Adapter-Based Few-Shot Continual Learning for Malicious Packet Recognition
تقترح هذه الورقة إطار عمل هجينًا يجمع بين نموذج خلفي للتعلم ذاتي الإشراف، والتكيف منخفض الرتبة (LoRA)، ورأس تصنيف قائم على النماذج الأولية لمعالجة النسيان الكارثي وتحقيق أداء رائد في التعلم المتزايد للفئات قليلة العينات للتعرف على الحزم الخبيثة.
البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل
في العالم الرقمي، تعمل أنظمة الأمن كحراس دائمين، يراقبون تدفق البيانات التي تتحرك عبر شبكاتنا لرصد أي كود خبيث. لسنوات طويلة، اعتمدت هذه الأنظمة في تدريبها على مكتبات ضخمة من التهديدات المعروفة، حيث تتعلم التعرف على أنماط محددة من السلوك السيئ. ومع ذلك، فإن مشهد التهديدات السيبرانية ليس ثابتاً؛ بل هو هدف متحرك. تظهر عائلات جديدة من البرمجيات الخبيثة باستمرار، وغالباً ما تظهر بأعداد صغيرة قبل أن تنتشر على نطاق واسع. وتواجه نماذج الأمن التقليدية صعوبة مع هذا الواقع لأنها بُنيت لتتعلم من كميات هائلة من البيانات دفعة واحدة. فعندما تُجبر على تعلم تهديد جديد دون نسيان التهديدات القديمة، غالباً ما تعاني هذه الأنظمة من ظاهرة تُعرف باسم "النسيان الكارثي"، حيث يمحو التعلم الجديد ما سبقه، مما يترك النظام أعمى تجاه الأخطار السابقة. علاوة على ذلك، فإن قواعد الخصوصية والأمن الصارمة تمنع المؤسسات غالباً من الاحتفاظ بنسخ من الكود الخبيث الذي رأته بالفعل، مما يجعل من المستحيل استخدام الأمثلة الماضية للمساعدة في تعليم النظام حول التهديدات الجديدة. وهذا يخلق لغزاً صعباً: كيف يمكن لنظام أمني أن يتعلم تهديدات جديدة من مجرد حفنة من الأمثلة، دون أن يفقد ذاكرته عما مضى، ودون أن يقوم بتخزين الكود الخطير الذي عالجه بالفعل؟
لقد تصدى باحثون من جامعة غرب فلوريدا ومعهد فلوريدا للإدراك البشري والآلي لهذا التحدي من خلال تطوير طريقة جديدة للتعرف على حزم الشبكة الخبيثة. يركز نهجهم على سيناريو محدد يسمى "التعلم التدريجي للفئات القليل من العينات" (few-shot class-incremental learning)، حيث يجب على النظام التكيف مع فئات جديدة من البرمجيات الخبيثة باستخدام عدد قليل فقط من الأمثلة المصنفة، مع الاحتفاظ بقدرته على تحديد جميع الفئات السابقة. ولحل مشكلة النسيان دون القدرة على تخزين البيانات الماضية، بنى الفريق إطار عمل يعتمد على عملية تعلم مكونة من خطوتين. أولاً، قاموا بتدريب نموذج تعلم عميق من الصفر باستخدام تقنية التعلم الذاتي (self-supervised technique). وبدلاً من تغذية النموذج بأمثلة مصنفة لأنواع محددة من البرمجيات الخبيثة، تركوه يدرس البنية الخام لملايين حزم الشبكة، مما علمه فهم اللغة الأساسية لحركة مرور الإنترنت دون الحاجة لمعرفة ما يمثله كل هجوم محدد في تلك الحزمة. وقد خلق هذا أساساً قوياً وفهماً عاماً لكيفية ظهور البيانات الخبيثة.
