تقدم هذه الورقة البحثية TAH-GAN، وهي شبكة خصومية توليدية هجينة مدركة للزمن تدمج الترميز الزمني لفورييه والتحكم في الجودة ثنائي البوابة لتوليد عينات برمجيات أندرويد خبيثة متوافقة مع المستقبل، مما يعالج بفعالية انزياح المفهوم الزمني ويحقق معدلات مراوغة وتماسكاً زمنياً متفوقين مقارنة بالنماذج المرجعية الحالية غير الزمنية.
في عالم الهواتف المحمولة الرقمي، تُخاض حرب صامتة ومستمرة بين البرمجيات التي تحمي أجهزتنا والبرامج الخبيثة المصممة لكسرها. لسنوات، اعتمد خبراء الأمن على تعلم الآلة، وهو شكل من أشكال الذكاء الاصطناعي الذي يتعلم رصد التهديدات من خلال دراسة آلاف الأمثلة للبرمجيات الضارة. ومع ذلك، فإن هذا الدفاع يعاني من ضعف جوهري: إنه عالق في الماضي. فهذه الأنظمة الأمنية يتم تدريبها على بيانات من سنوات سابقة، لكن التهديدات التي تواجهها تتغير باستمرار. ومع إصدار أنظمة تشغيل جديدة للهواتف وابتكار المخترقين لأساليب جديدة، تتغير العلاقة بين شكل البرنامج وما إذا كان خطيراً أم لا بمرور الوقت. هذه الظاهرة، المعروفة باسم "انزياح المفهوم" (concept drift)، تعني أن حارس الأمن المدرب على مجرمي العام الماضي قد يفشل في التعرف على مجرم غير مظهره وأساليبه اليوم. ولا يقتصر التحدي الذي يواجه الباحثين على مجرد الإمساك بهذه التهديدات الجديدة، بل في فهم كيفية بناء دفاعات يمكنها توقعها قبل أن تصبح واسعة الانتشار.
قام فريق من الباحثين بتطوير أداة جديدة مصممة لحل هذه المشكلة المحددة المتعلقة بالوقت والتغيير في أمن الهواتف المحمولة. لقد أنشأوا نظاماً يسمى TAH-GAN، وهو اختصار لـ "الشبكة التنافسية التوليدية الهجينة الواعية بالزمن" (Time-Aware Hybrid Generative Adversarial Network). لفهم ما يفعله هذا النظام، تخيل فريق أمن يحاول الاستعداد لهجوم مستقبلي؛ فبدلاً من انتظار وقوع هجمات المخترقين الحقيقيين، يحتاجون إلى وسيلة لتوليد أمثلة مزيفة، ولكن واقعية، لما قد تبدو عليه تلك الهجمات المستقبلية. غالباً ما فشلت المحاولات السابقة لإنشاء هذه الأمثلة المزيفة لأنها تعاملت مع البيانات كبيانات ثابتة، متجاهلة حقيقة أن المشهد الرقمي يتغير كل يوم. ومع ذلك، فقد بُني النظام الجديد بوعي محدد بالزمن؛ فهو لا يتعلم فقط كيف يبدو البرامج الضارة اليوم، بل يتعلم كيف تتطور البرامج الضارة. ومن خلال تغذية النظام بمعلومات حول وقت جمع البيانات، مكن الباحثون النظام من توليد عينات تتماشى مع المستقبل، مما خلق جسراً بين بيانات الماضي التي تعرفها الأنظمة الأمنية وتهديدات المستقبل التي يجب أن تواجهها.
