تخيل أنك حارس أمن في مطار ضخم ومزدحم. مهمتك هي رصد المشاغبين بين ملايين المسافرين. في الماضي، كان الحراس ينظرون إلى الوجوه أو يفحصون أشياءً محددة في الحقائب. ولكن اليوم، أصبح "الأشرار" بارعين جدًا في إخفاء وجوههم وتعبئة حقائبهم، لدرجة أن الحراس بدأوا باستخدام روبوتات ذكية للغاية (تعلم الآلة) للقيام بعملية الرصد. هذه الروبوتات دقيقة بشكل مذهل، وغالبًا ما تضبط 99% من الأشرار. ومع ذلك، هناك مشكلة: هذه الروبوتات هي "صناديق سوداء". إنها تصرخ "تنبيه!" لكنها لا تخبرك لماذا. هل أمسك الروبوت باللص لأنه كان يركض؟ أم لأنه كان يحمل حقيبة ثقيلة؟ أم أنه ارتبك فقط لأنه كان يرتدي قبعة حمراء؟ إذا لم يستطع الروبوت شرح نفسه، فلن تتمكن فرق الأمن من الوثوق به، ولن يتمكنوا من تعليمه كيفية رصد أنواع جديدة من المشاكل.

هنا يأتي دور مجال يسمى "الذكاء الاصطناعي القابل للتفسير" (XAI). فكر في الذكاء الاصطناعي القابل للتفسير كأنه مترجم يجبر الروبوت على إظهار خطوات عمله، تمامًا مثل طالب الرياضيات الذي يكتب خطوات الحل في الامتحان. السؤال الكبير الذي يسأله الباحثون هو: هل الأدلة التي يستخدمها الروبوت للإمساك بنوع واحد من المجرمين (مثل مجموعة من المتسللين الذين يعملون معًا) تعمل أيضًا للإمساك بنوع آخر (مثل تدفق هائل من حركة المرور الوهمية)؟ أم أن الروبوت يحفظ فقط "الزي الرسمي" للمجرمين الذين تدرب عليهم؟ إذا كان الروبوت يعرف فقط القبعة الحمراء، فسيفتقد المجرمين ذوي القبعات الزرقاء. هذا البحث يغوص في هذا الغموض، ويختبر ما إذا كانت "الأدلة" التي يتعلمها الروبوت عالمية أم أنها مجرد أدلة خاصة بمعسكر التدريب.

عملية التبادل الكبرى بين المحققين: البوت نت مقابل الفيضانات

في هذه الدراسة، قرر باحثان، غيزاتشو وشهزاد، إخضاع سبعة "روبوتات محققة" مختلفة (نماذج تعلم آلة) لاختبار صارم. أرادا معرفة ما إذا كان بإمكان هذه الروبوتات رصد نوعين مختلفين جدًا من المجرمين السيبرانيين باستخدام قائمة مرجعية صغيرة مكونة من تسعة عناصر فقط من الأدلة "الزمنية".

الشريران:

1. البوت نت (Botnet): تخيل سربًا من آلاف الطائرات بدون طيار الصغيرة والفاقدة للإدراك (أجهزة كمبيوتر مصابة) تنتظر جميعها إشارة من سيد واحد. إنها تتحرك في انسجام تام وممل، مثل فرقة عسكرية تسير بانتظام. "بصمتها" هي توقيت صارم وإيقاعي.
2. الهجوم متعدد المتجهات (Multi-Vector Attack): تخيل حشدًا فوضويًا من المشاغبين المختلفين. البعض يلقي صخورًا ضخمة (فيضانات)، والبعض الآخر يحاول فتح الأقفية (مسح أمني)، والبعض الآخر يحاول تخمين كلمات المرور (هجوم القوة الغاشمة). إنهم صاخبون، فوضويون، وتتفاوت أحجامهم وسرعاتهم.

الأدلة التسعة:
بدلاً من النظر في محتوى الرسائل (الذي غالبًا ما يكون مشفرًا أو خاصًا)، أجبر الباحثون الروبوتات على النظر فقط في توقيت وشكل حركة المرور. لقد أعطوهم قائمة مرجعية من تسعة عناصر:

• مدة استمرار المحادثة.
• كمية البيانات المرسلة (الحجم).
• سرعة الإرسال (المعدل).
• اتجاه تدفق البيانات (الاتجاه).
• حجم "الطرود" الفردية من البيانات (حجم الحزمة).
• والأهم من ذلك، الفجوات الزمنية بين الطرود (وقت وصول الحزمة أو IAT).

الاكتشاف الصادم: قواعد مختلفة لمجرمين مختلفين

تدربت الروبوتات على هذه الأدلة التسعة وأدت أداءً مذهلاً، حيث نجحت في ضبط ما يقرب من 100% من الأشرار في كلا السيناريوهين. ولكن عندما سأل الباحثون الروبوتات عن كيفية إمساكهم بالمجرمين، كانت النتائج مذهلة.

الإمساك بالبوت نت:
عندما أمسكت الروبوتات بالبوت نت (الطائرات بدون طيار التي تسير بانتظام)، اعتمدت بشكل شبه كامل على التوقيت. لقد نظروا إلى الفجوات بين الرسائل. ولأن الطائرات بدون طيار تتحرك بإيقاع مثالي، كانت الفجوات الزمنية منتظمة للغاية. قالت الروبوتات: "آها! الوقت بين هذه الرسائل مثالي للغاية! إنه بوت!" في الواقع، كانت أدلة التوقيت مهمة جدًا لكواشف البوت نت لدرجة أنه إذا تم تغيير التوقيت، فإن قدرة الروبوت على ضبط الأشرار تنخفض إلى الصفر تقريبًا.

