Quantifiable Uncertainty: A Stochastic Consensus Multi-Agent RAG Framework for Robust Malware Detection
यह शोध पत्र MAGMA को प्रस्तुत करता है, जो एक स्टोकेस्टिक कंसेंसस मल्टी-एजेंट RAG फ्रेमवर्क है जो एपिस्टेमिक अनिश्चितता (epistemic uncertainty) को मापने और प्रभावी ढंग से संदिग्ध नमूनों को अस्वीकार करने के लिए सिमेंटिक कोड रिट्रीवल को प्रोबेबिलिस्टिक वेरिफिकेशन से अलग करके मजबूत मालवेयर डिटेक्शन को बढ़ाता है, जिससे 98.4% डिटेक्शन दर प्राप्त होती है।
मूल पेपर CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) के तहत लाइसेंस किया गया है। नीचे दिए गए पेपर की यह व्याख्या AI से तैयार की गई है। इसे लेखकों ने न तो लिखा है, न इसका समर्थन किया है। तकनीकी सटीकता के लिए मूल पेपर देखें। पूरा डिस्क्लेमर पढ़ें
कल्पना कीजिए कि आप एक हाई-टेक बैंक के सुरक्षा गार्ड हैं। आपका काम चोरों (मालवेयर) को पकड़ना है जो चुपके से अंदर घुसने की कोशिश कर रहे हैं।
लंबे समय तक, सुरक्षा गार्डों ने एक सरल तरीका इस्तेमाल किया: उन्होंने ज्ञात चोरों के चेहरों को याद कर लिया। यदि कोई चेहरा उनकी किताब के फोटो से मेल खाता था, तो वे अलार्म बजा देते थे। यह पारंपरिक एंटीवायरस सॉफ़्टवेयर की तरह है। लेकिन चतुर चोरों ने मास्क पहनना, बाल बदलना या नकली आईडी (स्ट्रक्चरल म्यूटेशन) का उपयोग करना शुरू कर दिया। गार्ड, जो केवल सतह को देखते थे, धोखा खा गए। वे आत्मविश्वास से कहते थे, "यह एक सामान्य ग्राहक है," भले ही वह वेश बदलकर आया हुआ एक चोर हो। यही वह चीज़ है जिसे पेपर में "कॉन्फिडेंट रोंगनेस" (Confident Wrongness) कहा गया है।
इस पेपर के लेखकों ने, जिनका नेतृत्व एल्मुतेज़ बिल्लाह करबाब (ElMouatez Billah Karbab) ने किया है, इस समस्या को ठीक करने के लिए MAGMA नामक एक नया सिस्टम बनाया है। केवल एक फोटो देखने के बजाय, MAGMA एक विशेषज्ञ जासूसों की टीम की तरह काम करता है जो केवल अनुमान नहीं लगाते—वे जांच करते हैं।
यहाँ बताया गया है कि MAGMA कैसे काम करता है, जिसे सरल चरणों में विभाजित किया गया है:
1. दो-लेंस वाला कैमरा (डुअल-स्ट्रीम लिफ्टिंग)
जब एक नई फ़ाइल आती है, तो MAGMA केवल कच्चे कोड (जो संख्याओं का एक उलझा हुआ ढेर जैसा है) को नहीं देखता है। यह एक ही समय में फ़ाइल को देखने के लिए दो अलग-अलग "लेंसों" का उपयोग करता है:
- असेंबली लेंस (The Assembly Lens): यह लो-लेवल, मैकेनिकल निर्देशों को देखता है (जैसे कार के इंजन के पुर्जे)। यह देखता है कि मशीन वास्तव में कैसे बनी है।
- स्यूडो-कोड लेंस (The Pseudo-Code Lens): यह हाई-लेवल लॉजिक को देखता है (जैसे कार का मैनुअल)। यह समझता है कि कोड वास्तव में क्या करने की कोशिश कर रहा है, और उलझी हुई बारीकियों को अनदेखा कर देता है।
दोनों लेंसों का उपयोग करके, MAGMA चालों के पार देख सकता है। यदि कोई चोर इंजन के पुर्जों को अलग दिखने के लिए बदल देता है (Assembly), तो कार का लॉजिक (Pseudo-code) आमतौर पर वैसा ही रहता है। यदि वे लॉजिक बदलते हैं, तो इंजन के पुर्जे उन्हें पकड़ लेंगे।
2. जासूसों का पुस्तकालय (रिट्रीवल-ऑगमेंटेड जनरेशन)
हर संभावित चोर को याद रखने के बजाय, MAGMA के पास सत्यापित "डिसीजन-क्रिटिकल फंक्शन्स" (DCFs) का एक विशाल पुस्तकालय है। ये कोड के ऐसे टुकड़े हैं जिन्हें हानिकारक माना जाता है, जैसे विशिष्ट आपराधिक व्यवहारों के लिए विशिष्ट "वांटेड" पोस्टर।
