Multi-View Decompilation for LLM-Based Malware Classification
Diese Arbeit zeigt auf, dass die Nutzung komplementärer Pseudo-C-Ansichten aus mehreren Decompilern (Ghidra und RetDec) als Input für Large Language Models die Recall- und F1-Scores der Malware-Klassifizierung im Vergleich zu Single-View-Ansätzen signifikant verbessert und somit eine einfache, trainingsfreie Strategie für eine verbesserte Malware-Triage bietet.
Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen
Stellen Sie sich vor, Sie sind ein Detektiv, der herausfinden will, ob eine mysteriöse, verschlossene Box ein harmloses Geschenk oder eine gefährliche Falle enthält. Das Problem ist jedoch, dass die Box aufgestemmt wurde und Ihnen nur noch zwei verschiedene, leicht chaotische Haufen der zerbrochenen Teile übrig geblieben sind.
Dieses Papier handelt von einer neuen Art und Weise, wie Künstliche Intelligenz (KI) als dieser Detektiv agieren kann.
Das Problem: Ein zerbrochener Spiegel
Normalerweise können Sicherheitsexperten, wenn sie ein Computerprogramm (eine „Binary“) analysieren, den ursprünglichen, sauberen Quellcode nicht sehen. Stattdessen verwenden sie ein Werkzeug namens Decompiler, um zu versuchen, das Programm aus seinen zertrümmerten Teilen wieder in etwas zu rekonstruieren, das wie lesbarer Text (Pseudo-C-Code) aussieht.
Stellen Sie sich einen Decompiler wie einen zerbrochenen Spiegel vor. Wenn Sie Ihr Spiegelbild in einem zerbrochenen Spiegel betrachten, sehen Sie Ihr Gesicht, aber es ist verzerrt.
- Spiegel A (Ghidra) könnte Ihre Nase ein wenig in die Länge ziehen.
- Spiegel B (RetDec) könnte Ihre Augen anders zusammenkneifen.
Beide Spiegel zeigen dieselbe Person, aber sie zeigen unterschiedliche „Gl glitches“ oder Verzerrungen.
In der Vergangenheit baten Forscher die KI, sich nur einen Spiegel (die Ausgabe eines einzelnen Decompilers) anzusehen, um zu entscheiden, ob der Code „gut“ (benigne) oder „schlecht“ (maliziös) ist. Die Autoren dieses Papiers argumentierten, dass dies riskant ist. Wenn Spiegel A ein gefährliches Merkmal verbirgt, indem er es zu sehr in die Länge zieht, übersieht die KI es vielleicht. Wenn Spiegel B es übersieht, indem er die Augen zusammenkneift, übersieht die KI es ebenfalls.
Die Lösung: Die „Zwei-Spiegel“-Strategie
Die Forscher stellten eine einfache Frage: Was wäre, wenn wir der KI beide Spiegel gleichzeitig zeigen?
Sie erstellten einen Testdatensatz aus 100 Programmen: 50 waren harmlose Hilfsprogramme (wie ein Taschenrechner oder ein Dateimanager) und 50 waren echte Malware (wie Viren, Spyware und Bots). Sie ließen jedes einzelne Programm durch zwei verschiedene Decompiler (Ghidra und RetDec) laufen und erzeugten so für jede Probe zwei verschiedene „Ansichten“ desselben Codes.
Dann baten sie verschiedene KI-Modelle, Folgendes zu betrachten:
- Nur die Ansicht von Spiegel A.
- Nur die Ansicht von Spiegel B.
- Beide Ansichten zusammen.
Was sie herausfanden
Die Ergebnisse waren wie das Beobachten eines Detektivs, der einen Fall löst, indem er zwei Zeugenaussagen vergleicht.
- Der „Einzelspiegel“-Fehler: Wenn die KI nur eine Ansicht betrachtete, war sie oft verwirrt. Manchmal ließ Spiegel A ein Virus harmlos erscheinen, und manchmal tat es Spiegel B. Die KI übersah die Bösewichte, weil der „Glitch“ in diesem speziellen Spiegel die Beweise verbarg.
- Der „Zwei-Spiegel“-Gewinn: Als die KI beide Ansichten gleichzeitig sah, wurde sie viel besser darin, die Bösewichte zu fangen.
- Wenn Spiegel A ein gefährliches Merkmal verbarg, zeigte Spiegel B es oft deutlich an.
- Wenn Spiegel B verrauscht und verwirrend war, war Spiegel A oft klar.
- Durch die Kombination beider Ansichten konnte die KI „die Lücken füllen“ und das Gesamtbild sehen.
Das Papier fand heraus, dass dieser „Zwei-Spiegel“-Ansatz nicht erforderte, der KI etwas Neues beizubringen oder sie mit neuen Daten zu trainieren. Es war ein einfaches, kostenloses Upgrade: Man gab der KI einfach mehr Informationen aus verschiedenen Blickwinkeln.
Die Analogie des „Konsenses“
Die Forscher versuchten auch eine clevere Abkürzung. Sie sagten: „Wenn Spiegel A und Spiegel B beide zustimmen, dass der Code sicher ist, dann vertrauen wir ihnen. Aber wenn sie sich uneinig sind, schauen wir uns beide Ansichten zusammen an, um herauszufinden, wer recht hat.“
Dies funktionierte gut, aber die besten Ergebnisse erzielte man, indem man der KI einfach jedes Mal beide Ansichten zeigte. Es stellte sich heraus, dass selbst wenn die Spiegel übereinstimmten, das Vorhandensein beider Ansichten der KI half, sicherer und präziser zu sein.
Das Fazit
Das Papier kommt zu dem Schluss, dass es, sich auf einen einzigen Decompiler zu verlassen, so ist, als würde man versuchen, ein Puzzle mit halb fehlenden Teilen zu lösen. Indem man mehrere Decompiler nutzt, um der KI verschiedene Perspektiven auf denselben Code zu geben, kann man mehr Malware entdecken, ohne eine intelligentere KI bauen oder sie länger trainieren zu müssen. Es ist ein einfacher, praktischer Trick, der die aktuellen KI-Werkzeuge viel zuverlässiger macht, um digitale Bedrohungen aufzuspüren.
Ertrinken Sie in Arbeiten in Ihrem Fachgebiet?
Erhalten Sie tägliche Digests der neuesten Arbeiten passend zu Ihren Forschungsbegriffen — mit technischen Zusammenfassungen, in Ihrer Sprache.