🤖 AI

Routing-Aware Explanations for Mixture of Experts Graph Models in Malware Detection

यह शोध पत्र मैलवेयर डिटेक्शन के लिए एक रूटिंग-अवेयर मिक्स्चर-ऑफ-एक्सपर्ट्स ग्राफ मॉडल प्रस्तावित करता है जो उच्च सटीकता प्राप्त करने और स्थिर, निष्ठावान एज-लेवल स्पष्टीकरण प्रदान करने के लिए विविध कंट्रोल फ्लो ग्राफ रिप्रेजेंटेशन्स और राउटर-गाइडेड एग्रीगेशन का लाभ उठाता है।

मूल लेखक: Hossein Shokouhinejad, Roozbeh Razavi-Far, Griffin Higgins, Ali. A Ghorbani

प्रकाशित 2026-02-24

📖 5 मिनट में पढ़ें🧠 गहराई से पढ़ें

CC BY 4.0

मूल लेखक: Hossein Shokouhinejad, Roozbeh Razavi-Far, Griffin Higgins, Ali. A Ghorbani

मूल पेपर CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) के तहत लाइसेंस किया गया है। ✨ नीचे दिए गए पेपर की यह व्याख्या AI से तैयार की गई है। इसे लेखकों ने न तो लिखा है, न इसका समर्थन किया है। तकनीकी सटीकता के लिए मूल पेपर देखें। पूरा डिस्क्लेमर पढ़ें

कल्पना कीजिए कि आप एक सुरक्षा गार्ड हैं जो एक विशाल, बदलते हुए भूलभुलैया में चोर को पकड़ने की कोशिश कर रहे हैं। चोर (मालवेयर) चतुर है; वह भेष बदलता है, अपना रास्ता बदलता है और आम लोगों के बीच छिप जाता है। पारंपरिक सुरक्षा गार्ड (पुराने एंटीवायरस सॉफ़्टवेयर) केवल जाने-पहचाने चेहरों की एक सूची (सिग्नेचर) की जाँच करते हैं। यदि चोर अपनी टोपी या कोट थोड़ा सा भी बदल लेता है, तो गार्ड उसे चूक जाता है।

यह शोध पत्र इस चोर को पकड़ने के लिए एक विशेषज्ञ जासूसों की टीम का उपयोग करने का एक स्मार्ट तरीका प्रस्तावित करता है, न कि केवल एक गार्ड का। यहाँ बताया गया है कि उनका नया सिस्टम कैसे काम करता है, जिसे सरल अवधारणाओं में विभाजित किया गया है:

1. मानचित्र: कंट्रोल फ्लो ग्राफ (CFG)

सबसे पहले, सिस्टम कोड को शब्दों की एक सूची के रूप में नहीं देखता। यह प्रोग्राम को एक शहर के मानचित्र में बदल देता है।

नोड्स (चौराहे): ये कोड के "बेसिक ब्लॉक्स" हैं—निर्देशों के वे समूह जो एक के बाद एक चलते हैं।
एजेस (सड़कें): ये दिखाते हैं कि प्रोग्राम एक हिस्से से दूसरे हिस्से में कैसे आगे बढ़ता है।
लक्ष्य: सिस्टम इस मानचित्र का विश्लेषण करता है कि क्या यातायात का पैटर्न एक सामान्य शहर (सौम्य सॉफ़्टवेयर) जैसा दिखता है या एक अराजक, संदिग्ध भूलभुलैया (मालवेयर) जैसा।

2. टीम: मिश्रण विशेषज्ञों का समूह (Mixture of Experts - MoE)

एक ऐसा जासूस नियुक्त करने के बजाय जो सब कुछ जानने की कोशिश करता है, लेखकों ने छह विशेषज्ञ जासूसों की एक टीम को काम पर रखा है।

