💻 computer science

Transparent Malware Detection With Granular Assembly Flow Explainability via Graph Neural Networks

Dieses Paper schlägt ein neuartiges Malware-Erkennungsframework vor, das Assembly Flow Graphs (AFG) und einen Meta-Coarsening-Ansatz nutzt, um Graph Neural Networks (GNNs) zu ermöglichen, sowohl eine hohe Inferenzleistung als auch eine granulare, transparente Erklärbarkeit zu erreichen, validiert am CIC-DGG-2025 Datensatz.

Ursprüngliche Autoren: Griffin Higgins, Roozbeh Razavi-Far, Hossein Shokouhinejad, Ali A. Ghorbani

Veröffentlicht 2026-02-02

📖 5 Min. Lesezeit🧠 Tiefgang

CC BY 4.0

Ursprüngliche Autoren: Griffin Higgins, Roozbeh Razavi-Far, Hossein Shokouhinejad, Ali A. Ghorbani

Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen

Das große Problem: Der „Black Box“-Detektiv

Stellen Sie sich vor, Sie haben einen superintelligenten Sicherheitsmann (eine KI), der sich ein Computerprogramm ansehen kann und Ihnen sofort sagt, ob es ein Virus (Malware) oder sicher ist. Dieser Wachmann ist sehr gut in seinem Job. Es gibt jedoch einen Haken: Der Wachmann sagt Ihnen nicht, warum er diese Entscheidung getroffen hat.

Wenn der Wachmann sagt: „Diese Datei ist gefährlich“, fragen Sie vielleicht: „Warum? Ist es der Teil, der Passwörter stiehlt? Ist es der Teil, der Dateien löscht?“ Der Wachmann zuckt nur mit den Schultern. In der Welt der Cybersicherheit ist das gefährlich. Wenn Sie nicht wissen, warung etwas markiert wurde, können Sie dem Wachmann nicht vertrauen und das Problem auch nicht effektiv beheben.

Die Lösung: Eine neue Karte (Das AFG)

Die Autoren dieser Arbeit wollten einen Wachmann bauen, der nicht nur Viren fängt, sondern auch mit dem Finger direkt auf die exakte Codezeile zeigt, die die Probleme verursacht. Um dies zu erreichen, entwickelten sie eine neue Art, Computerprogramme zu betrachten, die man Assembly Flow Graph (AFG) nennt.

Der alte Weg (CFG): Stellen Sie sich ein Programm als eine Karte von Städten (Basic Blocks) vor. Sie können die Straßen sehen, die die Städte verbinden, aber Sie können die einzelnen Häuser innerhalb der Städte nicht sehen. Wenn die KI sagt: „Stadt X ist schlecht“, wissen Sie nicht, welches Haus in Stadt X der Kriminelle ist.
Der neue Weg (AFG): Die Autoren haben herangezoomt. Sie haben die Karte so gedreht, dass jede einzelne Instruktion (jedes Haus) ein Knotenpunkt auf der Karte ist. Jetzt kann die KI das gesamte Viertel bis hin zu den einzelnen Ziegelsteinen sehen. Dies ermöglicht granulare Erklärungen – das Zeigen auf die ganz spezifische Instruktion, die verdächtig ist.

Die Herausforderung: Die Karte ist zu groß

Hier liegt das Problem: Ein Computerprogramm ist riesig. Wenn man eine Karte von jeder einzelnen Instruktion zeichnet, entsteht ein gigantisches, verworrenes Netz mit Millionen von Punkten und Linien. Zu versuchen, dieses riesige Netz mit einem Computer zu analysieren, ist wie der Versuch, ein Puzzle mit einer Milliarde Teilen zu lösen, während man Ofenhandschuhe trägt. Es dauert zu lange und bringt den Computer zum Absturz.

Der Trick: „Meta-Coarsening“ (Der Schrumpfstrahl)

Um das „Zu groß“-Problem zu lösen, erfanden die Autoren eine Methode namens Meta-Coarsening. Betrachten Sie dies als einen „Schrumpfstrahl“ für die Karte.