اختبر الباحثون هذا النهج الجديد باستخدام مجموعة ضخمة من تطبيقات أندرويد، مع فصل البيانات بدقة حسب الزمن. قاموا بتدريب نظامهم على تطبيقات قديمة ثم طلبوا منه توليد أمثلة جديدة ومراوغة قد تظهر في سنوات لاحقة. كانت النتائج مذهلة؛ فعندما قارنوا نظامهم الواعي بالزمن بالأساليب الحالية الأخرى التي تتجاهل عنصر الوقت، كان الفرق واضحاً. أنتجت الأساليب القديمة عينات مزيفة بدت غريبة أو غير متسقة عند النظر إليها من منظور الزمن، تماماً مثل شخص يرتدي ملابس من عام 1990 ولكنه يحمل هاتفاً ذكياً من عام 2024. وفي المقابل، أنتج النظام الجديد عينات لا يمكن تمييزها عن البرامج الضارة المستقبلية الحقيقية. وفي اختباراتهم، نجحت جميع العينات المولدة تقريباً، وتحديداً بنسبة 99.8 بالمائة، في اجتياز فحصين حاسمين: بدا أنها واقعية بما يكفي لخداع أداة الكشف، وتم تصنيفها بنجاح كبرامج آمنة من قبل النظام الأمني الذي حاولت خداعه. وقد ظل معدل النجاح المرتفع هذا ثابتاً حتى عندما اختبر الباحثون العينات المولدة ضد أنواع مختلفة من البرامج الأمنية التي لم يرها النظام من قبل، مما أثبت أن الهجوم لم يكن مجرد ضربة حظ ضد برنامج معين.
كما كشفت الدراسة أن عنصر الوقت كان العامل الأكثر حسمًا في هذا النجاح. فعندما أزال الباحثون المكون الواعي بالزمن من نظامهم، انخفضت جودة العينات المولدة بشكل كبير؛ حيث أنتج النظام غير الواعي بالزمن عينات كانت متماسكة بمعناها العام، لكنها فشلت في التقاط الأنماط المحددة لعصر مستقبلي. تشير هذه النتيجة إلى أنه لكي تظل الأنظمة الأمنية فعالة، لا يمكنها ببساطة التعلم من قاعدة بيانات ثابتة، بل يجب أن تفهم إيقاع التغيير. استخدم الباحثون تقنية رياضية تتضمن الموجات لتشفير مرور الوقت، مما سمح للنظام بتنعيم الانتقالات بين السنوات والتنبؤ بكيفية تحول الميزات. سمح هذا النهج لهم بإنشاء مجموعة بيانات تضم أكثر من 1.7 مليون عينة عالية الجودة ومتوافقة زمنياً، والتي يمكن استخدامها لتدريب الأنظمة الأمنية المستقبلية لتكون أكثر قوة.
في نهاية المطاف، يوفر هذا العمل طريقة جديدة لاختبار صمود الأمن في الهواتف المحمولة. فمن خلال توليد أمثلة واقعية ومتماشية مع المستقبل للبرامج الضارة، يمكن للمدافعين تحديد نقاط الضعف في أنظمتهم قبل أن يستغلها المهاجمون الحقيقيون. لقد جعل الباحثون كودهم ومجموعة البيانات الضخمة من العينات المولدة متاحة للجمهور، مما يسمح لعلماء آخرين بالتحقق من النتائج والبناء عليها. وبينما يعمل النظام على مستوى ميزات البيانات ولا يقوم بعد بإنشاء تطبيقات قابلة للتثبيت بالكامل، إلا أنه يمثل خطوة كبيرة للأمام في فهم كيفية الدفاع ضد التهديدات التي تتطور باستمرار. وتخلص الدراسة إلى أن تجاهل بُعد الزمن يترك الأنظمة الأمنية عرضة للخطر، ولكن من خلال دمج الزمن مباشرة في عملية التوليد، من الممكن إنشاء دفاعات جاهزة لما سيأتي لاحقاً.