الإمساك بالهجوم متعدد المتجهات:
عندما أمسكت الروبوتات بالحشد الفوضوي (الفيضانات والمسح الأمني)، تجاهلت التوقيت تمامًا تقريبًا. بدلاً من ذلك، نظروا إلى الحجم والحجم الإجمالي. قالوا: "انظروا إلى هذا! الطرود كلها بنفس الحجم الغريب"، أو "هذا الشخص يرسل الكثير من البيانات في اتجاه واحد!". لم يكن التوقيت مهمًا بقدر ما كان المهم لأن الحشد الفوضوي يتحرك بسرعات عشوائية.

فخ "الصندوق الأسود":
هنا تكمن النتيجة الأكثر أهمية: حاول الباحثون معرفة ما إذا كانت الأدلة المستخدمة للبوت نت ستعمل مع الهجوم متعدد المتجهات، والعكس صحيح. أجروا فحصًا رياضيًا لمعرفة ما إذا كانت "أهمية" الأدلة تتطابق بين المجموعتين. النتيجة؟ لم تتطابق على الإطلاق. كان الارتباط منعدمًا تقريبًا (0.01).

هذا يعني أنه إذا أخذت روبوتًا تم تدريبه على رصد البوت نت وأمرته برصد الفيضانات، فمن المرجح أن يفشل لأنه يبحث عن الأدلة الخاطئة. الأمر يشبه تعليم كلب جلب الكرة، ثم توقع منه أن يمسك بقرص طائر (فريزبي) لمجرد أنك استخدمت نفس الكلمة "جلب". لقد استبعد البحث صراحةً فكرة أنه يمكنك مجرد نسخ ولص لصق لوحة تحكم "أهمية الميزات" من نظام أمني إلى آخر وتوقع نجاح الأمر. فالأدلة تعتمد على المجال المحدد.

الجانب المشرق: الأدلة "القوية"

إذًا، هل فُقد الأمل؟ هل نحتاج إلى روبوت مختلف لكل نوع من أنواع الهجمات؟ ليس تمامًا. استخدم الباحثون خدعة ذكية للعثور على "الأرضية المشتركة". سألوا: "ما هو الدليل الأقل أهمية لكلا النوعين من الهجمات؟" لا، انتظروا—لقد سألوا العكس: "ما هي الأدلة التي تظل مهمة حتى لو أخذنا الحد الأدنى من الدرجات عبر العالمين؟"

من خلال البحث عن الأدلة التي صمدت أمام الاختبار الأصعب (كونها مهمة في عالم البوت نت وعالم الفيضانات معًا)، وجدوا "مجموعة إجماع" مكونة من ثلاثة تواقيع فائقة القوة:

1. التباين في التوقيت: مدى تغير الفجوات الزمنية (ليس فقط متوسط الوقت).
2. نسبة بايتات المصدر: التوازن بين كمية البيانات المرسلة والمستقبلة.
3. متوسط حجم الحزمة: الحجم النموذجي لقطع البيانات.

هذه الأدلة الثلاثة هي "المفاتيح العالمية". ومن الصعب على أي شخص سيء التلاعب بها. إذا حاول "البوت نت" العبث بتوقيته لإخفاء نفسه، فإنه يدمر إيقاعه الخاص. وإذا حاول مهاجم "الفيضات" تغيير أحجام الحزم لإخفاء نفسه، فقد يكسر نمط الفيضان الخاص به.

ماذا يعني هذا بالنسبة لك؟

خلص البحث إلى أنه بينما تعد روبوتات "الصندوق الأسود" رائعة في ضبط الأشرار، فلا يمكننا الوثوق بها بشكل أعمى. نحن بحاجة إلى استخدام الذكاء الاصطناعي القابل للتفسير (XAI) للنظر في الداخل ورؤية ما يبحثون عنه بالفعل.

تظهر الدراسة أن:

• التوقيت هو الملك بالنسبة للبوتات: إذا كنت تريد الإمساك ببوت نت، فراقب الساعة.
• الحجم هو الملك بالنسبة للفيضانات: إذا كنت تريد الإمساك بفيضان، فراقب الحجم.
• لا تنسخ وتلصق: لا يمكنك افتراض أن الروبوت المدرب على نوع واحد من الهجمات سيعرف كيفية رصد نوع آخر لمجرد أنه ذكي.
• الرهان الآمن: إذا كنت تريد نظام أمان يعمل في كل مكان، فركز على الأدلة الثلاثة "المتوافقة" (تباين التوقيت، توازن البيانات، وحجم الحزمة).

يؤكد الباحثون بحذر أن هذه النتائج تستند إلى مجموعات بيانات محددة (CIC-IDS2017 و CTU-13)، والتي تشبه عمليات المحاكاة التدريبية. وبينما أدت الروبوتات أداءً مثاليًا في هذه الاختبارات (دقة تزيد عن 99%)، فإن العالم الحقيقي أكثر فوضوية. ومع ذلك، فإن الطريقة التي استخدموها—إجبار الروبوتات على شرح نفسها وإيجاد الأدلة التي تصمد عبر العوالم المختلفة—تعطينا طريقة جديدة وموثوقة لبناء أنظمة أمنية لا تكتفي بالتخمين، بل تفهم حقًا ما تراه.