🤖 AI

Routing-Aware Explanations for Mixture of Experts Graph Models in Malware Detection

Diese Arbeit stellt ein erklärbares Mixture-of-Experts-Modell für die Malware-Erkennung mittels Kontrollflussgraphen vor, das durch eine zweistufige Diversität in der Knoten- und Lesestufe sowie routergesteuerte Edge-Attributionen sowohl hohe Detektionsgenauigkeit als auch transparente Entscheidungsfindung erreicht.

Ursprüngliche Autoren: Hossein Shokouhinejad, Roozbeh Razavi-Far, Griffin Higgins, Ali. A Ghorbani

Veröffentlicht 2026-02-24

📖 4 Min. Lesezeit☕ Kaffeepausen-Lektüre

CC BY 4.0

Ursprüngliche Autoren: Hossein Shokouhinejad, Roozbeh Razavi-Far, Griffin Higgins, Ali. A Ghorbani

Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen

Stellen Sie sich vor, Sie sind ein Sicherheitsdetektiv, der versuchen muss, einen Dieb in einem riesigen, verworrenen Labyrinth zu finden. Das Labyrinth ist ein Computerprogramm, und der Dieb ist die schädliche Software (Malware).

In der Vergangenheit haben Detektive oft nur nach einem einzigen, starren Merkmal gesucht (wie einem Fingerabdruck). Aber moderne Dieb sind schlau: Sie verkleiden sich, ändern ihre Kleidung oder nutzen geheime Durchgänge. Ein einzelner Blick reicht nicht mehr.

Hier kommt die Idee dieses Forschungsprojekts ins Spiel: Ein Team von Spezialisten statt eines einzelnen Detektivs.

1. Das Labyrinth: Der Programmfluss (CFG)

Stellen Sie sich ein Computerprogramm nicht als eine lange Textliste vor, sondern als eine Landkarte mit vielen Wegen. Jeder Punkt auf der Karte ist ein kleiner Schritt im Programm (ein "Befehl"), und die Linien zeigen, wohin es weitergehen kann. Diese Landkarte nennen die Forscher "Control Flow Graph" (CFG).

Das Problem: Ein normales Programm ist wie eine gerade Straße. Ein Virus ist wie ein Labyrinth mit vielen Sackgassen, Schleifen und versteckten Türen.

2. Das Team: Das "Mixture of Experts" (MoE)

Anstatt einen einzigen, super-intelligenten KI-Modell zu bauen, das alles wissen muss, bauen die Forscher ein Team aus sechs verschiedenen Experten. Jeder Experte hat eine andere Art, die Landkarte zu betrachten:

Experte A schaut nur auf die Durchschnittswerte: "Wie sieht der typische Weg aus?"
Experte B sucht nach Extremen: "Gibt es hier einen riesigen, verdächtigen Sprung?"
Experte C achtet auf die Verbreitung: "Sind die Wege hier sehr unterschiedlich oder alle gleich?"
Experte D ignoriert die Größe der Knotenpunkte.
Experte E gewichtet große Knotenpunkte höher (weil sie oft wichtiger sind).
Experte F kombiniert beides.

Jeder Experte ist wie ein Spezialist, der nur auf seine Art von Verdacht trainiert wurde.

3. Der Türsteher: Der "Router"

Jetzt haben wir sechs Experten, aber wer entscheidet am Ende, wer recht hat? Hier kommt der Router (der Türsteher) ins Spiel.
Wenn ein neues Programm (ein "Labyrinth") zur Prüfung kommt, schaut sich der Router das Programm kurz an und sagt:
"Für dieses spezielle Programm sind Experte B und Experte E am besten geeignet. Die anderen vier können sich zurücklehnen."

Der Router wählt also nur die Top-2-Experten aus, die für diesen Fall am wichtigsten sind, und mischt ihre Meinungen. Das ist effizienter und genauer, als wenn alle sechs immer gleichzeitig schreien müssten.

4. Die Erklärung: Warum wurde das so entschieden?

Das ist der wichtigste Teil für die Sicherheit: Vertrauen.
Wenn ein Computer sagt "Das ist ein Virus!", wollen wir wissen: Warum?

Hat er einen bestimmten Code-Schnipsel gesehen?
War es eine seltsame Schleife?

Bei herkömmlichen Modellen ist das oft ein "Black Box"-Geheimnis. Bei diesem neuen System ist es anders:
Da wir wissen, welche Experten der Router ausgewählt hat (z. B. Experte B und E), können wir genau nachfragen:
"Experte B, was hast du gesehen, das dich verdächtig gemacht hat?"
"Experte E, was war dein Hinweis?"

