Leveraging Interpretable Tsetlin Machine for PDF Malware Detection

Resumen Técnico: Aprovechamiento de la Máquina de Tsetlin Interpretable para la Detección de Malware en PDF

Planteamiento del Problema
El Formato de Documento Portátil (PDF) es un estándar dominante para el intercambio de documentos digitales debido a su independencia de la plataforma y su rica funcionalidad. Sin embargo, estas capacidades, que incluyen objetos incrustados, JavaScript y acciones interactivas, lo han convertido en un vector de ataque principal para ciberataques. Los actores malintencionados explotan estas características para entregar cargas útiles destinadas al robo de credenciales, la instalación de spyware y el compromiso del sistema. Los métodos de detección tradicionales enfrentan desafíos significativos: los enfoques basados en firmas fallan contra amenazas de día cero, mientras que los clasificadores de detección de anomalías y de aprendizaje automático (ML) estándar suelen operar como "cajas negras", careciendo de interpretabilidad intrínseca. Aunque existen herramientas de explicabilidad post-hoc (por ejemplo, SHAP, LIME), estas ofrecen explicaciones aproximadas en lugar de revelar la lógica de decisión subyacente. Además, la rápida evolución de las técnicas de ataque requiere sistemas de detección que no solo sean precisos, sino también computacionalmente eficientes y transparentes.

Metodología
El artículo propone un nuevo marco de trabajo utilizando la Máquina de Tsetlin (TM), un modelo de ML interpretable basado en reglas que aprende cláusulas lógicas legibles por humanos. La metodología procede a través de las siguientes etapas:

1. Extracción de Características Estáticas: El marco extrae 42 características salientes directamente de los archivos PDF sin ejecución. Estas características incluyen elementos estructurales (por ejemplo, xref, trailer, stream), propiedades de metadatos (por ejemplo, pdfsize, metadata size) e indicadores de contenido (por ejemplo, JS, JavaScript, OpenAction, isEncrypted).
2. Preprocesamiento de Datos: Los datos brutos se someten a una limpieza, que incluye la eliminación de muestras duplicadas y el manejo del desequilibrio de clases mediante submuestreo aleatorio. Las características se normalizan mediante el escalado min-max y luego se binarizan usando KBinsDiscretizer para convertirlas en entradas binarias adecuadas para el aprendizaje de lógica proposicional.
3. Entrenamiento de la Máquina de Tsetlin: El modelo TM aprende una colección de cláusulas conjuntivas. Cada cláusula consiste en una conjunción de literales seleccionados (características) y sus negaciones. El modelo agrega votos de estas cláusulas, ponderados por polaridad (+1 o -1), para clasificar un documento como benigno o malicioso. El entrenamiento emplea validación cruzada de k-pliegues para asegurar la robustez.
4. Mecanismo de Interpretabilidad: A diferencia de los modelos de caja negra, la TM proporciona interpretabilidad intrínseca. Las decisiones de clasificación se explican a través de:
   • Mapas de Calor de Activación de Cláusulas: Visualización de qué reglas lógicas se activaron para una muestra específica.
   • Análisis de Votos de Clase: Cuantificación de la evidencia (votos) que respalda una clase específica.
   • Contribución a Nivel de Característica: Identificación de qué características específicas impulsaron la decisión, distinguiendo entre aquellas que apoyan o suprimen una clasificación.

Contribuciones Clave

• Diseño del Marco de Trabajo: El desarrollo de un marco basado en TM eficaz, diseñado específicamente para la detección de malware en PDF utilizando el conjunto de datos RIT-PDFMal-2026.
• Evaluación de Rendimiento (Benchmarking): Una evaluación numérica exhaustiva que compara la TM propuesta contra siete clasificadores de ML convencionales (Árbol de Decisión, Random Forest, KNN, Naive Bayes, Regresión Logística, XGBoost y LightGBM).
• Análisis de Interpretabilidad: Una demostración detallada del proceso de toma de decisiones del modelo a través de las cláusulas aprendidas y las contribuciones de las características, ofreciendo perspectivas transparentes sobre cómo se distinguen los documentos benignos de los maliciosos.

Resultados Experimentales
El marco fue evaluado en el conjunto de datos RIT-PDFMal-2026, que contiene 24,337 muestras (13,235 benignas y 11,102 maliciosas) a través de 42 características. Después del preprocesamiento (eliminación de duplicados y balanceo del conjunto de entrenamiento), los resultados fueron los siguientes:

• Precisión (Accuracy): La TM propuesta alcanzó una precisión del 98.02%. Este rendimiento es competitivo con, y en algunos métricas comparable a, métodos de ensamble de vanguardia como Random Forest (98.28%), XGBoost (97.37%) y LightGBM (97.30%).
• Precisión, Exhaustividad (Recall) y F1-Score: La TM obtuvo una precisión promedio macro de 96.03%, una exhaustividad de 95.95% y un F1-score de 95.99%, demostrando un rendimiento equilibrado en ambas clases.
• Eficiencia: En términos de tiempo de inferencia, la TM requirió 2.853 µs por muestra. Esto es significativamente más rápido que Random Forest (3.901 µs) y LightGBM (15.274 µs), aunque ligeramente más lento que los Árboles de Decisión y la Regresión Logística.
• Estudios de Caso de Interpretabilidad: El artículo ilustra que el modelo clasifica correctamente las muestras agregando votos de las cláusulas activadas. Por ejemplo, en una muestra benigna clasificada correctamente, la clase benigna recibió un puntaje de voto de 10, impulsado por características como isEncrypted y Encrypt. Por el contrario, se analizaron las clasificaciones erróneas, revelando que la superposición de características entre muestras benignas y maliciosas puede ocasionar ocasionalmente una agregación de votos incorrecta.

Significancia y Reivindicaciones
El artículo afirma que el marco propuesto ofrece una solución práctica para la detección de malware en PDF al equilibrar con éxito tres factores críticos: rendimiento de detección competitivo, eficiencia computacional e interpretabilidad intrínseca.

Los autores enfatizan que, a diferencia de los clasificadores de ML convencionales que requieren herramientas de explicación post-hoc, la TM proporciona intrínsecamente una lógica transparente y legible por humanos. Esta transparencia mejora la confiabilidad del sistema de detección, un requisito crucial en aplicaciones de ciberseguridad donde entender por qué un archivo es marcado es tan importante como el marcado mismo. El estudio concluye que, si bien el trabajo actual se limita a un único conjunto de datos público y estudios de caso representativos, el marco de la TM representa una dirección prometedora para la investigación futura en IA explicable para la ciberseguridad. Se propone como trabajo futuro validar la interpretabilidad mediante estudios de usuario y extender la evaluación a diversas familias de malware.