Schritt 1: Die grobe Skizze (Coarsening des CFG): Zuer das nehmen sie die riesige Karte und gruppieren die Städte zu „Super-Städten“. Sie schrumpfen die Karte auf eine handhabbare Größe. Das ist schnell und einfach zu verarbeiten.
Schritt 2: Die Detektivarbeit: Sie lassen ihren KI-Detektiv auf dieser kleinen, geschrumpften Karte laufen. Die KI findet die „Super-Stadt“, die verdächtig aussieht.
Schritt 3: Das Zurückzoomen (Backtracking): Sobald die KI auf eine „Super-Stadt“ zeigt, nutzen die Autoren einen speziellen Kartenschlüssel, um genau diesen Teil wieder „auszuschrumpfen“. Sie zoomen zurück auf die ursprüngliche, riesige Karte, um genau zu sehen, welche spezifischen Instruktionen (Häuser) innerhalb dieser Super-Stadt die Übeltäter sind.

Dies ist wie ein Detektiv, der ein Satellitenfoto eines ganzen Landes betrachtet, um ein schlechtes Viertel zu finden, und dann ein Hochleistungsteleskop benutzt, um in genau dieses Viertel hineinzuzoomen, um den exakten Kriminellen zu verhaften.

Die Ergebnisse: Was haben sie herausgefunden?

Das Team testete diese Methode an einem großen Datensatz von Computerprogrammen. Hier ist das passiert:

Es funktioniert: Die KI konnte immer noch zwischen guten und schlechten Programmen unterscheiden, selbst nachdem die Karte geschrumpft wurde. Tatsächlich half das Schrumpfen der Karte der KI sogar dabei, besser zu generalisieren (so wie das Zusammenkneifen der Augen bei einem unscharfen Bild manchmal hilft, das große Ganze zu sehen).
Es erklärt besser: Das wichtigste Ergebnis ist, dass sie endlich erklären konnten, warum ein Programm schlecht war. Sie konnten auf spezifische Assembly-Instruktionen zeigen.
Der „Beta“-Score: Sie entwickelten einen neuen Test (den sogenannten Beta-Score), um zu sehen, ob die Erklärung wirklich auf der Instruktionsebene liegt. Sie fanden heraus, dass die KI ohne ihre neue Methode vage war (wie die Aussage „die ganze Stadt ist schlecht“). Mit ihrer Methode war die KI präzise (die Aussage „diese spezifische Straße ist schlecht“).
Gute vs. schlechte Programme: Interessanterweise fanden sie heraus, dass es einfacher war zu erklären, warum ein Programm sicher (benigne) war, als warum es bösartig war. Malware ist oft darauf ausgelegt, hinterhältig und verwirrend zu sein, was es schwieriger macht, die exakte „böse“ Instruktion im Vergleich zur geradlinigen Logik sicherer Software zu lokalisieren.

Das Fazit

Diese Arbeit führt einen Weg ein, um KI-Malware-Detektoren transparent zu machen. Durch die Erstellung einer detaillierten Karte jeder Instruktion (AFG) und die Nutzung einer intelligenten Schrumpfungstechnik (Meta-Coarsening), um die Größe zu bewältigen, können sie Sicherheitsexperten nun genau sagen, welche Zeile Code gefährlich ist. Dies führt uns weg von „Die KI denkt, das ist schlecht“ hin zu „Die KI weiß, dass diese spezifische Instruktion schlecht ist, weil...“.

Technisches Resümee: Transparente Malware-Erkennung mit granularer Assembly-Flow-Erklärbarkeit mittels Graph Neural Networks

Problemstellung

Da Malware zunehmend komplexer und ausweichender wird, müssen Detektionssysteme gleichermaßen intelligent und transparent werden. Während Graph Neural Networks (GNNs), die auf Kontrollflussgraphen (Control Flow Graphs, CFGs) angewendet werden, vielversprechende Ergebnisse in der Malware-Erkennung gezeigt haben, leiden sie unter einem Mangel an intrinsischer Erklärbarkeit. Bestehende GNN-basierte Erklärbarkeitsmethoden für CFGs stehen vor einer kritischen Einschränkung: CFG-Knoten repräsentieren „Basic Blocks“ (Sequenzen von nicht-verzweigenden Instruktionen), wodurch die einzelnen Assembly-Instruktionen innerhalb dieser Blöcke verborgen bleiben. Folglich können GNNs keine granulare, auf Instruktionsebene basierende Erklärung liefern, was zu Unklarheiten darüber führt, welche spezifischen Instruktionen eine bösartige Vorhersage antreiben. Darüber hinaus macht das schiere Ausmaß von Assembly Flow Graphs (AFGs), die jede Instruktion als Knoten darstellen, die direkte Anwendung von GNNs hinsichtlich der Vorverarbeitung, des Embeddings und des Trainings rechnerisch unpraktikabel.

