة يومية بأحدث الأبحاث المطابقة لكلماتك البحثية المفتاحية — مع ملخصات تقنية، بلغتك.