Resumen Técnico: Clasificación Escalable de Familias de Malware mediante Aprendizaje Automático Basado en Núcleos Cuánticos

Planteamiento del Problema

La clasificación de familias de malware es una tarea crítica en la ciberseguridad, esencial para la atribución de amenazas, el análisis de linaje y el desarrollo de estrategias de defensa. Sin embargo, la tarea se ha vuelto cada vez más difícil debido a la rápida proliferación de variantes de malware, la ofuscación generalizada, el empaquetado (packing) y las técnicas de generación automatizada. Estos factores resultan en una alta similitud estructural interfamiliar y polimorfismo, lo que desafía a los modelos tradicionales de aprendizaje automático.

Los enfoques clásicos existentes, incluyendo clasificadores lineales, modelos basados en árboles y aprendizaje profundo (deep learning), enfrentan limitaciones específicas en entornos multiclasificación a gran escala:

• Expresividad: Las características diseñadas manualmente a menudo no logran capturar relaciones no lineales sutiles entre las familias de malware.
• Escalabilidad: Los modelos de aprendizaje profundo requieren una gran cantidad de datos etiquetados y recursos computacionales, lo que a menudo conduce a una reducción de la interpretabilidad.
• Desequilibrio de Clases y Similitud: El pronunciado desequilibrio de clases y el solapamiento estructural limitan las capacidades de generalización de los modelos clásicos.
• Limitaciones Cuánticas: Aunque el Aprendizaje Automático Cuántico (QML) ofrece potencial a través de incrustaciones en espacios de Hilbert de alta dimensión, la investigación actual suele estar restringida a la clasificación binaria, conjuntos de datos de pequeña escala o datos sintéticos. Además, la construcción de matrices de núcleos completos escala cuadráticamente ($O(N^2)$) con el número de muestras, lo que hace que la aplicación directa a grandes repositorios de malware sea computacionalmente impráctica.

Metodología

Los autores proponen un marco de Aprendizaje Automático Basado en Núcleos Cuánticos Escalable (QKML) diseñado para abordar tanto las restricciones de precisión como las de eficiencia en la clasificación multiclasificación de familias de malware. El marco integra cuatro componentes principales:

1. Construcción del Conjunto de Datos y Representación de Características

El estudio utiliza un conjunto de datos a gran escala (QLCD) que comprende 18,836 muestras a través de 23 familias de malware (incluyendo 22 familias maliciosas y una clase benigna).

• Extracción de Características: Se extraen características estructurales estáticas de archivos Ejecutables Portables (PE), incluyendo la entropía del archivo, estadísticas de secciones y proporciones de tamaños virtuales frente a reales. Los atributos categóricos (p. ej., tipo de máquina, empaquetador) se codifican mediante one-hot encoding.
• Preprocesamiento: Las características se someten a normalización Z-score e imputación de la mediana para los valores faltantes. Las familias con menos de 50 muestras se excluyen para asegurar un aprendizaje multiclasificación fiable.

2. Proyección de Características Supervisada (LDA)

Para mitigar el crecimiento exponencial de la complejidad del circuito cuántico con la dimensión de entrada y el número limitado de qubits disponibles, el marco emplea el Análisis Discriminante Lineal (LDA) como un paso de reducción de dimensionalidad supervisada.

• El LDA proyecta los vectores de características de alta dimensión en un subespacio de baja dimensión y consciente de la clase de dimensión $k \le C-1$ (donde $C$ es el número de clases).
• Este paso maximiza la separabilidad entre clases mientras minimiza la varianza dentro de la clase, creando una representación compacta adecuada para la codificación cuántica.

3. Construcción del Núcleo Cuántico

Los vectores de características proyectados se codifican en estados cuánticos utilizando un mapa de características cuántico parametrizado (un circuito cuántico parametrizado, PQC).

• Codificación: Las características se mapean a ángulos de rotación (p. ej., puertas $R_Y$) en $n$ qubits.
• Definición del Núcleo: El núcleo cuántico se define por la fidelidad al cuadrado entre dos estados cuánticos: $K(z_i, z_j) = |\langle \phi(z_i) | \phi(z_j) \rangle|^2$. Este núcleo basado en la fidelidad captura similitudes no lineales que los núcleos clásicos pueden omitir.

4. Aproximación de Núcleo Escalable (Método de Nyström)

Para superar el cuello de botella computacional de $O(N^2)$ de la construcción del núcleo completo, los autores emplean la aproximación de Nyström.

• Selección de Puntos de Referencia (Landmarks): Se selecciona un subconjunto de $M$ muestras de referencia ($M \ll N$) del conjunto de entrenamiento.
• Aproximación de Bajo Rango: El núcleo completo se aproxima utilizando submatrices derivadas de los puntos de referencia. Esto permite la construcción de una representación explícita de baja dimensión $\psi(z_i)$ para todas las muestras.
• Clasificación: Un modelo de regresión de Ridge clásico se entrena sobre estas características aproximadas por Nyström para realizar la clasificación multiclasificación. Este enfoque permite aprender de todo el conjunto de datos sin sesgo de submuestreo, reduciendo la complejidad dominante a $O(NM)$.