ملخص تقني: TAH-GAN لتعزيز قوة التهرب من برمجيات أندرويد الخبيثة
بيان المشكلة تعاني كواشف البرمجيات الخبيثة لنظام أندرويد القائمة على تعلم الآلة من الانزياح المفاهيمي الزمني (temporal concept drift)، حيث تفشل النماذج المدربة على بيانات تاريخية في اكتشاف المتغيرات الجديدة الناشئة في الفترات التشغيلية المستقبلية. تشير الأدلة التجريبية إلى أنه عندما يتم فصل بيانات التدريب والاختبار زمنياً بشكل صارم، يمكن أن تنخفض دقة المصنف بمقدار يصل إلى 46 نقطة مئوية. وبينما استُخدمت الشبكات التنافسية التوليدية (GANs) لإنشاء عينات مراوغة، فإن نماذج GAN الحالية تتعامل مع ناقلات الميزات كتمثيلات ثابتة ومجردة من السياق. ونتيجة لذلك، تنتج عينات غير متماسكة زمنياً (على سبيل المثال، دمج أنماط الأذونات من عام واحد مع استدعاءات واجهة برمجة التطبيقات (API) من عام آخر) مما يؤدي إلى فشلها تحت التقييم المعزول زمنياً. هناك فجوة حرجة في الأدبيات: لا يوجد إطار عمل سابق يولد عينات برمجيات خبيثة متوافقة مع المستقبل ومتماسكة زمنياً، وتكون صالحة لإعادة التدريب الدفاعي المدرك للانزياح.
المنهجية: إطار عمل TAH-GAN يقترح المؤلفون TAH-GAN (الشبكة التنافسية التوليدية الهجينة المدركة للزمن)، وهو إطار عمل مصمم لتوليد عينات تنافسية واقعية، ومراوغة، ومتماسكة زمنياً. يعمل النظام على تمثيل معزز زمنياً v(x,t)=[x∥ϕ(t)]، حيث x هو ناقل ميزات البرمجيات الخبيثة و ϕ(t) هو ترميز زمني مشفر بمتسلسلة فوريه.
الترميز الزمني لـ فوريه (Fourier Temporal Encoding): لمعالنة الطبيعة الثابتة للمولدات الحالية، يقوم TAH-GAN بتكييف المولد G بناءً على ناقل زمني مكون من 17 بُعداً ϕ(t). يجمع هذا الناقل بين:
ثماني توافقيات من دوال الجيب والتمام المشتقة من السنة التقويمية المعيارية τy(t)، لالتقاط التغيرات الدورية.
طابع زمني (Unix timestamp) معياري τu(t)، للحفاظ على التقدم الرتيب. يسمح هذا الترميز للمولد بتخليق توزيعات ميزات متوافقة مع فترات زمنية مستهدفة محددة.
البنية والتدريب:
المولد (G): شبكة عصبية متعددة الطبقات (MLP) مكونة من 4 طبقات تأخذ الضجيج الكامن z والشرط الزمني ϕ(t) لإنتاج ناقل ميزات اصطناعي x~.
المميز (D): ناقد يعتمد على تقنية WGAN-GP (الشبكة التنافسية التوليدية من نوع Wasserstein مع عقوبة التدرج)، يقوم بتقييم واقعية الناقل المعزز v(x~,t). وهو يوفر هدفاً للواقعية لضمان أن العينات المولدة تشبه توزيعات البرمجيات الخبيثة الحقيقية.
المصنف (C): شبكة عصبية متعددة الطبقات (MLP) مدربة مسبقاً تُستخدم كهدف ثابت. يوفر هدفاً للتهرب عبر حساب احتمالية أن تكون العينة خبيثة. يتم تدريب المولد لتقليل هذا الاحتمال (أي تعظيم التهرب) مع تلبية قيد الواقعية الخاص بالمميز.
دالة الخسارة: يقلل المولد من خسارة مشتركة: LG=−λRE[D(vg)]+λEE[σ(C(vg))]، مما يوازن بين الواقعية والتهرب.
الرقابة على الجودة على مرحلتين (Two-Stage QC): قبل إصدار دفعة كاملة من العينات المولدة، يستخدم TAH-GAN اختبار الدفعة التجريبية. لا يتم إصدار نقطة التحقق إلا إذا استوفت الدفعة التجريبية عتبتين متزامنتين:
بوابة الواقعية: 98% على الأقل من العينات تحقق D(v)≥0.
بوابة التهرب: 98% على الأقل من العينات تحقق σ(C(v))<0.5. يضمن ذلك أن مجموعة البيانات النهائية تتكون من عينات مراوغة وواقعية في آن واحد، بدلاً من مجرد متوسط معدلات النجاح الهامشية.
