Utilizing Large Language Model Algorithm for XSS, SQL, and Command Injection Detection

تخيل الإنترنت كمدينة صاخبة وفوضوية حيث المواقع الإلكترونية هي المتاجر، والبنوك، وقاعات البلدية. تماماً كما في أي مدينة، هناك مثيرو شغب يحاولون التسلل عبر الباب الأمامي، أو كسر الأقفال، أو الصراخ بأوامر مزيفة للموظفين. في عالم أمن الكمبيوتر، يستخدم هؤلاء المثلبون ما يسمى بـ "هجمات الحقن" (Injection Attacks). وهو اسم منمق لخديعة بسيطة: بدلاً من تقديم طلب عادي للموقع، يكتب المخترق أمراً سرياً مخبأً داخل مربع نص، آملاً أن يستجيب له الموقع عن طريق الخطأ. الأمر يشبه زبوناً يدخل إلى مخبز ويهمس للمخبز: "في الواقع، أود منك حذف كامل مخزونك"، فيقوم الخباز، وهو مرتبك، بفعل ذلك بالفعل.

ولإمساك هؤلاء المثلبين المتسللين، بنى خبراء الأمن "حراس بوابة" رقميين. لسنوات، كان هؤلاء الحراس مثل أمناء مكتبات صارمين لا يسمحون إلا بدخول الكتب التي تبدو تماماً مثل الكتب الموجودة في قائمتهم المعتمدة. إذا كان للكتاب غلاف غريب أو عنوان غريب، فسيتم رفضه. لكن المخترقين أصبحوا أكثر ذكاءً؛ فهم يغيرون "أغلفتهم" و"عناوينهم" بسرعة تجعل حراس البوابة القدامى غير قادرين على مواكبتهم. وهنا يأتي جيل جديد من حراس البوابة: النماذج اللغوية الكبيرة (LLMs). فكر في هذه النماذج ليس كأمناء مكتبات جامدين، بل كمحققين أذكياء جداً قرأوا كل كتاب تقريباً في المكتبة. هم لا ينظرون فقط إلى الغلاف؛ بل يفهمون القصة، والنبرة، والمعنى الخفي. يمكنهم التمييز بين جملة غير ضارة وأمر خبيث بمجرد "الشعور" بالنص. يسأل هذا البحث سؤالاً كبيراً: هل يمكن تدريب هؤلاء المحققين الأذكياء جداً على رصد الخدع المحددة التي يستخدمها المخترقون لاختراق المواقع الإلكترونية، وهل يحتاجون إلى أن يكونوا وحوشاً عملاقة تستهلك الطاقة للقيام بالمهمة، أم يمكن لمحقق أصغر وأسرع أن يؤدي المهمة بنفس الكفاءة؟

قرر الباحثون وراء هذه الدراسة وضع أربعة محققين مختلفين من الذكاء الاصطناعي في معسكر تدريبي ضخم لمعرفة أيهم يمكنه رصد ثلاثة أنواع محددة من عمليات الاختراق الرقمي: حقن النصوص البرمجية عبر المواقع (XSS)، وحقن SQL، وحقن الأوامر (Command Injection). لم يعتمدوا على التخمين فحسب؛ بل غذوا هذه النماذج بمجموعة بيانات ضخمة تضم أكثر من 180,000 مثال من حركة المرور "الجيدة" و"السيئة"، بما في ذلك الهجمات الخادعة والمموهة. ثم قاموا بضبط هذه النماذج (Fine-tuning)، وهو ما يشبه إعطاءهم كتاباً مدرسياً متخصصاً حول حيل المخترقين حتى يتمكنوا من تعلم الأنماط المحددة لهذه الجرائم.

