Multi-View Decompilation for LLM-Based Malware Classification
यह शोध पत्र यह प्रदर्शित करता है कि कई डिकंपाइलर्स (Ghidra और Retdec) से पूरक pseudo-C दृश्यों (views) का उपयोग करके उन्हें लार्ज लैंग्वेज मॉडल्स के इनपुट के रूप में लेने से सिंगल-व्यू दृष्टिकोणों की तुलना में मैलवेयर वर्गीकरण रिकॉल (recall) और F1 स्कोर में महत्वपूर्ण सुधार होता है, जो उन्नत मैलवेयर ट्राइएज (triage) के लिए एक सरल, प्रशिक्षण-मुक्त रणनीति प्रदान करता है।
मूल पेपर CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) के तहत लाइसेंस किया गया है। नीचे दिए गए पेपर की यह व्याख्या AI से तैयार की गई है। इसे लेखकों ने न तो लिखा है, न इसका समर्थन किया है। तकनीकी सटीकता के लिए मूल पेपर देखें। पूरा डिस्क्लेमर पढ़ें
कल्पना कीजिए कि आप एक जासूस हैं जो यह पता लगाने की कोशिश कर रहे हैं कि एक रहस्यमय, बंद डिब्बे में कोई हानिरहित उपहार है या कोई खतरनाक जाल। समस्या यह है कि डिब्बा टूटकर बिखर चुका है, और आपके पास केवल टूटे हुए टुकड़ों के दो अलग-अलग, थोड़े बिखरे हुए ढेर बचे हैं।
यह लेख इस बारे में है कि कैसे आर्टिफिशियल इंटेलिजेंस (AI) उस जासूस की तरह काम करने का एक नया तरीका अपना सकता है।
समस्या: एक टूटा हुआ दर्पण
आमतौर पर, जब सुरक्षा विशेषज्ञ किसी कंप्यूटर प्रोग्राम (एक "बाइनरी") का विश्लेषण करते हैं, तो वे उसके मूल, साफ स्रोत कोड (source code) को नहीं देख पाते हैं। इसके बजाय, वे प्रोग्राम को फिर से बनाने की कोशिश करने के लिए एक डीकंपाइलर (decompiler) नामक टूल का उपयोग करते हैं ताकि उसे पढ़ने योग्य टेक्स्ट (pseudo-C code) जैसा बनाया जा सके।
डीकंपाइलर को एक टूटे हुए दर्पण की तरह समझें। यदि आप एक दरार वाले दर्पण में अपना प्रतिबिंब देखते हैं, तो आप अपना चेहरा देखते हैं, लेकिन वह विकृत होता है।
- दर्पण A (Ghidra) आपकी नाक को थोड़ा खींच सकता है।
- दर्पण B (RetDec) आपकी आँखों को अलग तरह से सिकोड़ सकता है।
दोनों दर्पण एक ही व्यक्ति को दिखाते हैं, लेकिन वे अलग-अलग "ग्लिच" या विकृतियाँ दिखाते हैं।
अतीत में, शोधकर्ताओं ने AI को केवल एक दर्पण (एक डीकंपाइलर का आउटपुट) देखने के लिए कहा कि कोड "अच्छा" (benign) है या "बुरा" (malicious)। लेखकों ने तर्क दिया कि यह जोखिम भरा है। यदि दर्पण A किसी खतरनाक विशेषता को बहुत अधिक खींचकर छिपा देता है, तो AI उसे पहचानने में चूक सकता है। यदि दर्पण B उसे सिकोड़कर छिपा देता है, तो भी AI उसे मिस कर देगा।
समाधान: "दो-दर्पण" रणनीति
शोधकर्ताओं ने एक सरल प्रश्न पूछा: क्या होगा अगर हम AI को एक साथ दोनों दर्पण दिखा दें?