जब एक नई फ़ाइल आती है, तो MAGमा अनुमान नहीं लगाता। यह तुरंत अपने पुस्तकालय में खोजता है कि क्या फ़ाइल का कोड इन "वांटेड" टुकड़ों में से किसी से मेल खाता है। यह सिस्टम को केवल अनुमान लगाने के बजाय वास्तविक साक्ष्यों पर आधारित करता है।
3. जासूसों की जूरी (स्टोकेस्टिक कंसेंसस एनसेम्बल)
यह सबसे अनूठा हिस्सा है। एक निर्णय लेने के लिए एक अकेले जासूस के बजाय, MAGMA साक्ष्य को पाँच अलग-अलग AI जासूसों (एजेंट्स) के पास भेजता है।
- ये एजेंट एक जैसे ही हैं, लेकिन उनसे थोड़ी "रैंडमनेस" (जैसे विभिन्न संभावनाओं पर विचार करने के लिए कहना) के साथ सोचने के लिए कहा जाता है।
- वे सभी स्वतंत्र रूप से साक्ष्य देखते हैं और वोट देते हैं: "दोषी" (Malicious) या "निर्दोष" (Benign)।
4. दो स्कोरकार्ड (FES और ECS)
पाँच जासूसों के वोट देने के बाद, MAGMA यह तय करने के लिए कि क्या करना है, दो स्कोर की गणना करता है:
- स्कोर 1: साक्ष्य की मजबूती (FES): यह पूछता है, "सबूत कितना मजबूत है?" यदि जासूसों को किसी ज्ञात "वांटेड" पोस्टर का सटीक मिलान मिलता है, तो यह स्कोर उच्च होता है। यदि वे केवल अनुमान लगा रहे हैं, तो यह स्कोर कम होता है।
- स्कोर 2: संघर्ष स्कोर (ECS): यह पूछता है, "क्या जासूस आपस में बहस कर रहे हैं?"
- यदि सभी 5 जासूस सहमत हैं, तो स्कोर कम होता है (उच्च आत्मविश्वास)।
- यदि 3 "दोषी" कहते हैं और 2 "निर्दोष" कहते हैं, तो स्कोर उच्च होता है। इसका मतलब है कि फ़ाइल भ्रमित करने वाली या चालाकी भरी है।
5. "मुझे नहीं पता" बटन (रिजेक्शन पॉलिसी)
पुराने सिस्टम में, गार्ड को "दोषी" या "निर्दोष" कहना ही पड़ता था, भले ही वे अनिश्चित हों। इससे गलतियाँ हुईं।
MAGMA के पास तीसरा विकल्प है: "अनिश्चित" (Uncertain)।
- यदि संघर्ष स्कोर (Conflict Score) बहुत अधिक है (जासूस बहस कर रहे हैं), तो MAGMA अंतिम निर्णय लेने से इनकार कर देता है।
- इसके बजाय, यह फ़ाइल को फ्लैग करता है और कहता है, "यह एक मशीन के लिए बहुत भ्रमित करने वाला है। इसे समीक्षा के लिए मानव विशेषज्ञ को भेजें।"
परिणाम
पेपर ने हजारों वास्तविक मालवेयर नमूनों, जिनमें बहुत ही चालाक वाले भी शामिल हैं जो छिपने के लिए अपना आकार बदलते हैं, के खिलाफ इस सिस्टम का परीक्षण किया।
- पुराने सिस्टम: इन चालों से भ्रमित हो गए और आत्मविश्वास के साथ गलतियाँ कीं।
- MAGMA: इसने 98.4% मालवेयर को पकड़ा।
- सुरक्षा जाल: जब MAGMA अनिश्चित था, तो इसने रुककर मदद मांगी, जिससे इसने "कॉन्फिडेंट रोंग" (गलत होने के बावजूद आत्मविश्वास दिखाना) जैसी गलतियों को रोका।
ट्रेड-ऑफ (समझौता)
पेपर स्वीकार करता है कि इसकी एक लागत है। क्योंकि MAGMA पाँच जासूसों का उपयोग करता है और एक पुस्तकालय में खोज करता है, इसलिए इसे एक फ़ाइल की जांच करने में पुराने सिस्टमों (जो एक सेकंड के अंश में जांच करते हैं) की तुलना में अधिक समय लगता है (लगभग 42 सेकंड)।
लेखक सुझाव देते हैं कि MAGMA को शुरुआती तेज़ स्कैनर का स्थान नहीं लेना चाहिए। इसके बजाय, इसे उन कठिन फ़ाइलों के लिए दूसरी पंक्ति के विशेषज्ञ के रूप में कार्य करना चाहिए जिन्हें तेज़ स्कैनर तय नहीं कर पाता है। यह उस सुरक्षा कैमरे और फोरेंसिक विशेषज्ञों की टीम के बीच का अंतर है जो अपराध सुलझाने के लिए फोटो का विश्लेषण करते हैं।
अपने क्षेत्र के पेपरों की भीड़ में उलझे हुए हैं?
आपके रिसर्च कीवर्ड से मेल खाने वाले सबसे नए और अलग सोच वाले पेपरों का रोज़ाना Digest पाएँ—तकनीकी सारांश के साथ, आपकी भाषा में।