SMETA-ZSL:Semantic Meta-Alignment for Zero-Shot Threat Classification

Resumen Técnico: SMETA-ZSL

Planteamiento del Problema
Los sistemas de defensa de ciberseguridad enfrentan un cuello de botella crítico: la incapacidad de adaptarse rápidamente a las amenazas emergentes debido a la indisponibilidad de datos etiquetados para nuevas categorías de amenazas. Aunque los informes de Inteligencia de Amenazas Cibernéticas (CTI) proporcionan descripciones oportunas en lenguaje natural sobre los comportamientos de los atacantes, la mayoría de los sistemas de defensa basados en datos no pueden utilizar directamente este texto no estructurado. Los autores formulan este desafío como un problema de Aprendizaje de Cero Disparidad Generalizado (GZSL, por sus siglas en inglés), donde un modelo debe reconocer tanto clases vistas como no vistas utilizando la información semántica de los informes de CTI.

Los autores identifican cuatro desafíos específicos únicos del dominio de la ciberseguridad que obstaculizan los enfoques de GZSL existentes:

1. Ambigüedad Semántica: Las descripciones de CTI para diferentes familias de malware suelen compartir un solapamiento léxico sustancial (por ejemplo, APIs comunes, tácticas y técnicas), lo que conduce a prototipos semánticos débilmente separables.
2. Heterogeneidad Cross-Modal: Existe un desajuste significativo de granularidad entre las características de comportamiento de grano fino (por ejemplo, llamadas a la API, trazas del sistema) y la semántica de alto nivel y dispersa de los informes de CTI.
3. Desequilibrio de Clases: Las muestras benignas y las familias de malware frecuentes dominan los conjuntos de datos, sesgando los modelos hacia las clases vistas y suprimiendo la detección de amenazas raras y emergentes.
4. Condiciones de Conjunto Abierto (Open-Set): En la práctica, el número e identidad de las familias de malware no vistas son desconocidos durante el entrenamiento, lo que requiere que los modelos operen sin conjuntos de candidatos predefinidos para las clases no vistas.

Metodología: SMETA-ZSL
Los autores proponen SMETA-ZSL (Semantic Meta-Alignment for Zero-Shot Threat Classification), un marco diseñado para un entorno estricto de Inducción de Clase e Instancia (CIII). En este entorno, el modelo se entrena únicamente con las clases vistas y sus descripciones semánticas, sin acceso a datos de clases no vistas ni a prototipos durante el entrenamiento. El marco consta de tres componentes principales:

1. Aprendizaje de Prototipos Semánticos Discriminativos:
   Para abordar la ambigüedad semántica, los autores emplean un codificador de Modelo de Lenguaje Grande (LLM) para convertir los informes de CTI en prototipos semánticos. Para evitar que los embeddings colapsen en un centroide compartido debido al vocabulario superpuesto, el LLM se ajusta mediante una Pérdida de Contraste Supervisado para imponer compacidad intra-clase y separación inter-clase. Además, se introduce un término de Regularización de Isotropía para penalizar los embeddings que se alinean demasiado cerca de la media del lote, asegurando que el espacio semántico sea discriminativo.

2. Alineación Cross-Modal mediante Destilación de Meta-Conocimiento:
   Para cerrar la brecha entre las características de comportamiento y los prototipos semánticos, los autores utilizan una arquitectura de dos torres. Una red de proyección mapea las instancias de comportamiento en el espacio semántico compartido. El entrenamiento se estructura como meta-aprendizaje episódico, donde las clases de entrenamiento se particionan aleatoriamente en conjuntos de soporte (support) y de consulta (query) en cada paso. El conjunto de consulta actúa como un sustituto de las clases no vistas, forzando al modelo a generalizar sus capacidades de alineación. Se utiliza una Pérdida de Destilación de Objetivo Dual: el conjunto de soporte se entrena mediante destilación de conocimiento (combinando transferencia relacional suave y etiquetas duras), mientras que el conjunto de consulta se entrena únicamente mediante el emparejamiento de prototipos para actuar como un regularizador de generalización.

