💻 computer science

FOCA: Multimodal Malware Classification via Hyperbolic Cross-Attention

Este artículo presenta FOCA, un novedoso marco de clasificación de malware multimodal que transforma binarios en representaciones de audio y visuales y aprovecha el espacio hiperbólico con mecanismos de atención cruzada para capturar relaciones jerárquicas intrínsecas, logrando un rendimiento de vanguardia en conjuntos de datos de referencia.

Autores originales: Nitin Choudhury, Bikrant Bikram Pratap Maurya, Orchid Chetia Phukan, Arun Balaji Buduru

Publicado 2026-01-27

📖 4 min de lectura☕ Lectura para el café

CC BY 4.0

Autores originales: Nitin Choudhury, Bikrant Bikram Pratap Maurya, Orchid Chetia Phukan, Arun Balaji Buduru

Artículo original bajo licencia CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta es una explicación generada por IA del artículo a continuación. No ha sido escrita ni avalada por los autores. Para mayor precisión técnica, consulte el artículo original. Leer descargo de responsabilidad completo

Imagina que estás intentando identificar un tipo específico de criminal (un "malware" o virus) escondido dentro de un archivo informático. Tradicionalmente, los expertos en seguridad han examinado estos archivos como un detective leyendo una lista de ingredientes (el código bruto). Pero los hackers son astutos; a menudo disfrazan sus ingredientes para que el detective no pueda reconocerlos.

Los investigadores de este artículo, FOCA, decidieron probar un enfoque diferente. En lugar de solo leer el código, convirtieron el archivo en dos tipos diferentes de experiencias sensoriales: una canción (audio) y una imagen (visual).

Así es como funciona su sistema, explicado de forma sencilla:

1. Convertir el código en sentidos

Piensa en un archivo informático como una larga cadena de números.

El enfoque de audio: Convirtieron estos números en ondas sonoras. Es como escuchar el archivo. Algunos patrones pueden sonar como un ritmo de batería constante, mientras que otros pueden sonar como estática caótica. Esto ayuda a captar pistas diminutas y detalladas a nivel de "byte".
El enfoque visual: Convirtieron los mismos números en una imagen. Imagina tomar los números y pintarlos en una cuadrícula de colores. Esto crea un "mapa" que muestra la estructura y la forma general del archivo.

2. El problema de la mezcla

Normalmente, cuando intentas combinar una canción y una imagen para resolver un rompecabezas, simplemente las mezclas. Los investigadores se dieron cuenta de que esto es como intentar mezclar aceite y agua; no se mezclan bien porque tienen diferentes "formas" o estructuras.

En el mundo de la informática, la mayoría de los sistemas utilizan el espacio euclídeo (piensa en ello como un mapa plano y de líneas rectas). En un mapa plano, es difícil mostrar cómo una cosa está "dentante" o "encima" de otra en una jerarquía compleja. Pero el malware tiene una jerarquía oculta: los detalles sonoros diminutos son la base, y los patrones visuales grandes son el techo.

3. La solución: Un mapa curvo (Espacio Hiperbólico)

Para solucionar el problema de la mezcla, FOCA utiliza un truco matemático especial llamado Espacio Hiperbólico.

La analogía: Imagina un mapa plano (euclídeo) frente a un embudo o un arrecife de coral (hiperbólico). Un mapa plano se satura rápidamente si intentas dibujar un árbol con muchas ramas. Un embudo, sin embargo, se ensancha a medida que avanzas, dejando suficiente espacio para que cada rama se asiente cómodamente sin tocarse entre sí.
El beneficio: Este espacio "curvo" es perfecto para mostrar la relación entre el audio (los detalles pequeños) y lo visual (la estructura grande). Respeta el "árbol genealógico" natural de los datos.

4. El mecanismo de "Atención Cruzada" (Cross-Attention)

Una vez que los datos están en este mapa curvo, FOCA utiliza un mecanismo de Atención Cruzada Hiperbólica.

