AsmRAG: LLM-Driven Malware Detection by Retrieving Functionally Similar Assembly Code
AsmRAG एक मैलवेयर डिटेक्शन फ्रेमवर्क है जो फंक्शनली समान कोड स्निपेट्स को रिट्रीव करने के लिए असेंबली-लेवल रिट्रीवल-ऑगमेंटेड जनरेशन और एक डेंसिटी-वेटेड एंकर सिलेक्शन मैकेनिज्म का उपयोग करता है ताकि अत्यधिक सटीक, व्याख्यात्मक और ऑब्फस्केशन-प्रतिरोधी फोरेंसिक विश्लेषण प्रदान किया जा सके।
मूल पेपर CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) के तहत लाइसेंस किया गया है। नीचे दिए गए पेपर की यह व्याख्या AI से तैयार की गई है। इसे लेखकों ने न तो लिखा है, न इसका समर्थन किया है। तकनीकी सटीकता के लिए मूल पेपर देखें। पूरा डिस्क्लेमर पढ़ें
कल्पना कीजिए कि आप एक विशाल, हाई-टेक एयरपोर्ट पर एक सुरक्षा गार्ड हैं।
वर्तमान में, अधिकांश एयरपोर्ट सुरक्षा प्रणालियाँ एक "वाइब चेक" (Vibe Check) की तरह काम करती हैं। वे यात्री के सूटकेस को देखते हैं, कुल वजन को स्कैन करते हैं, कपड़े की बनावट को देखते हैं, और व्यक्ति की सामान्य "ऊर्जा" (energy) को महसूस करते हैं। यदि सूटकेस 99% एक सामान्य यात्री के बैग जैसा दिखता है, तो सिस्टम कहता है, "यह व्यक्ति 99% संभावना है कि एक अच्छा यात्री है।"
समस्या यह है कि एक चालाक तस्कर बैग का रंग बदल सकता है, वजन बदलने के लिए कुछ भारी किताबें जोड़ सकता है, या एक अलग टोपी पहनकर अपना "वाइब" बदल सकता है। सुरक्षा गार्ड को पता होता है कि कुछ गलत है, लेकिन जब उससे पूछा जाता है कि क्यों, तो वह केवल कंधे उचकाकर कह सकता है, "मुझे बस एक अहसास हुआ।" वर्तमान AI मालवेयर डिटेक्टर इसी तरह काम करते हैं—वे एक "संभाव्यता स्कोर" (probability score) देते हैं लेकिन यह नहीं बता पाते कि बुरा आदमी वास्तव में क्या कर रहा है।
AsmRAG अलग है। यह "वाइब चेक" नहीं है; यह एक "डीएनए मैच" (DNA Match) है।
मूल विचार: "वाइब्स" से "ब्लूप्रिंट्स" तक
पूरे "सूटकेस" (पूरे मालवेयर फ़ाइल) को देखने के बजाय, AsmRAG उस सूटकेस को छोटे-छोटे व्यक्तिगत घटकों में तोड़ देता है—जैसे किसी डिवाइस के अंदर के हर एक पेंच, तार और सर्किट बोर्ड को देखना। कंप्यूटर की भाषा में, यह सॉफ्टवेयर को उसके सबसे छोटे कार्यात्मक निर्देशों में तोड़ देता है, जिन्हें असेंबली कोड (Assembly Code) कहा जाता है।
यहाँ AsदनRAG प्रक्रिया कैसे काम करती है, एक मास्टर डिटेक्टिव (Master Detective) के उदाहरण के साथ दी गई है:
1. महान पुस्तकालय (The Great Library - ज्ञान का आधार)
कल्पना कीजिए कि एक जासूस के पास एक विशाल पुस्तकालय है जिसमें अब तक बनाए गए हर ज्ञात आपराधिक उपकरण के "ब्लूप्रिंट" (खाके) मौजूद हैं—जैसे कि एक विशिष्ट ताला खोलने वाला औजार (lockpick) ठीक किस आकार का है या एक विशिष्ट बम का डिटोनेटर कैसे वायर किया गया है। यह नॉलेज बेस (Knowledge Base) है।
2. सिमेंटिक ट्रांसलेटर (The Semantic Translator - LLM)