Contribuciones Clave

El artículo describe cuatro contribuciones principales:

1. Marco QKML Escalable: Un nuevo flujo de trabajo que combina núcleos cuánticos basados en la fidelidad con la proyección supervisada de LDA para permitir una reducción de dimensionalidad consciente de la clase y mejorar el poder discriminativo.
2. Aproximación de Nyström para Núcleos Cuánticos: Un método para construir una representación de bajo rango del núcleo cuántico utilizando muestras de referencia. Esto permite el entrenamiento en el conjunto de datos completo sin sesgo de submuestreo y reduciendo significativamente el número de evaluaciones de fidelidad cuántica requeridas.
3. Conjunto de Datos del Mundo Real a Gran Escala: La curación y el preprocesamiento del conjunto de datos QLCD, que contiene 18,836 muestras de 23 familias, diseñado específicamente para evaluar QML en escenarios de ciberseguridad multiclasificación realistas.
4. Validación Empírica: Experimentos exhaustivos que demuestran que el marco propuesto supera a las líneas base de aprendizaje automático clásico bajo divisiones de características y datos idénticas, alcanzando una precisión del 80.88%.

Resultados Experimentales

Los experimentos se realizaron en un simulador cuántico basado en el estado vectorial (statevector) utilizando un flujo de trabajo híbrido clásico-cuántico.

• Rendimiento vs. Líneas Base: El marco QKML propuesto alcanzó una precisión del 80.88%, superando a las líneas base clásicas que incluyen Softmax Regression (52.79%), Linear SVM (78.73%), KNN (79.56%) y Gaussian Naive Bayes (58.44%).
• Estudios de Ablación:
  • Proyección: Reemplazar el LDA supervisado con SVD no supervisado redujo la precisión de 80.88% a 78.83%, confirmando el valor de la proyección consciente de las etiquetas.
  • Puntos de Referencia (Landmarks): La precisión mejoró de ~74% (1,000 puntos de referencia) a ~81.8% (8,000 puntos de referencia), mostrando rendimientos decrecientes más allá de $M=8000$.
  • Profundidad del Circuito: Aumentar las repeticiones del circuito ($L$) y el número de qubits ($n$) generalmente mejoró el rendimiento, con los mejores resultados en $n=8, L=4$.
• Rendimiento por Clase: El modelo demostró un fuerte rendimiento en las familias principales (p. ej., Mediyes F1=0.988, Winwebsec F1=0.986) y la clase benigna (F1=0.774). El rendimiento fue menor para las clases minoritarias con alta similitud estructural (p. ej., LockBit, LokiBot), lo cual es consistente con los desafíos conocidos en la clasificación de malware.
• Eficiencia:
  • Tiempo de Ejecución: El flujo de trabajo cuántico completó el entrenamiento en 426.58 segundos, significativamente más rápido que las líneas base clásicas como KNN (830s) y GaussianNB (1161s).
  • Costo Computacional: El modelo cuántico requirió órdenes de magnitud menos de operaciones (proxies de compuerta y de estado vectorial) en comparación con los modelos clásicos, lo que sugiere ventajas potenciales de eficiencia energética.
  • Escalabilidad: Una configuración "Quantum-Lite" (menos qubits y puntos de referencia) logró un 74.82% de precisión con una aceleración de 5.5x, demostrando un escalamiento eficiente en recursos.

Significado y Reivindicaciones

Los autores afirman que este trabajo cierra la brecha entre la expresividad teórica de los métodos de núcleo cuántico y los requisitos de escalabilidad práctica de los análisis de malware del mundo real.

• Ventaja Medible: El estudio demuestra que las técnicas de núcleo cuántico escalables pueden ofrecer ventajas de rendimiento medibles (mayor precisión y menor pérdida) sobre las líneas base clásicas en tareas de ciberseguridad multiclasificación complejas.
• Viabilidad Práctica: Al integrar la aproximación de Nyström y la proyección supervisada, el marco permite el uso de todos los datos de entrenamiento disponibles sin el costo cuadrático prohibitivo de la construcción de un núcleo completo, lo que lo hace adecuado para repositorios a gran escala.
• Dirección Futura: El artículo posiciona este trabajo como un paso práctico hacia la incorporación del aprendizaje mejorado por la computación cuántica en los flujos de trabajo de análisis de malware operativo, particularmente para dispositivos cuánticos de escala intermedia con ruido (NISQ) y flujos de trabajo híbridos.

Limitaciones Notadas por los Autores:
Los autores declaran explícitamente que la evaluación depende de un simulador cuántico clásico en lugar de hardware real, lo que significa que los efectos de ruido y decoherencia no se capturan. Además, aunque la aproximación de Nyström mejora la escalabilidad, el costo de la preparación del estado aún crece con el número de qubits y la profundidad del circuito, y la implementación actual aún no se ha desplegado en un entorno de transmisión (streaming) en tiempo real.