क्यों? मालवेयर चालाक होता है। कभी-कभी यह मानचित्र की संरचना में छिपता है; अन्य समय में, यह यातायात की गति या सड़कों के घनत्व में छिप सकता है। एक जासूस संरचनात्मक जाल पहचानने में माहिर हो सकता है लेकिन गति संबंधी जाल पहचानने में कमजोर हो सकता है।
सेटअप: छहों विशेषज्ञ छह अलग-अलग तरह के चश्मों से मानचित्र को देखते हैं:
- कुछ औसत यातायात प्रवाह को देखते हैं।
- कुछ सबसे चरम ट्रैफिक जाम (अधिकतम/max) को देखते हैं।
- कुछ देखते हैं कि यातायात कितना अराजक (standard deviation) है।
- कुछ चौराहों के आकार को अनदेखा करते हैं, जबकि अन्य व्यस्त केंद्रों (डिग्री रीवेटिंग) पर विशेष ध्यान देते हैं।

3. मैनेजर: राउटर (The Router)

आप छह जासूसों को एक साथ चिल्लाते हुए नहीं सुन सकते। आपको एक मैनेजर (राउटर) की आवश्यकता है।

काम: जब कोई नया प्रोग्राम (एक नया मानचित्र) आता है, तो मैनेजर जल्दी से उसका स्कैन करता है और निर्णय लेता है, "ठीक है, इस विशिष्ट मानचित्र के लिए, मुझे जासूस A और जासूस C को नेतृत्व करने की आवश्यकता है। बाकी लोग स्टैंडबाय पर रह सकते हैं।"
जादू: यह रैंडम नहीं है। मैनेजर समय के साथ सीखता है कि किस प्रकार के मानचित्रों के लिए कौन से विशेषज्ञ सबसे अच्छे हैं। यह एक ऑर्केस्ट्रा के कंडक्टर की तरह है जो जानता है कि किसी विशिष्ट गीत के लिए कौन से वाद्य यंत्रों को कितनी ज़ोर से बजाना है।
लोड बैलेंसिंग: यह सुनिश्चित करने के लिए कि कोई भी जासूस बोर न हो या अत्यधिक काम के बोझ तले न दबे, मैनेजर का एक नियम है: "हमेशा एक ही दो लोगों को न चुनें।" यह टीम को सतर्क और विविध बने रहने के लिए मजबूर करता है।

4. स्पष्टीकरण: "आपने उसे क्यों पकड़ा?"

अतीत में, AI मॉडल "ब्लैक बॉक्स" थे। वे कहते थे, "यह एक वायरस है," लेकिन समझा नहीं पाते थे कि क्यों। यह सिस्टम अलग है क्योंकि यह राउटिंग-अवेयर (Routing-Aware) है।

उपमा: कल्पना कीजिए कि मैनेजर कहता है, "मैंने इस चोर को पकड़ा क्योंकि जासूस A ने एक संदिग्ध गली देखी, और जासूस C ने देखा कि चोर बहुत तेज़ भाग रहा था।"
परिणाम: सिस्टम केवल "दोषी" का फैसला नहीं देता। यह उन सुरागों का एक तर्कसंगत रिपोर्ट देता है जो प्रत्येक विशेषज्ञ ने पाए थे, और यह भी बताता है कि मैनेजर ने उन पर कितना भरोसा किया। यह आपको बताता है कि कोड के कौन से हिस्से (मानचित्र पर सड़कें) सबसे अधिक संदिग्ध थे।

5. परिणाम: क्या यह काम आया?

शोधकर्ताओं ने इस "जासूसों की टीम" का परीक्षण पुराने "एकल गार्ड" मॉडलों के विरुद्ध किया।

सटीकता: टीम ने एकल गार्डों की तुलना में अधिक मालवेयर पकड़े और कम गलतियाँ (फॉल्स अलार्म) कीं।
विश्वास: जब उन्होंने मानचित्र के कुछ हिस्सों को छिपाकर सिस्टम को धोखा देने की कोशिश की, तो स्पष्टीकरण ईमानदार रहे। सिस्टम ने केवल अनुमान नहीं लगाया; इसने वास्तविक साक्ष्य की ओर इशारा किया।
विविधता: "लोड बैलेंसिंग" नियम पूरी तरह से काम कर गया। टीम ने केवल एक विशेषज्ञ पर भरोसा नहीं किया; उन्होंने पूरी टीम की बौद्धिक क्षमता का उपयोग किया।