بمجرد إنشاء هذا الأساس، قدم الباحثون طريقة لتعليم النظام تهديدات جديدة دون تغيير المعرفة الجوهرية التي تعلمها بالفعل. لقد استخدموا تقنية تسمى "التكيف منخفض الرتبة" (low-rank adaptation)، والتي تسمح للنظام بتعلم معلومات جديدة عن طريق إضافة طبقات تعديل صغيرة وفعالة بدلاً من إعادة كتابة النموذج بالكامل. تخيل مكتبة حيث الكتب مكتوبة ومجلدة بالفعل؛ فبدلاً من إعادة كتابة المجلدات الموجودة لإضافة فصول جديدة، يقوم الباحثون ببساطة بإرفاق بطاقات فهرسة خفيفة الوزن توجه القارئ إلى المعلومات الجديدة. في نظامهم، يظل "دماغ" النموذج الأساسي مجمداً وغير متغير، مما يحافظ على المعرفة بجميع عائلات البرمجيات الخربية السابقة. وعندما يظهر تهديد جديد، يستخدم النظام هذا الدماغ المجمد لاستخراج السمات من الأمثلة القليلة المتاحة للتهديد الجديد وإنشاء نقطة مرجعية بسيطة، أو "نموذج أولي" (prototype)، له. وهذا يسمح للنظام بالتعرف على التهديد الجديد من خلال مقارنة البيانات الواردة مع هذه النقاط المرجعية، كل ذلك مع إبقاء المعرفة الأصلية سليمة تماماً.
اختبر الفريق هذه الطريقة على مجموعتين من البيانات الشهيرة لحركة مرور الشبكة، والتي تحتوي على آلاف العينات من أنواع مختلفة من الهجمات السيبرانية. وضعوا اختباراً صارماً حيث تعلم النظام أولاً مجموعة كبيرة من الهجمات الشائعة، ثم توجب عليه تعلم أنواع جديدة ومتميزة من الهجمات في جولات لاحقة، مع رؤية خمسة أمثلة فقط من كل نوع جديد. أظهرت النتائج أن نهجهم تفوق بشكل كبير على الطرق السابقة المصممة لهذه المهمة. في الجولة النهائية من الاختبار، حقق نظامهم دقة تزيد عن 61 في المائة في إحدى مجموعات البيانات وما يقرب من 59 في المائة في الأخرى، متجاوزاً أفضل الطرق التالية بفارق يزيد عن ثماني نقاط مئوية. ولعل الأهم من ذلك، أظهر النظام استقراراً ملحوظاً؛ فبينما نسيت الطرق الأخرى التي حاولت تعلم معلومات جديدة عن طريق تعديل أوزانها الداخلية ما يصل إلى 22 في المائة مما تعلمته سابقاً، قلل هذا النهج الجديد من ذلك النسيان إلى أقل من 9 في المائة. وهذا يشير إلى أنه من خلال إبقاء النموذج الأساسي مجمداً وإجراء تعديلات صغيرة ومستهدفة فقط، يمكن للنظام التكيف مع التهديدات الجديدة دون مسح ذاكرته عما سبق.
استكشف الباحثون أيضاً ما إذا كان الاحتفاظ بذاكرة مؤقتة (buffer) من الأمثلة الماضية سيساعد، وهي استراتيجية شائعة في مجالات أخرى. ووجدوا أنه بينما سمح تخزين عدد قليل من الأمثلة الماضية للنظام بتعلم التهديدات الجديدة بشكل أسرع قليلاً، إلا أن ذلك جاء بتكلفة باهظة: فقد نسي النظام جزءاً كبيراً من معرفته السابقة. والأهم من ذلك، أن تخزين حتى كمية صغيرة من الكود الخبيث الحي يشكل خطراً أمنياً جسيماً، حيث يمكن تنفيذه أو تسريبه عن طريق الخطأ. تشير نتائج الفريق إلى أنه بالنسبة للأمن السيبراني، حيث تكون مخاطر الاحتفاظ بالبيانات عالية، فإن النظام الثابت والمُدرب مسبقاً بقوة هو الأفضل من النظام الذي يعتمد على إعادة تشغيل البيانات الماضية. يثبت عملهم أنه من الممكن بناء أنظمة أمنية تكيفية تحترم قيود الخصوصية وتتعامل مع التطور السريع للتهديدات، مما يثبت أن النموذج يمكن أن يظل مرناً بما يكفي لتعلم الجديد، وصلباً بما يكفي لتذكر القديم.
غارق في أبحاث مجالك؟
تصلك نشرة يومية بأحدث الأبحاث المطابقة لكلماتك البحثية المفتاحية — مع ملخصات تقنية، بلغتك.