3. Puerta de Confianza Adaptativa para la Inferencia:
   Para el reconocimiento de conjunto abierto, el marco emplea un mecanismo de puerta sin parámetros basado en la estimación de confianza de puntuación Z (Z-score). El sistema calcula la dominancia estadística de la mejor coincidencia con una clase vista en relación con la distribución de todas las similitudes de las clases vistas para una muestra dada. Si la puntuación Z supera un umbral, la instancia se clasifica como una clase vista; de lo contrario, se redirige al espacio de clases no vistas. Esto permite al modelo distinguir entre amenazas vistas y no vistas sin asumir un conjunto fijo de clases candidatas no vistas.

Contribuciones Clave

• Entorno Inductivo Estricto: SMETA-ZSL opera bajo los supuestos más estrictos de GZSL (conjunto abierto, inducción de clase, inducción de instancia), a diferencia de métodos anteriores que a menudo asumen acceso a prototipos no vistos o instancias no vistas sin etiquetar durante el entrenamiento.
• Refinamiento Semántico: La integración del ajuste fino contrastivo y la regularización de isotropía aborda específicamente el solapamiento semántico inherente a los informes de CTI de ciberseguridad.
• Alineación de Meta-Aprendizaje: El uso de meta-aprendizaje episódico con destilación de objetivo dual simula explícitamente la condición de cero disparidad (zero-shot) durante el entrenamiento para mejorar la generalización cross-modal.
• Robustez de Datos Sintéticos: Los autores demuestran que el rendimiento del modelo es impulsado por la alineación cross-modal aprendida en lugar de la dependencia de la aumentación sintética de CTI, ya que el rendimiento permanece estable incluso cuando los prototipos no vistos se construyen únicamente a partir de informes de CTI reales.

Resultados Experimentales
Los autores evaluaron SMETA-ZSL en siete conjuntos de datos de referencia (cuatro específicos de ciberseguridad y tres de dominios tabulares generales).

• Rendimiento: Bajo el entorno inductivo más estricto, SMETA-ZSL logró el mejor rendimiento general de cero disparidad generalizado, superando a los métodos anteriores por un promedio de 10.8 puntos en la media armónica (H).
• Ganancias Específicas: Se observaron mejoras notables en CIC-AndMal (+18.1 puntos sobre MZSL), APIGRAPH (+19.4 puntos sobre TZL) y AVASTCTU (+12.5 puntos sobre FL-ZSL).
• Consistencia: SMETA-ZSL fue el único método que funcionó consistentemente bien en los siete conjuntos de datos. Mientras que algunos modelos de referencia (por ejemplo, ProtoLLM) superaron a SMETA-ZSL en conjuntos de datos específicos como FAKEDDIT, SMETA-ZSL mantuvo la mayor precisión promedio de clases no vistas en todos los entornos de prueba, manteniendo una precisión de clases vistas competitiva.
• Ablación: Eliminar los embeddings semánticos del LLM causó una caída significativa (9.3 puntos), confirmando la importancia de la calidad de los prototipos. Reemplazar el meta-aprendizaje episódico con un entrenamiento estándar degradó sustancialmente la precisión de las clases no vistas, validando la necesidad de simular condiciones de cero disparidad durante el entrenamiento.

Significancia y Reivindicaciones
El artículo afirma que SMETA-ZSL proporciona una solución viable para actualizar sistemas de aprendizaje automático de caja negra basados en datos utilizando informes de CTI en lenguaje natural sin requerir datos brutos o ejemplos etiquetados de nuevas amenazas. Al convertir con éxito los informes de amenazas no estructurados en representaciones útiles para sistemas no lingüísticos, el marco aborda una brecha crítica en la adaptabilidad de la defensa cibernética. Los autores enfatizan que su enfoque es particularmente significativo porque opera bajo restricciones realistas donde las amenazas no vistas son desconocidas y no están etiquetadas, ofreciendo un mecanismo robusto para la clasificación de amenazas de cero disparidad en entornos de conjunto abierto.