सारांश

इस शोध पत्र को एक सुपर-जीनियस (जो थक सकता है या पक्षपाती हो सकता है) को काम पर रखने के बजाय एक विशेषज्ञों की विविध टीम को काम पर रखने के रूप में देखें, जिसका प्रबंधन एक स्मार्ट कंडक्टर करता है।

मानचित्र प्रोग्राम के व्यवहार का प्रतिनिधित्व करता है।
विशेषज्ञ उस व्यवहार के विश्लेषण के विभिन्न तरीके हैं।
मैनेजर काम के लिए सही विशेषज्ञों को चुनता है।
स्पष्टीकरण उन चीज़ों की एक स्पष्ट, संयुक्त रिपोर्ट है जो उन विशेषज्ञों ने पाई हैं।

यह दृष्टिकोण मालवेयर डिटेक्शन को न केवल अधिक सटीक बनाता है बल्कि पारदर्शी भी बनाता है, जिससे सुरक्षा विश्लेषकों को यह समझने में मदद मिलती है कि कोई सॉफ़्टवेयर खतरनाक क्यों है, जो बढ़ते जटिल साइबर खतरों से लड़ने के लिए अत्यंत महत्वपूर्ण है।

यहाँ शोध पत्र "Routing-Aware Explanations for Mixture of Experts Graph Models in Malware Detection" का विस्तृत तकनीकी सारांश दिया गया है।

1. समस्या विवरण (Problem Statement)

आधुनिक मैलवेयर तेजी से जटिल होते जा रहे हैं, जो पारंपरिक सिग्नेचर-आधारित पहचान से बचने के लिए ऑबफस्केशन (obfuscation), पैकिंग और डायनेमिक कोड लोडिंग का उपयोग करते हैं। जबकि ग्राफ न्यूरल नेटवर्क (GNNs) ने प्रोग्राम संरचनाओं (विशेष रूप से कंट्रोल फ्लो ग्राफ या CFGs) को मॉडल करने के लिए व्यवहारिक पैटर्न का पता लगाने में आशाजनक परिणाम दिखाए हैं, मानक GNN अक्सर एक एकल, मोनोलिथिक (monolithic) मॉडल पर निर्भर करते हैं। यह दृष्टिकोण मैलवेयर परिवारों की उच्च विविधता और निष्पादन व्यवहारों के साथ संघर्ष करता है। इसके अलावा, मानक GNN अक्सर "ब्लैक बॉक्स" होते हैं, जिससे सुरक्षा विश्लेषकों के लिए यह समझना कठिन हो जाता है कि किसी विशिष्ट नमूने को मैलिसियस (malicious) क्यों घोषित किया गया। मौजूदा मिक्स्चर ऑफ एक्सपर्ट्स (MoE) फ्रेमवर्क प्रदर्शन में सुधार तो करते हैं, लेकिन वे इस संबंध में पारदर्शिता की कमी रखते हैं कि विभिन्न विशेषज्ञ (experts) अंतिम निर्णय में कैसे योगदान देते हैं, और उनकी व्याख्याएँ (explanations) इन्फरेंस के दौरान उपयोग किए जाने वाले डायनेमिक रूटिंग तंत्र के साथ शायद ही कभी संरेखित होती हैं।

2. कार्यप्रणाली (Methodology)

लेखक एक एंड-टू-एंड फ्रेमवर्क प्रस्तावित करते हैं जो कंट्रोल फ्लो ग्राफ (CFG) निष्कर्षण को एक रूटिंग-अवेयर मिक्स्चर ऑफ एक्सपर्ट्स (MoE) आर्किटेक्चर के साथ जोड़ता है। यह कार्यप्रणाली चार मुख्य चरणों से बनी है:

A. डेटा प्रीप्रोसेसिंग और फीचर एम्बेडिंग (Data Preprocessing and Feature Embedding)

CFG निष्कर्षण: पोर्टेबल एक्जीक्यूटेबल (PE) फाइलों से CFG उत्पन्न करने के लिए डायनेमिक सिम्बोलिक निष्पादन ( angr फ्रेमवर्क का उपयोग करके) लागू किया जाता है। यह उन रनटाइम व्यवहारों को कैप्चर करता है जिन्हें स्टैटिक एनालिसिस मिस कर सकता है।
दो-चरणीय नोड एम्बेडिंग (Two-Stage Node Embedding):
1. रूल-बेस्ड एनकोडिंग: प्रत्येक बेसिक ब्लॉक के भीतर असेंबली निर्देशों को सात घटकों (prefix, opcode, ModRM, SIB, displacement, immediate, option) में विघटित किया जाता है और उन्हें 439-आयामी वन-हॉट/बाइनरी वेक्टर में परिवर्तित किया जाता है।
2. डायमेंशनलिटी रिडक्शन: एक ऑटोएन्कोडर 439-आयामी वेक्टर्स को एक कॉम्पैक्ट 64-आयामी लेटेंट स्पेस ( $x^{(k)}$ ) में संकुचित करता है, जो शोर (noise) को कम करते हुए आवश्यक सिमेंटिक जानकारी को सुरक्षित रखता है।

B. नोड-लेवल मल्टी-स्टैटिस्टिक एनकोडिंग (Node-Level Multi-Statistic Encoding)

नोड स्तर पर विविधता सुनिश्चित करने के लिए, मॉडल प्रत्येक लेयर के लिए समानांतर में कई पड़ोस सांख्यिकी (neighborhood statistics) की गणना करता है।

डिग्री रीवेटिंग ( $\rho$ ): यह एग्रीगेशन वेट्स को नियंत्रित करता है। $\rho=0$ यूनिफॉर्म वेटिंग को दर्शाता है; $\rho=1$ एग्रीगेशन को हाई-डिग्री (स्ट्रक्चरली सेंट्रल) नोड्स की ओर झुकाता है।
पूलिंग स्टैटिस्टिक्स ( $\lambda$ ): तीन एग्रीगेशन फंक्शन लागू किए जाते हैं: मीन (Mean - केंद्रीय प्रवृत्ति), स्टैंडर्ड डेविएशन (Standard Deviation - फैलाव), और मैक्स (Max - चरम प्रतिक्रियाएं)।
फ्यूजन (Fusion): मॉडल सभी 6 संयोजनों ( $\rho \in \{0,1\} \times \lambda \in \{mean, std, max\}$ ) के आउटपुट को कॉन्कैटिनेट करता है और उन्हें एक लाइटवेट MLP के माध्यम से पास करता है ताकि विविध नोड रिप्रेजेंटेशन बनाए जा सकें।

C. ग्राफ-लेवल एक्सपर्ट रीडआउट्स और रूटिंग (Graph-Level Expert Readouts and Routing)

छह विशिष्ट विशेषज्ञ (Six Specialized Experts): मॉडल छह अलग-अलग "विशेषज्ञों" का उपयोग करता है, जिनमें से प्रत्येक छह $(\rho, \lambda)$ व्यूज के अनुरूप है। प्रत्येक विशेषज्ञ अंतिम नोड रिप्रेजेंटेशन को ग्राफ-लेवल लॉजिट वेक्टर में एकत्रित करता है।
लोड बैलेंसिंग (LB) के साथ Top-k रूटिंग: एक गेटिंग नेटवर्क सभी छह विशेषज्ञों के कॉन्कैटिनेटेड आउटपुट को लेता है और रूटिंग प्रोबेबिलिटी की गणना करता है।
- स्पर्सिटी (Sparsity): यह एक स्पार्स सॉफ्टमैक्स का उपयोग करके दिए गए इनपुट के लिए केवल शीर्ष- $k$ विशेषज्ञों (जैसे, Top-2) को चुनता है।
- लोड बैलेंसिंग (Load Balancing): ऑब्जेक्टिव फंक्शन में एक सहायक लॉस टर्म ( $L_{LB}$ ) जोड़ा जाता है ताकि "एक्सपर्ट कोलैप्स" (जहाँ एक विशेषज्ञ सभी इनपुट्स पर हावी हो जाता है) को रोका जा सके, जिससे विशेषज्ञ पूल में संतुलित उपयोग सुनिश्चित होता है।

