Resumen Técnico: AsmRAG (Detección de Malware mediante RAG a nivel de Ensamblador)

1. El Problema: El "Abismo de la Interpretabilidad" y la Fragilidad Sintáctica

Los detectores de malware basados en Deep Learning actuales (como EMBER o ResNeXt) presentan dos deficiencias críticas para los Centros de Operaciones de Seguridad (SOC):

• Falta de Interpretabilidad (Caja Negra): Estos modelos ofrecen veredictos probabilísticos (ej. "99% malicioso") pero no proporcionan contexto forense. Un analista no sabe qué parte del código es la responsable de la detección.
• Vulnerabilidad a la Ofuscación: Los modelos tradicionales dependen de estadísticas globales (entropía, histogramas de bytes, n-gramas). Los atacantes pueden evadir estos modelos mediante técnicas de "ruido sintáctico" (inserción de código muerto, intercambio de registros o cambios en el flujo de control) que alteran la apariencia del archivo sin cambiar su lógica maliciosa subyacente.

2. Metodología: De la Clasificación a la Recuperación Semántica

Los autores proponen AsmRAG, un marco que cambia el paradigma de la clasificación de conjuntos cerrados hacia la recuperación de evidencia basada en conjuntos abiertos. El sistema utiliza Generación Aumentada por Recuperación (RAG) aplicada directamente al código ensamblador.

El proceso se divide en tres etapas principales:

A. Construcción de la Base de Conocimientos (Knowledge Base)

1. Filtrado de Librerías Semántico: Para evitar que el código de librerías legítimas (como openssl o glibc) contamine la detección, el sistema no usa hashes (que son frágiles), sino un filtrado en el espacio de embeddings. Si una función es semánticamente muy similar a una librería conocida, se descarta.
2. Codificación Semántica (Embedding): Se utiliza un Modelo de Lenguaje de Gran Escala (LLM) especializado en código (Qwen3-Embedding) para convertir funciones de ensamblador en vectores densos. Este proceso es resiliente a la ofuscación porque mapea funciones con la misma lógica (aunque tengan instrucciones distintas) a coordenadas cercanas en un espacio vectorial.

B. Análisis Basado en Evidencia (Inferencia)

1. Votación Ponderada por Densidad: Para cada función de un archivo sospechoso, el sistema busca sus "vecinos" más cercanos en la base de datos. En lugar de un voto simple, utiliza un esquema donde las funciones más similares tienen más peso. Si una función se encuentra en una zona densa de funciones maliciosas conocidas, se marca como maliciosa.
2. Selección del "Anchor Function" (Función Ancla): El sistema identifica la función más representativa del malware dentro del binario sospechoso. No elige la más similar de forma aislada, sino la que tiene la mayor densidad de vecindad dentro de una familia de malware específica.

C. Generación de Explicaciones Forenses

Una vez identificada la función ancla y su "prueba" (el código malicioso original en la base de datos), un LLM genera una explicación en lenguaje natural. Esta explicación compara la lógica de ambas, explicando por qué son funcionalmente equivalentes (ej. "ambas implementan un algoritmo de cifrado XOR con la misma constante"), proporcionando así evidencia forense verificable.

3. Contribuciones Clave

1. Arquitectura AsmRAG: Un diseño de detección a nivel de función que utiliza RAG para fundamentar la detección en evidencia atómica.
2. Estrategia de Embedding Resiliente al Ruido: Uso de una canonicalización mínima para preservar artefactos críticos (como constantes criptográficas) mientras se ignora el ruido de la ofuscación.
3. Atribución por Función Ancla: Un mecanismo para localizar la lógica maliciosa exacta y generar explicaciones humanas.
4. Ciclo de Aprendizaje Activo: Permite que los analistas confirmen detecciones y estas se incorporen instantáneamente a la base de datos, permitiendo que el sistema evolucione sin necesidad de reentrenar todo el modelo.

4. Resultados Experimentales

El sistema fue probado con un conjunto de 40,814 binarios pertenecientes a 17 familias de malware:

• Precisión de Detección: Alcanzó un F1-score del 96%.
• Atribución de Familia: Logró un F1-score del 95% en la identificación de la familia de malware.
• Resiliencia a la Ofuscación: En pruebas de recompilación agresiva (niveles de optimización -O3), mientras que los modelos tradicionales (EMBER) perdieron hasta un 18% de eficacia, AsmRAG solo degradó su rendimiento en un 2.9%, demostrando una estabilidad semántica superior.
• Calidad de la Explicación: Las auditorías mostraron que el 91.1% de las afirmaciones hechas por el LLM en las explicaciones fueron "Soportadas" (verificables directamente en el código), con una tasa de alucinación extremadamente baja.

5. Significado y Conclusión

AsmRAG representa un cambio fundamental en la ciberseguridad defensiva. Al pasar de modelos que "adivinan" basándose en estadísticas de archivos a sistemas que "encuentran" lógica maliciosa mediante recuperación semántica, el marco logra dos objetivos vitales:

1. Robustez: Es mucho más difícil de engañar mediante técnicas de ofuscación de código.
2. Transparencia: Proporciona a los analistas de seguridad la "evidencia del crimen" en lugar de un simple número, permitiendo una respuesta rápida, informada y basada en hechos.