Der Router kombiniert dann diese Hinweise. Die Erklärung lautet also nicht nur "Es ist ein Virus", sondern: "Es ist ein Virus, weil Experte B eine seltsame Schleife sah und Experte E eine ungewöhnliche Verzweigung fand, und der Router war sich zu 80% sicher, dass diese beiden recht haben."

5. Das Ergebnis: Besser und verständlicher

Die Forscher haben ihr System mit alten Methoden verglichen. Das Ergebnis?

Genauigkeit: Das Team von Spezialisten (MoE) findet mehr Viren und macht weniger Fehler als ein einzelner "Super-Detektiv".
Stabilität: Selbst wenn man das Labyrinth ein bisschen verändert (wie es Hacker versuchen), bleibt das Team stabil.
Transparenz: Man kann genau nachvollziehen, welche Teile des Programms den Alarm ausgelöst haben.

Zusammenfassung in einem Satz

Statt einen einzigen, überlasteten KI-Detektiv zu haben, der alles wissen muss, nutzen diese Forscher ein flexibles Team von Spezialisten, die von einem intelligenten Türsteher ausgewählt werden, um Viren in Computerprogrammen zu finden – und sie können genau erklären, welcher Spezialist welchen Hinweis gefunden hat.

Das macht die Sicherheit nicht nur stärker, sondern auch verständlicher für die Menschen, die sie überwachen.

1. Problemstellung

Die Erkennung moderner Malware stellt aufgrund der zunehmenden Komplexität, Verschlüsselung (Obfuskation) und dynamischen Verhaltensweisen eine große Herausforderung dar. Traditionelle signaturbasierte Methoden sind oft unzureichend. Während dynamische Analysen (z. B. durch Überwachung des Programmverhaltens) robustere Beweise liefern, erzeugen sie komplexe Datenstrukturen wie Control Flow Graphs (CFGs).

Graph Neural Networks (GNNs) eignen sich gut zur Modellierung dieser Strukturen, jedoch neigen einzelne Modelle dazu, sich auf spezifische Muster zu spezialisieren und generalisieren schlecht über die enorme Vielfalt an Malware-Familien und Packern hinweg. Zudem fehlt es an Erklärbarkeit (Explainability): Es ist oft unklar, welche Teile des Graphen (z. B. welche Kanten oder Knoten) zu einer Vorhersage geführt haben, was für Sicherheitsanalysten kritisch ist, um Alarme zu validieren.

Das Paper adressiert zwei Hauptprobleme:

Wie kann man die Vorhersagegenauigkeit von GNNs für Malware-Erkennung steigern, indem man die Vielfalt der Graphstrukturen besser nutzt?
Wie kann man die Entscheidungen von Ensemble-Modellen (insbesondere Mixture of Experts, MoE) transparent und nachvollziehbar machen, indem man die Rolle des „Routers" in die Erklärung integriert?

2. Methodik

Das vorgeschlagene Framework ist ein Routing-Aware Mixture of Experts (MoE) Modell, das speziell für CFGs entwickelt wurde. Es besteht aus folgenden Komponenten:

A. CFG-Extraktion und Feature-Embedding

Extraktion: CFGs werden dynamisch-symbolisch aus Portable Executable (PE) Dateien extrahiert (unter Verwendung von angr), um Laufzeitverhalten abzubilden.
Zweistufiges Embedding:
1. Regelbasierte Kodierung: Jede Assembler-Anweisung in einem Basic Block wird in einen 439-dimensionalen Vektor zerlegt (Prefix, Opcode, ModRM, SIB, Displacement, Immediate, Option).
2. Autoencoder: Ein Autoencoder komprimiert diese hochdimensionalen Vektoren auf einen kompakten latenten Raum (64 Dimensionen), um effiziente Knotenmerkmale zu erhalten.

B. Zwei-Ebenen-Diversität im MoE-Modell

Das Modell baut Diversität auf zwei Ebenen auf:

Knotenebene (Node-Level):
- Jede GNN-Schicht berechnet mehrere Nachbarschaftsstatistiken parallel.
- Variationen werden durch zwei Parameter gesteuert:
  - $\rho \in \{0, 1\}$ : Steuert die Gewichtung (uniform vs. Grad-gewichtet).
  - $\lambda \in \{\text{mean}, \text{std}, \text{max}\}$ : Steuert die Aggregationsfunktion (Mittelwert, Standardabweichung, Maximum).
- Diese sechs Kombinationen werden durch einen leichten MLP (Multi-Layer Perceptron) fusioniert, um diverse Knotenrepräsentationen zu erzeugen.
Lese-Ebene (Readout-Level / Experten):
- Es gibt sechs spezialisierte Experten, wobei jeder Experte einer spezifischen $(\rho, \lambda)$ -Kombination entspricht.
- Jeder Experte aggregiert die finalen Knotenrepräsentationen zu einem graph-level Vektor und erzeugt eigene Logits (Vorhersagen).