كانت النتائج متقاربة بشكل مدهش، وكأنها سباق فاز فيه الفائزون بخط النهاية بفارق ضئيل جداً. كان نجم العرض هو نموذج يسمى LLaMA-3.2-1B. لقد قدم أفضل أداء إجمالي، حيث حدد حركة المرور الخبيثة بدقة 99.80%، ودقة تحديد (Precision) بلغت 99.82%، ودرجة F1 بلغت 99.81%. لقد كان حاد الذكاء للغاية، حيث لم يخطئ إلا في حالات نادرة جداً من الأشرار، ونادراً ما اتهم الأبرياء. ومع ذلك، وجدت الورقة أيضاً أنك لست بحاجة بالضرورة إلى أكبر محقق لإنجاز المهمة. فنموذج أصغر بكثير يسمى DistilBERT-base-uncased، والذي يمتلك فقط حوالي 0.93% من المعلمات القابلة للتدريب مقارنة بأقرانه الأكبر حجماً (حوالي 630,532 معلمة من أصل 67.6 مليون معلمة إجمالية)، حقق نتائج متطابقة تقريباً: 99.80% في كل من الدقة، ودقة التحديد، والاستدعاء، ودرجة F1.

اختبرت الدراسة أيضاً نموذجين آخرين، GPT-2 و GPT-2-medium. لقد أديا أداءً جيداً جداً أيضاً، حيث تراوحت الدقة ودقة التحديد بين 99.7% إلى 99.8%. ومن المثير للاهتمام، وجد الباحثون أن جعل النموذج أكبر لا يجعله دائماً أفضل. فنموذج GPT-2-medium، وهو أكبر بثلاث مرات تقريباً من نموذج GPT-2 القياسي، لم يمسك بمزيد من الأشرار؛ بل في الواقع، سجل درجة أقل قليلاً. وهذا يشير إلى أنه بالنسبة لهذه المهمة المحددة، بمجرد أن يصبح النموذج كبيراً بما يكفي لفهم الأنماط، فإن جعله أكبر هو مثل شراء سيارة رياضية باهظة الثمن لمجرد الذهاب إلى البقالة؛ فهي لن توصلك بشكل أسرع.

وعند النظر في كيفية ارتكاب النماذج للأخطاء، كشفت الورقة عن بعض الخصائص المثيرة للاهتمام. كانت جميع النما्हे الأربعة مثالية تقريباً في رصد هجمات XSS؛ في الواقع، نجحت ثلاثة منها في حل 100% من حالات اختبار XSS بشكل صحيح. يبدو أن وسوم "السكربت" المستخدمة في هذه الهجمات تشبه لافتة نيون ضخمة يستحيل تفويتها. ومع ذلك، كانت حقن الأوامر (Command Injection) هي الفئة الأكثر صعوبة. فقد عانى نموذج LLaMA قليلاً هنا، حيث خلط أحياناً بين حقن الأوامر وحركة المرور الطبيعية. وفي الوقت نفسه، مال نماذج GPT-2 إلى أن تكون مفرطة في الحذر، حيث صنفت حركة المرور الطبيعية والآمنة كأنها هجوم بشكل أكثر تكراراً من غيرها.

يخلص المؤلفون إلى أنه بينما أظهر نموذج LLaMA-3.2-1B العملاق أقوى أداء إجمالي، فإن نموذج DistilBERT الصغير يعد بديلاً رائعاً للاستخدام في العالم الحقيقي لأنه أسرع بكثير ويتطلب قوة حوسبة أقل مع تقديم مستوى حماية مماثل تقريباً. تشير الورقة إلى أن الضبط الدقيق لهذه النماذج هو وسيلة قوية للإمساك بهجمات الحقن، لكنها تشير أيضاً إلى أن هذه هي مجرد البداية. أشار الباحثون إلى أنهم واجهوا تحديات، مثل نقص الدراسات السابقة حول هذا الموضوع المحدد وموارد الحوسبة المحدودة، مما يعني أنه لا يزال هناك الكثير من العمل للقيام به لإتقان حراس البوابة الرقميين هؤلاء. في النهاية، تثبت الدراسة أنه مع التدريب الصحيح، يمكن حتى للذكاء الاصطناعي الصغير والفعال أن يصبح حارساً شبه مثالي ضد بعض التهديدات الويب الأكثر شيوعاً.