D. रूटिंग-अवेयर पोस्ट-हॉक एक्सप्लेनेशन (Routing-Aware Post-Hoc Explanation)

पेपर एक नवीन व्याख्या पद्धति पेश करता है जो मॉडल के कंडीशनल कंप्यूटेशन के साथ संरेखित है:

प्रति-विशेषज्ञ एट्रिब्यूशन (Per-Expert Attribution): चुने गए $k$ विशेषज्ञों के लिए, पोस्ट-हॉक तकनीकों (जैसे, इंटीग्रेटेड ग्रेडिएंट्स) का उपयोग करके एज-लेवल इम्पॉर्टेंस स्कोर जेनरेट किए जाते हैं।
गेट-वेटेड एग्रीगेशन (Gate-Weighted Aggregation): एक एज के लिए अंतिम व्याख्या विशेषज्ञों के प्रति-विशेषज्ञ स्कोर का एक वेटेड सम (weighted sum) है, जहाँ वेट्स राउटर द्वारा निर्धारित रूटिंग गेट्स ( $\alpha$ $α$ ) हैं।
- फॉर्मूला: $\beta^{(a,j)} = \sum_{i=1}^{k} \alpha_i \beta^{(i,j)}$
- यह सुनिश्चित करता है कि तर्क (rationale) इस बात को दर्शाता है कि विशेषज्ञों ने क्या पाया और राउटर उन पर कितना भरोसा करता है।

3. प्रमुख योगदान (Key Contributions)

एंड-टू-एंड रूटिंग-अवेयर फ्रेमवर्क: CFG निर्माण, टू-स्टेज MoE-GNN मॉडलिंग, Top-k रूटिंग और पोस्ट-हॉक एक्सपर्ट-अलाइन्ड एट्रिब्यूशन को एक एकल पाइपलाइन में एकीकृत करता है।
टू-लेवल डायवर्सिटी: एक नवीन आर्किटेक्चर पेश करता है जो दोनों स्तरों पर विविधता को बढ़ावा देता है: नोड स्तर पर ( $\rho$ और $\lambda$ के माध्यम से मल्टी-स्टैटिस्टिक एनकोडिंग के माध्यम से) और रीडआउट स्तर पर (छह विशिष्ट विशेषज्ञों के माध्यम से)।
रूटिंग-अवेयर एक्सप्लेनेशन: व्याख्याओं को विशेषज्ञों के चयन के आधार पर एग्रीगेट करने के लिए एक विधि प्रस्तावित करता है, जो यह सुनिश्चित करता है कि व्याख्या उस विशिष्ट विशेषज्ञों के उपसमूह के प्रति वफादार (faithful) है जिनका वास्तव में प्रेडिक्शन के लिए उपयोग किया गया था।
व्यापक मूल्यांकन: एक कठोर मूल्यांकन प्रोटोकॉल स्थापित करता है जो न केवल सटीकता बल्कि फिडेलिटी (सबग्राफ की आवश्यकता और पर्याप्तता) और स्पर्सिटी परर्बेशन के तहत कैरेक्टराइजेशन स्कोर को भी मापता है।

4. परिणाम और विश्लेषण (Results and Analysis)

फ्रेमवर्क का मूल्यांकन BODMAS और PMML (मैलवेयर) और DikeDataset (बेनाइन) के संयोजन वाले डेटासेट पर किया गया।