المساهمات الرئيسية
أول GAN مدرك للزمن للبرمجيات الخبيثة: يعد TAH-GAN أول إطار عمل قائم على GAN يدمج ترميز فوريه الزمني خصيصاً لتوليد برمجيات خبيثة تنافسية متوافقة مع المستقبل تحت ظروف التقييم المعزول زمنياً.
دعم إعادة التدريب المدرك للانزياح: ينتج الإطار عينات تعمل كـ "سلبيات صعبة" (hard negatives) لإعادة تدريب الكواشف، مما يعالج صراحةً مشكلة الانزياح الزمني بدلاً من معاملتها كمشكلة نمذجة لاحقة.
الرقابة على الجودة مزدوجة البوابات: يضمن سير عمل الرقابة على الجودة (الواقعية + التهرب) توليداً عالي الدقة، حيث يتم رفض العينات التي تفشل في أي من القيدين.
الموارد المفتوحة: ينشر المؤلفون كود التنفيذ، وسكربتات التجارب، ومجموعة بيانات مكونة من 1,757,645 مخرجاً خاضعاً للرقابة النوعية.
النتائج التجريبية تم تقييم الإطار على مجموعتي بيانات KronoDroid (استدعاءات النظام الديناميكية) و AndroMD (الميزات الثابتة: MNF، KeyCount، ZeroOne) باستخدام تقسيمات تدريب-اختبار معزولة زمنياً.
الأداء مقابل النماذج المرجعية: تفوق TAH-GAN بشكل كبير على النماذج المرجعية (CTGAN، وDoPGAN، وEGAN قياسي).
درجة البوابة المتوازنة (BGS): حقق TAH-GAN نسبة 99.7%، مقارنة بـ 88.5% لـ CTGAN و87.2% لـ DoPGAN.
معدل اجتياز البوابة المشترك (JGR): أظهرت إعادة حساب أكثر صرامة لجميع المخرجات المجمدة أن 99.816% من العينات اجتازت بوابتي الواقعية والتهرب في آن واحد.
التماسك الزمني: حقق TAH-GAN درجة تماسك زمني بلغت 0.91، بينما سجلت النماذج المرجعية غير الزمنية (CTGAN، DoPGAN) 0.12 فقط.
فعالية التهرب: عند حقن العينات في مصنف أساسي، قلل TAH-GAN معدل الكشف (الاستدعاء) من حوالي 98.1% إلى 0.5% في المتوسط.
القابلية للنقل: حققت العينات المولدة للتهرب من هدف MLP معدلات تهرب تتراوح بين 82-87% ضد بنيات غير مرئية (CNN1D، LSTM، ResNet)، مما يثبت فعاليتها المستقلة عن البنية.
دراسات الاستئصال (Ablation Studies): أدى إزالة الترميز الزمني إلى خفض BGS بمقدار 2.0 نقطة مئوية، مما يؤكد ضرورة التكييف مع فوريه. وأدت إزالة الرقابة على الجودة إلى أكبر انخفاض (5.0 نقاط مئوية).
الأهمية والادعاءات يزعم البحث أن TAH-GAN يكشف عن نقاط ضعف حدود القرار المتطورة زمنياً في كواشف البرمجيات الخبيثة. ومن خلال توليد عينات متوافقة مع توزيع البرمجيات الخبيثة المستقبلية، يوفر الإطار آلية قوية لاختبار الدفاعات وإعادة تدريبها ضد الانزياح المفاهيمي.
يضع المؤلفون TAH-GAN ليس كأداة لهزيمة حزم مكافحة الفيروسات الإنتاجية (التي غالباً ما تستخدم نهجاً قائماً على التواقيع أو هجيناً)، بل كأداة تقييم أمني للكواشف القائمة على تعلم الآلة. تعمل مجموعة البيانات المولدة كمورد قابل لإعادة الإنتاج للباحثين لدراسة إعادة التدريب المدرك للانزياح وتحسين قوة أنظمة الكشف المستقبلية. يسلط العمل الضوء على أنه بدون التكييف الزمني، تنتج المولدات التنافسية عينات غير متماسكة تفشل في تمثيل مشهد التهديدات الحقيقي للبرمجيات الخبيفة المتطورة.