Methodik

Die Autoren schlagen ein neuartiges Framework vor, das auf dem Assembly Flow Graph (AFG) und einem Meta-Coarsening-Ansatz basiert, um granulare Erklärbarkeit bei gleichzeitiger Wahrung der rechnerischen Durchführbarkeit zu ermöglichen.

1. Graph-Konstruktion

Assembly Flow Graph (AFG): Im Gegensatz zu herkömmlichen CFGs, bei denen die Knoten Basic Blocks sind, ersetzt der AFG jeden CFG-Knoten durch eine einfach verkettete Liste seiner konstituierenden sequentiellen Assembly-Instruktionen. Kanten werden neu geroutet, um den Kopf und das Ende dieser Instruktionslisten zu verbinden, wodurch einen Graphen erzeugen, in dem jeder Knoten eine einzelne Instruktion repräsentiert.
Instruktions-Kodierung: Instruktionen werden mittels eines 1.103-Bit-Vektors kodiert, der aus der Capstone-Library abgeleitet ist und Opcodes, Präfixe sowie verschiedene Flags erfasst.

2. Meta-Coarsening-Ansatz

Um die Rechenkosten großer AFGs zu bewältigen, führen die Autoren eine zweistufige „Meta-Coarsening“-Pipeline ein:

Phase 1: CFG-Coarsening (C-CFG): Anstatt den massiven AFG direkt zu vergröbern (coarsening), vergröbern die Autoren den zugrunde liegenden CFG (die „Meta-Struktur“). Dies ist rechnerisch handhabbar und bewahrt die strukturelle Ähnlichkeit zum AFG. Ein GNN wird auf diesen vergröberten CFGs (C-CFGs) trainiert, und ein Explainer identifiziert wichtige Subgraphen auf dieser Ebene.
Phase 2: Backtracking und B-AFG-Training: Die in der C-CFG identifizierten wichtigen Subgraphen werden durch die Hierarchie zurück in den ursprünglichen AFG „zurückverfolgt“ (backtracked), wodurch ein Backtracked AFG (B-AFG) Datensatz entsteht. Dieser B-AFG enthält nur die spezifischen instruktionsebene-Knoten, die für die Erklärung relevant sind. Ein zweites, separates GNN wird auf diesen B-AFGs trainiert, um abschließende, granulare Erklärungen auf der Assembly-Instruktionsebene zu generieren.

3. Evaluierungsmetriken

Das Paper führt mehrere Metriken ein und nutzt diese, um die Qualität der Erklärung zu quantifizieren:

Fidelity-Scores ( $fid^+$ und $fid^-$ ): Messung der Notwendigkeit (das Entfernen des Subgraphen ändert die Vorhersage) und der Hinlänglichkeit (das Beibehalten nur des Subgraphen bewahrt die Vorhersage).
Charakterisierungs-Score ( $\lambda$ ): Ein gewichtetes harmonisches Mittel der Fidelity-Scores, angepasst, um die Übereinstimmung zwischen der C-CFG- und der B-AFG-Ebene zu messen.
$\beta$ -Indikator-Score: Eine neuartige Metrik zur Erkennung von Ambiguität. Sie gibt 0 zurück, wenn Erklärungen binär (eindeutig) sind, und einen positiven Wert, wenn sie nicht-binär (mehrdeutig) sind, wobei sie speziell den Unterschied zwischen Basic-Block-Ebene (mehrdeutig) und Instruktionsebene (eindeutig) hervorhebt.

Zentrale Beiträge

Assembly Flow Graph (AFG): Der Vorschlag einer neuartigen Graphrepräsentation, die den vollständigen Assembly-Instruktionsfluss einer Binärdatei erfasst und so eine Granularität auf Instruktionsebene ermöglicht.
Meta-Coarsening: Ein neuartiger Ansatz zur Verbesserung der rechnerischen Durchführbarkeit durch die Vergröberung des CFG, um den AFG zu approximieren, was es erlaubt, GNNs auf großskaligen Daten zu trainieren und dennoch die Fähigkeit zu behalten, zur Instruktionsebene zurückzukehren.
Granulare Erklärbarkeit: Die erste Demonstration einer GNN-basierten Malware-Detektion, die Erklärungen auf der spezifischen Assembly-Instruktionsebene liefert und somit die Mehrdeutigkeit inhärenter Basic-Block-CFGs auflöst.
Neuartige Metriken: Die Definition des $\beta$ -Indikator-Scores zur empirischen Messung der Erklärungsgranularität und die Anpassung des $\lambda$ -Scores zur Bewertung der konsistenten Erklärung über Ebenen hinweg.
Hyperparameter-Steuerung: Die Identifizierung von Hyperparametern (Vergröberungskoeffizient $r$ und Selektionspolicy $\epsilon$ ), die es Nutzern ermöglichen, zwischen Rechenanforderungen und Erklärungs-Expressivität abzuwägen.