डिटेक्शन एक्यूरेसी (Detection Accuracy):
- प्रस्तावित Top-2 MoE विद लोड बैलेंसिंग ने 93.59% की उच्चतम सटीकता प्राप्त की, जो सिंगल-एक्सपर्ट बेसलाइन्स (GCN, GAT, GIN, GraphSAGE) से काफी बेहतर है, जो 85.90% से 89.10% के बीच थे।
- इसने बेनाइन नमूनों के लिए 96.23% प्रिसिजन और मैलिसियस नमूनों के लिए 97.94% रिकॉल प्राप्त किया।
- एब्लेशन स्टडीज (Ablation studies) ने दिखाया कि Top-2 रूटिंग विद LB, Top-1 रूटिंग और यूनिफॉर्म एग्रीगेशन की तुलना में बेहतर प्रदर्शन करता है, जो कंडीशनल कंप्यूटेशन और संतुलित विशेषज्ञ उपयोग के महत्व को सिद्ध करता है।
एक्सपर्ट डायवर्सिटी (Expert Diversity):
- लोड बैलेंसिंग के बिना, राउटर में मजबूत बायस देखा गया, जो एक विशेषज्ञ जोड़ी (E4, E6) पर बहुत अधिक निर्भर था।
- लोड बैलेंसिंग के साथ, विशेषज्ञों का एक्टिवेशन काफी विविध और संतुलित हो गया, जिससे ओवर-स्पेशलाइजेशन को रोका जा गया।
एक्सप्लेनेबिलिटी (फिडेलिटी और कैरेक्टराइजेशन):
- Top-2 MoE विद LB कॉन्फ़िगरेशन ने सभी स्पर्सिटी स्तरों (5%–95%) में सर्वश्रेष्ठ कैरेक्टराइजेशन स्कोर दिया।
- यह इंगित करता है कि जेनरेट की गई व्याख्याएँ दोनों रूप से आवश्यक (पहचाने गए सबग्राफ को हटाने से प्रेडिक्शन बदल गया) और पर्याप्त (सबग्राफ अकेले प्रेडिक्शन को पुनरुत्पादित कर सकता है) थीं।
- रूटिंग-अवेयर एग्रीगेशन ने वफादार व्याख्याएँ उत्पन्न करने में यूनिफॉर्म या टेम्परेचर-बेस्ड रूटिंग की तुलना में श्रेष्ठता सिद्ध की।

5. महत्व (Significance)

यह पेपर एआई-संचालित साइबर सुरक्षा में एक महत्वपूर्ण अंतर को संबोधित करता है: उच्च-प्रदर्शन डिटेक्शन और मॉडल इंटरप्रिटेबिलिटी के बीच का ट्रेड-ऑफ।

ट्रस्ट और ऑडिटिंग: राउटर को स्पष्ट बनाकर और व्याख्याओं को रूटिंग लॉजिक के साथ संरेखित करके, सुरक्षा विश्लेषक मॉडल की निर्णय लेने की प्रक्रिया पर भरोसा कर सकते हैं, और देख सकते हैं कि किस विशिष्ट स्ट्रक्चरल पैटर्न (जैसे, विशिष्ट कंट्रोल फ्लो लूप या API कॉल सीक्वेंस) ने अलर्ट ट्रिगर किया।
रोबस्टनेस (Robustness): लोड बैलेंसिंग का उपयोग यह सुनिश्चित करता है कि मॉडल एक एकल "लकी" विशेषज्ञ पर निर्भरता को रोककर डिस्ट्रीब्यूशन शिफ्ट के खिलाफ मजबूत बना रहे।
जनरलाइजेबिलिटी (Generalizability): फ्रेमवर्क यह प्रदर्शित करता है कि मल्टी-स्टैटिस्टिक एनकोडिंग को कंडीशनल एक्सपर्ट सिलेक्शन के साथ जोड़ने से पारंपरिक मोनोलिथिक GNNs की तुलना में जटिल, ऑबफस्केटेड मैलवेयर का विश्लेषण करने के लिए अधिक पारदर्शी और प्रभावी उपकरण बनता है।

निष्कर्षतः, अध्ययन यह सिद्ध करता है कि एक्सपर्ट सिलेक्शन और बैलेंसिंग को स्पष्ट रूप से मॉडल करना न केवल डिटेक्शन सटीकता में सुधार करता है, बल्कि परिणामी व्याख्याओं की पारदर्शिता और वफादारी को भी महत्वपूर्ण रूप से बढ़ाता है, जिससे यह परिचालन मैलवेयर विश्लेषण वर्कफ़्लो के लिए एक व्यवहार्य समाधान बन जाता है।