Cognitive Digital Twin-Driven Explainable AI Framework for Adaptive Detection of Zero-Day Cyber Threats
تقترح هذه الورقة إطار عمل للذكاء الاصطناعي القابل للتفسير مدفوعاً بالتوأم الرقمي المعرفي، والذي يعزز الكشف التكيفي عن التهديدات السيبرانية من نوع "اليوم الصفر" عبر النمذجة المستمرة للحالات الأمنية وتقديم تنبؤات قابلة للتفسير، محققاً مقاييس أداء متفوقة في التقييمات المحاكاتية مقارنة بالنماذج الثابتة مع تسليط الضوء على الحاجة إلى التحقق في العالم الحقيقي.
البحث الأصلي مرخَّص بموجب CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/). هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل
في الطبقات الخفية لشبكة الإنترنت، تدور معركة مستمرة بين أولئك الذين يبنون الدفاعات الرقمية وأولئك الذين يسعون لكسرها. لعقود من الزمن، اعتمدت الأنظمة الأمنية على طريقة بسيطة وموثوقة: وهي الاحتفاظ بقائمة بالجهات الفاعلة السيئة المعروفة. فعندما يصل زائر، يتحقق النظام من هويته بمطابقتها مع هذه القائمة؛ فإذا تطابق الاسم مع مجرم معروف، يُغلق الباب. هذا النهج يعمل بشكل جيد ضد التهديدات المألوفة، لكنه يعاني من نقطة ضعف قاتلة، فهو لا يستطيع التعرف على الغرباء الذين لم يُقبض عليهم من قبل. هؤلاء المهاجمون المجهولون، الذين يستخدمون حيلًا جديدة تمامًا لم يسبق لها مثيل في التاريخ، يُعرفون بتهديدات "اليوم الصفر" (zero-day). ولأن أساليبهم جديدة كليًا، فإنهم يتسللون عبر القوائم القديمة دون أن يُلاحظوا. ولإيقافهم، يحاول خبراء الأمن الآن تجربة استراتيجية مختلفة؛ فبدلاً من مجرد التحقق من الهويات، يقومون ببناء خريطة حية ونابضة لكيفية سلوك الشبكة بشكل طبيعي، ويسمون هذا "التوأم الرقمي"، وهو نسخة افتراضية من النظام تتعلم شكل "الوضع الطبيعي" في الوقت الفعلي. وعندما يتغير شيء ما، ولو بشكل طفيف، يلاحظ التوأم هذا التحول فورًا.
لقد اقترحت باحثة تُدعى لمياء أختر طريقة جديدة لاستخدام هذه الفكرة للإيقاع بهؤلاء المهاجمين غير المرئيين. يجمع عملها بين الخريطة الحية للتوأم الرقمي ونوع من الذكاء الاصطناعي الذي يمكنه شرح طريقة تفكيره. في الماضي، عندما كان برنامج كمبيوتر يحدد تهديدًا ما، كان غالبًا ما يعطي إجابة بسيطة بـ "نعم" أو "لا" دون توضيح السبب، مما ترك خبراء الأمن البشريين في حيرة من أمرهم بشأن ما كان خطأً بالفعل. يغير إطار عمل "أختر" ذلك من خلال إضافة طبقة من الوضوح؛ فهو لا يكتشف المشكلة فحسب، بل يشير بدقة إلى السلوكيات والظروف التي أدت إلى إطلاق الإنذار. والهدف هو إنشاء نظام يتكيف مع تغير الشبكة، ويرصد الأنماط غير المألوفة قبل أن تسبب ضررًا، ويخبر المشغل البشري بالضبط بما يجب النظر إليه.
يركز البحث على تحدٍ محدد: كيفية اكتشاف التهديدات التي ليس لها تاريخ سابق. تعاني الأنظمة التقليدية هنا لأنها مدربة على بيانات قديمة، وتبحث عن أنماط حدثت بالفعل. أما نهج "أختر" فيبني صورة مستمرة ومحدثة لصحة الشبكة. تخيل حارس أمن لا يحفظ فقط قائمة بالوجوه المحظورة، بل يتعلم بدلاً من ذلك إيقاع مكتب مزدحم؛ فهذا الحارس يعرف متى تكون الأضواء مشتعلة عادةً، ومتى يدخل الناس عادةً، ومدى الضجيج المعتاد في الغرفة. إذا دخل شخص ما في وقت غريب وتحرك بمشية غير معتادة، يلاحظ الحارس الفرق فورًا، حتى لو لم يره من قبل. في هذا البحث، "الحارس" هو توأم رقمي معرفي، يقوم بتحديث فهمه للشبكة باستمرار من خلال مراقبة حركة المرور، وأنماط الاتصال، وظروف النظام. إنه ينشئ خط أساس للسلوك الطبيعي ثم يراقب أي انحراف عن خط الأساس هذا.