उन्होंने 100 प्रोग्रामों का एक परीक्षण सेट बनाया: 50 हानिरहित यूटिलिटीज (जैसे कैलकुलेटर या फ़ाइल ऑर्गनाइज़र) थे और 50 वास्तविक मैलवेयर (जैसे वायरस, स्पाइवेयर और बॉट्स) थे। उन्होंने हर एक प्रोग्राम को दो अलग-अलग डीकंपाइलर्स (Ghidra और RetDec) के माध्यम से चलाया, जिससे प्रत्येक सैंपल के लिए एक ही कोड के दो अलग-अलग "दृश्य" (views) तैयार हुए।
फिर, उन्होंने विभिन्न AI मॉडलों से निम्नलिखित देखने के लिए कहा:
- केवल दर्पण A का दृश्य।
- केवल दर्पण B का दृश्य।
- दोनों दृश्य एक साथ।
उन्हें क्या पता चला
परिणाम ऐसे थे जैसे कोई जासूस दो गवाहों के बयानों की तुलना करके मामला सुलझा रहा हो।
- "एकल दर्पण" की खामी: जब AI ने केवल एक दृश्य देखा, तो वह अक्सर भ्रमित हो गया। कभी-कभी दर्पण A ने एक वायरस को निर्दोष दिखाया, और कभी-कभी दर्पण B ने। AI बुरे लोगों को पकड़ने में चूक गया क्योंकि उस विशिष्ट दर्पण के "ग्लिच" ने सबूतों को छिपा दिया था।
- "दो-दर्पण" की जीत: जब AI ने एक साथ दोनों दृश्य देखे, तो वह बुरे लोगों को पकड़ने में बहुत बेहतर हो गया।
- यदि दर्पण A ने किसी खतरनाक विशेषता को छिपा दिया, तो दर्पण B ने उसे अक्सर स्पष्ट रूप से दिखाया।
- यदि दर्पण B शोर भरा और भ्रमित करने वाला था, तो दर्पण A अक्सर स्पष्ट था।
- उन्हें मिलाकर, AI "खाली जगहों को भर" सका और पूरी तस्वीर देख सका।
लेख ने पाया कि इस "दो-दर्पण" दृष्टिकोण के लिए AI को कुछ नया सिखाने या नए डेटा पर प्रशिक्षित करने की आवश्यकता नहीं थी। यह एक सरल, मुफ्त अपग्रेड था: बस AI को अलग-अलग कोणों से अधिक जानकारी दें।
"आम सहमति" (Consensus) की उपमा
शोधकर्ताओं ने एक चतुर शॉर्टकट भी आजमाया। उन्होंने कहा, "यदि दर्पण A और दर्पण B दोनों इस बात पर सहमत हैं कि कोड सुरक्षित है, तो चलिए उन पर भरोसा करते हैं। लेकिन यदि वे असहमत हैं, तो आइए यह पता लगाने के लिए दोनों दृश्यों को देखते हैं कि कौन सही है।"
यह अच्छी तरह से काम कर गया, लेकिन सबसे अच्छे परिणाम तब मिले जब हमने हर बार दोनों दृश्यों को दिखाना शुरू किया। यह देखा गया कि भले ही दर्पण सहमत थे, लेकिन दोनों दृश्यों को रखने से AI अधिक आत्मविश्वासी और सटीक हो गया।
मुख्य निष्कर्ष (The Bottom Line)
लेख यह निष्कर्ष निकालता है कि एक एकल डीकंपाइलर पर निर्भर रहना आधा हिस्सा गायब होने वाले पहेली को सुलझाने जैसा है। एक ही कोड पर अलग-अलग दृष्टिकोण देने के लिए एकाधिक डीकंपाइलर्स का उपयोग करके, हम अपने AI को कुछ नया सिखाए या उसे लंबे समय तक प्रशिक्षित किए बिना अधिक मैलवेयर को पकड़ सकते हैं। यह एक सरल, व्यावहारिक तरीका है जो वर्तमान AI उपकरणों को डिजिटल खतरों को पहचानने के लिए बहुत अधिक विश्वसनीय बनाता है।
अपने क्षेत्र के पेपरों की भीड़ में उलझे हुए हैं?
आपके रिसर्च कीवर्ड से मेल खाने वाले सबसे नए और अलग सोच वाले पेपरों का रोज़ाना Digest पाएँ—तकनीकी सारांश के साथ, आपकी भाषा में।