La analogía: Imagina que tienes a un detective escuchando una canción y mirando una foto. En un sistema normal, podrían estar gritándose el uno al otro. En FOCA, tienen un "traductor" especial que les ayuda a enfocarse exactamente en las partes adecuadas de la canción que coinciden con las partes adecuadas de la foto.
Este traductor asegura que las pistas de audio y visual se alineen perfectamente, incluso mientras están en ese mapa curvo con forma de embudo.

5. Los resultados

Los investigadores probaron este sistema en dos grandes colecciones de archivos de malware conocidos (llamadas Mal-Net y CICMalDroid2020).

El resultado: FOCA fue mejor detectando los archivos maliciosos que:
- Sistemas que solo escuchaban el audio.
- Sistemas que solo miraban las imágenes.
- Sistemas que intentaban mezclar audio e imágenes usando los viejos métodos de "mapa plano".
De hecho, se convirtió en el nuevo estado del arte (State-of-the-Art) para estas pruebas específicas.

Resumen

En resumen, FOCA es una nueva forma de atrapar virus informáticos. En lugar de solo leer el código, convierte el código en música y arte. Luego utiliza un mapa matemático curvo especial para ayudar a que la música y el arte se entiendan perfectamente entre sí, lo que resulta en un guardia de seguridad mucho más inteligente y preciso de lo que hemos tenido hasta ahora.

Nota: El artículo afirma que este método funciona específicamente para clasificar malware en estos dos conjuntos de datos. No afirma que funcione con otros tipos de datos o en otros escenarios del mundo real fuera de este contexto específico.

Resumen Técnico: FOCA – Clasificación de Malware Multimodal mediante Atención Cruzada Hiperbólica

Planteamiento del Problema
La clasificación de malware enfrenta un persistente desafío de "gato y ratón" donde los atacantes utilizan la ofuscación y el polimorfismo para evadir las defensas tradicionales basadas en firmas. Si bien los enfoques de aprendizaje automático y aprendizaje profundo han mejorado la detección, a menudo tienen dificultades con las amenazas en evolución. Investigaciones recientes han explorado la conversión de archivos binarios brutos en modalidades alternativas, como imágenes (visuales) y audio (formas de onda), para aprovechar modelos preentrenados. Sin embargo, los métodos de fusión multimodal existentes suelen depender del espacio euclídeo, el cual no logra capturar la relación jerárquica intrínseca entre las diferentes modalidades de datos. Específicamente, mientras que las representaciones de audio pueden codificar características de nivel de bytes de grano fino, las representaciones visuales capturan patrones estructurales de alto nivel, las estrategias de fusión actuales (por ejemplo, concatenación simple o atención cruzada estándar) no modelan explícitamente esta jerarquía, lo que limita su potencial para una clasificación robusta.

Metodología
Los autores proponen FOCA (FusiOn with Hyperbolic Cross-Attention), un marco diseñado para fusionar las modalidades de audio y visual dentro de un espacio hiperbólico para modelar mejor sus dependencias jerárquicas. La metodología avanza a través de las siguientes etapas:

Transformación Binario-a-X:
- Modalidad de Audio: Las secuencias de bytes brutos de los archivos APK-dex se mapean en muestras de formas de onda de series temporales continuas (archivos .wav).
- Modalidad Visual: Los bytes brutos se tratan como enteros sin signo (0–255), se concatenan en un arreglo unidimensional y se remodelan en matrices bidimensionales donde las secciones de cabecera, datos y el resto se mapean a canales RGB, creando representaciones de imagen.
Extracción de Representación:
- Audio: Se utilizan modelos preentrenados (PTM) de vanguardia (SOTA)—Wav2vec2, WavLM y HuBERT—para extraer incrustaciones (embeddings) de 768 dimensiones mediante el pooling de la media de sus últimas capas ocultas.
- Visual: Se utilizan PTM de visión SOTA—ResNet50, VGG19 y ViT—para extraer incrustaciones (2048, 4096 o 768 dimensiones) mediante el pooling promedio.
- Procesamiento Unimodal: Las características extraídas pasan por una arquitectura basada en CNN (dos capas de 1D-CNN con max pooling) antes de entrar en el módulo de fusión.
Fusión Hiperbólica (Núcleo de FOCA):
- Proyección Hiperbólica: Las características euclídeas se proyectan en la bola de Poincaré ( $B^d$ ) utilizando el mapa exponencial en el origen.
- Atención Cruzada Hiperbólica (HCA): Un mecanismo novedoso alinea las modalidades de audio y visual. A diferencia de la atención estándar, la HCA calcula los pesos de atención utilizando la distancia hiperbólica ( $d_H$ ) en la bola de Poincaré, asegurando una alineación sensible a la curvatura de las consultas (queries), claves (keys) y valores (values).
- Fusión de Möbius: Los valores atendidos se agregan utilizando la suma de Möbius ( $\oplus_H$ ) y la multiplicación escalar ( $\otimes_H$ ), operaciones específicas de la geometría hiperbólica. La representación final fusionada se mapea de nuevo al espacio euclídeo mediante el mapa logarítmico para la clasificación.

Contribuciones Clave
El artículo reclama tres contribuciones primarias:

Primera Exploración de la Jerarquía: Es el primer estudio que explora y modela explícitamente la relación jerárquica entre las modalidades de audio (grano fino) y visual (estructural) para la clasificación de malware.
Marco Novedoso (FOCA): La propuesta de un marco multimodal que aprovecha el espacio hiperbólico para fusionar estas modalidades, introduciendo un mecanismo de Atención Cruzada Hiperbólica y una capa de fusión basada en la suma de Möbius.
Superioridad Empírica: Experimentos extensos demuestran que FOCA supera consistentemente a los modelos unimodales y a las bases multimodales basadas en el espacio euclídeo (incluyendo la concatenación simple y la atención cruzada estándar), estableciendo un nuevo estado del arte (SOTA) en el rendimiento.

Resultados Experimentales
El marco fue evaluado en dos conjuntos de datos de referencia: Mal-Net (filtrado a 8,000 muestras en 10 clases) y CICMalDroid2020 (17,341 muestras en 5 clases).

Rendimiento: FOCA alcanzó la mayor precisión y puntuaciones de macro-F1 en todas las configuraciones probadas.
- En CICMalDroid2020, la mejor configuración (HuBERT $\oplus_H$ ViT) logró un 99.10% de precisión y un 98.85% de macro-F1, superando el SOTA anterior (Yang et al.) que reportó un 98.52% de precisión.
- En Mal-Net, la mejor configuración logró un 82.84% de precisión, superando al SOTA anterior (Samaneh et al. con 41.73% y Scott et al. con 70.12%).
Análisis Comparativo:
- FOCA superó consistentemente a las bases de concatenación simple y de atención cruzada euclídea.
- Las visualizaciones de t-SNE indicaron que FOCA produce clústeres más distintos y compactos en comparación con la atención cruzada euclídea, lo que sugiere una mejor separación de las familias de malware.
- Entre las bases unimodales, las representaciones de audio generalmente superaron a las representaciones de imagen, aunque ningún modelo de audio dominó de forma absoluta en ambos conjuntos de datos.

Significancia y Reclamaciones
Los autores posicionan este trabajo como un paso pionero en la clasificación de malware al unir el modelado de relaciones jerárquicas con enfoques sensibles a la geometría. Reclaman que FOCA es el primer estudio en aprovechar el espacio hiperbólico para la fusión de representaciones multimodales en la clasificación de malware. Al ir más allá de las restricciones euclídeas, el marco ofrece una ventaja fundamentada para alinear modalidades con diferentes niveles de abstracción. El trabajo establece la fusión multimodal hiperbólica como una nueva dirección prometedora para el campo, proporcionando una solución robusta que se adapta a la naturaleza evolutiva de las amenazas de malware. El código y los modelos entrenados se ponen a disposición pública para apoyar la reproducibilidad.