لاختبار هذه الفكرة، لم تستخدم الباحثة هجمات من العالم الحقيقي، لأن محاكاتها ستكون خطيرة، بل أنشأت بيئة محكومة باستخدام بيانات اصطناعية. وهذا يعني أنها ولّدت حركة مرور شبكة وهمية تتصرف مثل نظام حقيقي، بما في ذلك النشاط الطبيعي والاضطرابات المصممة بعناقة لتشبه هجمات "اليوم الصفر". ثم قامت بتشغيل إطار عملها الجديد مقابل هذه البيانات، مقارنةً إياه بطريقتين أخريين: نموذج تعلم آلي قياسي يعتمد على قواعد ثابتة، ونموذج تعلم عميق يتعلم من الأنماط التاريخية. عمل إطار العمل الجديد كجسر، حيث يأخذ البيانات الخام، ويغذيها في التوأم الرقمي لفهم السياق الحالي، ثم يستخدم الذكاء الاصطناعي لتقرير ما إذا كان هناك تهديد أم لا. والأهم من ذلك، أن النظام بعد اتخاذ القرار، قام بتوليد تفسير، مسلطًا الضوء على الميزات المحددة التي جعلت الأمر مثيرًا للريبة.
تشير نتائج هذه المحاكاة إلى أن النهج الجديد أكثر فعالية من الأساليب الأقدم. ففي الاختبارات، حقق إطار العمل المقترح مستوى أعلى من الدقة، حيث حدد التهديدات بشكل صحيح في كثير من الأحيان مع ارتكاب أخطاء أقل. وتحديدًا، وصل إلى درجة 0.94 في الدقة (precision) و0.92 في الاستدعاء (recall)، مقارنة بدرجات أقل للنماذج الأخرى. كما أنتج إنذارات كاذبة أقل، حيث بلغ معدل الإيجابيات الكاذبة 0.04 فقط، مما يعني أنه كان أقل عرضة لاعتبار النشاط البريء تهديدًا. ولعل الأهم من ذلك، هو أن النظام ظل قويًا حتى عندما أصبحت الهجمات المحاكاتية أكثر دقة؛ فعندما كانت التغيرات السلوكية طفيفة وصعبة الاكتشاف، تمكن إطار العمل الجديد من رصدها بنسبة 72 بالمائة، بينما لم يلتقط النموذج الثابت القديم سوى 55 بالمائة. ومع ازدياد حجم الاضطرابات، ارتفع معدل الكشف في النظام الجديد إلى 97 بالمائة، مما يظهر قدرته على التكيف مع مجموعة واسعة من السلوكيات غير المعروفة.
تكمن قيمة هذا العمل ليس فقط في الأرقام، بل في الوضوح الذي يضفيه على العملية. فمن خلال الجمع بين الرؤية الديناميكية للتوأم الرقمي والذكاء الاصطناعي القابل للتفسير، يقدم النظام صورة كاملة؛ فهو يخبر محلل الأمن ليس فقط بوجود تهديد، بل وأيضًا بالسلوكيات المحددة التي أطلقت الإنذار. وهذا يساعد البشر على اتخاذ قرارات أسرع وأفضل استنادًا إلى المعلومات. ومع ذلك، فإن الدراسة واضحة بشأن حدودها؛ فالنتائج تعتمد كليًا على عمليات المحاكاة والبيانات الاصطناعية، وليس على هجمات من العالم الحقيقي في شبكة حية. وتشير المؤلفة إلى أنه على الرغم من أن النتائج واعدة، إلا أن النظام يحتاج إلى الاختبار مقابل مجموعات بيانات عامة وهجمات غير مرئية ومحكومة قبل أن يمكن الوثوق به للاستخدام العملي. ويقترح العمل اتجاهًا جديدًا وقويًا للأمن السيبراني، ينتقل من القوائم الثابتة إلى دفاع حي ومدرك يمكنه شرح منطقه الخاص.
غارق في أبحاث مجالك؟
تصلك نشرة يومية بأحدث الأبحاث المطابقة لكلماتك البحثية المفتاحية — مع ملخصات تقنية، بلغتك.