C. Top-k Routing mit Load Balancing (LB)

Ein Gating Network (Router) empfängt die Concatenation aller Experten-Outputs.
Es berechnet Wahrscheinlichkeiten für jeden Experten und wendet eine Top-k Selektion an (im Paper meist Top-2), um nur die relevantesten Experten für ein bestimmtes Eingabe-Graphen zu aktivieren.
Ein Load-Balancing-Loss wird hinzugefügt, um zu verhindern, dass sich das Modell nur auf einen oder wenige Experten verlässt (Expert Collapse) und die Nutzung über alle Experten verteilt.

D. Routing-Aware Post-Hoc Erklärungen

Anstatt das gesamte Modell zu erklären, werden Erklärungen pro aktiviertem Experten generiert (z. B. mittels Integrated Gradients oder Maskierung).
Die finalen Erklärungen (Kanten-Importanz) werden gewichtet mit den Gate-Werten ( $\alpha$ ) des Routers aggregiert:
$\beta^{(a,j)} = \sum_{i=1}^{k} \alpha_i \cdot \beta^{(i,j)}$
Dies stellt sicher, dass die Erklärung widerspiegelt, welche Experten das Modell gewählt hat und wie stark sie zur Entscheidung beigetragen haben.

3. Wichtige Beiträge

End-to-End Framework: Ein einheitliches System für CFG-Erstellung, zweistufiges MoE-GNN-Modellierung und routing-bewusste Erklärungen.
Zwei-Ebenen-Diversität: Eine innovative Architektur, die Knoten-Diversität durch multi-statistische Kodierung und Experten-Diversität durch spezialisierte Readouts kombiniert.
Routing-Aware Explainability: Eine neue Methode zur Generierung von Erklärungen, die die dynamische Auswahl der Experten durch den Router explizit berücksichtigt, anstatt nur eine statische Aggregation zu verwenden.
Umfassende Evaluation: Evaluation nicht nur auf Genauigkeit, sondern auch auf „Fidelity" (Treue der Erklärung) und „Characterization Score" unter verschiedenen Sparsity-Perturbationen.

4. Ergebnisse

Das Modell wurde auf einem Datensatz aus Malware (BODMAS, PMML) und benigner Software (DikeDataset) getestet und mit State-of-the-Art GNNs (GCN, GAT, GIN, GraphSAGE) sowie anderen Ensemble-Methoden verglichen.

Genauigkeit: Das vorgeschlagene Top-2 MoE mit Load Balancing erreichte die beste Genauigkeit von 93,59 %. Dies übertrifft die besten Single-Expert-Baselines (ca. 89,10 %) und andere MoE-Varianten (z. B. Top-1 oder ohne LB).
- Hohe Präzision für Benign (96,23 %) und hohe Recall für Malware (97,94 %).
Expertennutzung: Die Analyse der Gate-Verteilungen zeigte, dass Load Balancing die Nutzung aller sechs Experten gleichmäßiger verteilt und verhindert, dass das Modell nur eine einzige Experten-Kombination (z. B. E4+E6) dominiert.
Erklärbarkeit (Fidelity & Characterization):
- Die Top-2 MoE mit LB-Konfiguration erzielte die höchsten Characterization Scores über alle Sparsity-Level hinweg.
- Dies bedeutet, dass die identifizierten Subgraphen sowohl notwendig (Fidelity+) als auch hinreichend (Fidelity-) für die Vorhersage sind.
- Routing-aware Erklärungen waren stabiler und vertrauenswürdiger als Erklärungen für uniforme Aggregation oder Temperature-Softmax-Varianten.

5. Bedeutung und Fazit

Das Paper zeigt, dass die explizite Modellierung von Experten-Auswahl und Lastverteilung nicht nur die Vorhersagegenauigkeit bei der Malware-Erkennung verbessert, sondern auch die Interpretierbarkeit der Entscheidungen signifikant steigert.

Transparenz: Sicherheitsanalysten erhalten Erklärungen, die den tatsächlichen Entscheidungsprozess des MoE-Modells widerspiegeln (d.h. welche Strukturmerkmale durch welche Experten gewichtet wurden).
Robustheit: Die Kombination aus multiplen Statistiken und dynamischer Routing-Logik macht das System robuster gegenüber der Vielfalt von Malware-Verhalten.
Zukunftsperspektive: Die Autoren schlagen vor, das Framework auf multimodale Graphen (API-Calls, System-Calls) zu erweitern und adaptive Routing-Mechanismen zu entwickeln.

Zusammenfassend demonstriert die Arbeit, dass Routing-Awareness ein Schlüsselfaktor ist, um die Black-Box-Natur komplexer Graph-Ensemble-Modelle in der Cybersicherheit zu durchbrechen und gleichzeitig die Leistung zu maximieren.