Experimentelle Ergebnisse

Der Ansatz wurde unter Verwendung des CIC-DGG-2025 Datensatzes evaluiert, der Windows PE x86-Binärdateien enthält.

Inferenzleistung: Der Meta-Coarsening-Ansatz erreichte eine vergleichbare bis überlegene Genauigkeit gegenüber den Baselines. Insbesondere die Kron-Vergröberung mit einem Koeffizienten $r=0,25$ und Variation Edges mit $r=0,75$ lieferten die besten Ergebnisse (bis zu 89,8 % Durchschnittsgenauigkeit), was darauf hindeutet, dass moderate Vergröberung als Regularisierer wirken kann, der die Generalisierung verbessert.
Erklärbarkeit:
- Der $\lambda$ -Score war am höchsten (0,713) für Kron mit $r=0,25$ , was auf eine starke Übereinstimmung zwischen den groben und feinkörnigen Erklärungen hindeutet.
- Fidelity-Analyse: Die C-CFG-Ebene zeigte eine hohe Notwendigkeit ( $fid^+$ ), was bedeutet, dass das Entfernen identifizierter Subgraphen zur Fehlklassifizierung führte. Die B-AFG-Ebene zeigte eine hohe Hinlänglichkeit ( $fid^-$ ), was bedeutet, dass die ausgewählten Instruktions-Subgraphen allein ausreichten, um die korrekte Vorhersage aufrechtzuerhalten.
- Granularität: Der $\beta$ -Indikator war 1 für alle (C-)CFG-Ebenen (was auf Mehrdeutigkeit hindeutet) und 0 für alle B-AFG-Ebenen (was eindeutige, binäre Instruktionsebene-Erklärungen anzeigt).
Klassenunterschiede: Die Studie beobachtete, dass Benign-Proben (gutartige Dateien) generell besser erklärbar waren als Malicious-Proben (bösartige Dateien). Malicious-Klassen zeigten niedrigere Charakterisierungs-Scores, was darauf hindeutet, dass sie schwerer zu erklären oder konsistent vorherzusagen sind.

Bedeutung und Behauptungen

Das Paper behauptet, das erste Werk zu sein, das granulare Erklärbarkeit in der Malware-Detektion mittels GNNs auf der Assembly-Instruktionsebene betrachtet. Die Autoren betonen, dass zwar frühere Arbeiten CFGs oder Opcode-Graphen genutzt haben, diese jedoch aufgrund der Aggregation von Instruktionen in Basic Blocks keine eindeutigen Erklärungen auf Instruktionsebene liefern konnten.

Die Bedeutung dieser Arbeit liegt in ihrer Fähigkeit:

Ein transparentes Detektionssystem bereitzustellen, bei dem Verteidiger genau verstehen können, welche Instruktionen zu einer bösartigen Klassifizierung beitragen.
Die rechnerischen Barrieren der Anwendung von GNNs auf massive instruktionsebene-Graphen durch die Meta-Coarsening-Strategie zu überwinden.
Ein Framework anzubieten, um den Trade-off zwischen Graphgröße und Detailgrad der Erklärung durch Hyperparameter zu steuern.

Die Autoren kommen zu dem Schluss, dass ihr Ansatz erfolgreich Assembly-Ebene-Erklärungen liefert, was eine Grundlage für zukünftige Arbeiten in der großskaligen Malware-Detektions-Erklärbarkeit bildet und Verteidiger bei der Charakterisierung von Malware-Verhalten unterstützt. Sie räumen Einschränkungen hinsichtlich der Generalisierung auf andere Binärformate und das Potenzial für adversarielles Ausweichen (Adversarial Evasion) ein, wobei sie anmerken, dass zukünftige Arbeiten adversarielles Training oder statische Generierungsmethoden untersuchen könnten, um diese Probleme zu mildern.