अपराधी चालाक होते हैं। वे एक ही काम करने के लिए पेचकस का अलग ब्रांड या थोड़े अलग आकार का तार इस्तेमाल कर सकते हैं। इसे "ऑब्फस्केशन" (obfuscation) कहा जाता है।
AsmRAG एक विशेष AI का उपयोग करता है, जो एक मास्टर ट्रांसलेटर की तरह कार्य करता है। उसे इस बात से फर्क नहीं पड़ता कि तार लाल है या नीला; वह समझता है कि "इस तार का उपयोग सर्किट पूरा करने के लिए किया जा रहा है।" वह "सतही" रूप के परे देखता है और इरादे (intent) को समझता है।
3. "एंकर" खोज (The "Anchor" Search - रिट्रीवल)
जब कोई संदिग्ध नई फ़ाइल आती है, तो Asm-RAG केवल अनुमान नहीं लगाता। वह संदिग्ध हिस्सों के "ब्लूप्रिंट" लेता है और मिलान खोजने के लिए पुस्तकालय में दौड़ता है।
यह "एंकर फंक्शन" (Anchor Function) की तलाश करता है—कोड का वह एक विशिष्ट हिस्सा जो "स्मोकिंग गन" (ठोस सबूत) है। यह चोरी हुए हीरे पर एक विशिष्ट, दुर्लभ प्रकार के फिंगरप्रिंट को खोजने जैसा है। भले ही चोर ने दस्ताने पहने हों, लेकिन हीरे को संभालने का उनका तरीका एक अद्वितीय "सिमेंटिक" निशान छोड़ देता है।
4. फॉरेंसिक रिपोर्ट (The Forensic Report - स्पष्टीकरण)
यह सबसे महत्वपूर्ण हिस्सा है। एक सुरक्षा गार्ड के यह कहने के बजाय कि, "मुझे लगता है कि यह आदमी बुरा है," AsmRAG मानव विश्लेषक को एक लिखित रिपोर्ट सौंपता है जो कहती है:
"यह फ़ाइल दुर्भावनापूर्ण (malicious) है। मुझे 96% यकीन है क्योंकि, पेज 4 पर, इसमें निर्देशों का एक विशिष्ट क्रम है जो 'Ramnit' हैकर गैंग द्वारा उपयोग किए गए 'एन्क्रिप्शन इंजन' के समान है। भले ही उन्होंने हिस्सों के नाम बदल दिए हों, लेकिन जिस तरह से वे डेटा को मूव करते हैं, वह एक सटीक मिलान है।"
यह क्यों मायने रखता है?
- इसे धोखा देना कठिन है: क्योंकि AsmRAG तर्क (क्यों) को देखता है न कि दिखावट (क्या) को, इसलिए हैकर्स केवल "जंक" कोड जोड़कर या फ़ाइल का रूप बदलकर इसे आसानी से चकमा नहीं दे सकते।
- यह खुद को स्पष्ट करता है: यह एक "ब्लैक बॉक्स" (एक ऐसा AI जो बिना कारण के उत्तर देता है) को "ग्लास बॉक्स" (एक ऐसा AI जो अपना काम दिखाता है) में बदल देता है। यह मानव विशेषज्ञों को बहुत तेज़ी से और अधिक आत्मविश्वास के साथ निर्णय लेने में मदद करता है।
- यह तुरंत सीखता है: हर बार जब एक मानव विशेषज्ञ किसी नए प्रकार के खतरे की पुष्टि करता है, तो AsmRAG उस नए "ब्लूप्रिंट" को तुरंत अपने पुस्तकालय में जोड़ देता है। यह हर एक पकड़ के साथ और स्मार्ट होता जाता है।
संक्षेप में: AsmRAG यह अनुमान लगाना बंद करता है कि कोई फ़ाइल मालवेयर जैसी "महसूस" होती है और ज्ञात अपराधियों के डिजिटल फिंगरप्रिंट ढूंढकर इसे साबित करता है।
अपने क्षेत्र के पेपरों की भीड़ में उलझे हुए हैं?
आपके रिसर्च कीवर्ड से मेल खाने वाले सबसे नए और अलग सोच वाले पेपरों का रोज़ाना Digest पाएँ—तकनीकी सारांश के साथ, आपकी भाषा में।