Sintesi Tecnica: Classificazione Scalabile delle Famiglie di Malware Utilizzando il Machine Learning Basato su Kernel Quantistici

Definizione del Problema

La classificazione delle famiglie di malware è un compito critico nella cybersecurity, essenziale per l'attribuzione delle minacce, l'analisi della linea di discendenza e lo sviluppo di strategie di difesa. Tuttavia, il compito è diventato sempre più difficile a causa della rapida proliferazione di varianti di malware, dell'ampia diffusione di tecniche di offuscamento, packing e generazione automatizzata. Questi fattori determinano un'elevata somiglianza strutturale inter-familiare e una forte polimorfia, sfidando i modelli tradizionali di machine learning.

Gli approcci classici esistenti, inclusi i classificatori lineari, i modelli basati su alberi e il deep learning, affrontano limiti specifici in contesti multiclasse su larga scala:

• Espressività: Le caratteristiche estratte manualmente spesso non riescono a catturare sottili relazioni non lineari tra le famiglie di malware.
• Scalabilità: I modelli di deep learning richiedono enormi quantità di dati etichettati e risorse computazionali, portando spesso a una ridotta interpretabilità.
• Sbilanciamento delle Classi e Somiglianza: Un marcato sbilanciamento delle classi e la sovrapposizione strutturale limitano le capacità di generalizzazione dei modelli classici.
• Limitazioni Quantistiche: Sebbene il Quantum Machine Learning (QML) offra potenziale attraverso l'embedding in spazi di Hilbert ad alta dimensionalità, la ricerca attuale è spesso limitata alla classificazione binaria, a dataset di piccole dimensioni o a dati sintetici. Inoltre, la costruzione di matrici di kernel quantistici complete scala quadraticamente ($O(N^2)$) rispetto al numero di campioni, rendendo l'applicazione diretta a grandi repository di malware computazionalmente impraticabile.

Metodologia

Gli autori propongono un framework di Scalable Quantum Kernel-based Machine Learning (QKML) progettato per affrontare sia i vincoli di accuratezza che quelli di efficienza nella classificazione multiclasse di malware. Il framework integra quattro componenti primarie:

1. Costruzione del Dataset e Rappresentazione delle Caratteristiche

Lo studio utilizza un dataset su larga scala (QLCD) composto da 18.836 campioni distribuiti su 23 famiglie di malware (inclusi 22 famiglie malevole e una classe benigna).

• Estrazione delle Caratteristiche: Le caratteristiche strutturali statiche sono estratte dai file Portable Executable (PE), includendo l'entropia del file, le statistiche delle sezioni e i rapporti tra dimensioni virtuali e reali. Gli attributi categorici (es. tipo di macchina, packer) vengono codificati tramite one-hot encoding.
• Pre-elaborazione: Le caratteristiche subiscono una normalizzazione Z-score e un'imputazione della mediana per i valori mancanti. Le famiglie con meno di 50 campioni sono escluse per garantire un apprendimento multiclasse affidabile.

2. Proiezione delle Caratteristiche Supervisionata (LDA)

Per mitigare la crescita esponenziale della complessità dei circuiti quantistici con la dimensione dell'input e il numero limitato di qubit disponibili, il framework impiega l'Analisi Discriminante Lineare (LDA) come passaggio di riduzione della dimensionalità supervisionata.

• L'LDA proietta i vettori di caratteristiche ad alta dimensionalità in uno spazio sussidiario a bassa dimensionalità e consapevole delle classi (class-aware) di dimensione $k \le C-1$ (dove $C$ è il numero di classi).
• Questo passaggio massimizza la separabilità tra le classi minimizzando al contempo la varianza intra-classe, creando una rappresentazione compatta adatta alla codifica quantistica.

3. Costruzione del Kernel Quantistico

I vettori di caratteristiche proiettati vengono codificati in stati quantistici utilizzando una mappa di caratteristiche quantistica parametrizzata (un circuito quantistico parametrizzato, PQC).

• Codifica: Le caratteristiche sono mappate in angoli di rotazione (es. gate $R_Y$) su $n$ qubit.
• Definizione del Kernel: Il kernel quantistico è definito dalla fedeltà al quadrato tra due stati quantistici: $K(z_i, z_j) = |\langle \phi(z_i) | \phi(z_j) \rangle|^2$. Questo kernel basato sulla fedeltà cattura somiglianze non lineari che i kernel classici potrebbero ignorare.

4. Approssimazione del Kernel Scalabile (Metodo di Nyström)

Per superare l'ostacolo computazionale $O(N^2)$ della costruzione del pieno kernel matrix, gli autori utilizzano l'approssimazione di Nyström.

• Selezione dei Landmark: Un sottoinsieme di $M$ campioni landmark ($M \ll N$) viene selezionato dal set di addestramento.
• Approssimazione di Basso Rango: La matrice del kernel completa viene approssimata utilizzando sottomatrici derivate dai landmark. Ciò consente la costruzione di una rappresentazione esplicita a bassa dimensionalità $\psi(z_i)$ per tutti i campioni.
• Classificazione: Un modello di regressione ridge classico viene addestrato su queste caratteristiche approssimate tramite Nyström per eseguire la classificazione multiclasse. Questo approccio permette di apprendere dall'intero dataset senza sottocampionamento, riducendo la complessità dominante a $O(NM)$.

Contributi Chiave

Il documento delinea quattro contributi primari:

1. Framework QKML Scalabile: Una nuova pipeline che combina kernel quantistici basati sulla fedeltà con la proiezione supervisionata LDA per abilitare una riduzione della dimensionalità consapevole delle classi e migliorare il potere discriminativo.
2. Approssimazione di Nyström per i Kernel Quantistici: Un metodo per costruire una rappresentazione a basso rango del kernel quantistico utilizzando campioni landmark. Ciò consente l'addestramento sull'intero dataset senza il bias del sottocampionamento e riducendo significativamente il numero di valutazioni di fedeltà quantistica richieste.
3. Dataset Reale su Larga Scala: La cura e la pre-elaborazione del dataset QLCD, contenente 18.836 campioni da 23 famiglie, specificamente progettato per valutare il QML in scenari di cybersecurity multiclasse realistici.
4. Validazione Empirica: Esperimenti esaustivi che dimostrano come il framework proposto superi i baseline di machine learning classico sotto identici split di dati e caratteristiche, raggiungendo un'accuratezza dell'80,88%.

Risultati Sperimentali

Gli esperimenti sono stati condotti su un simulatore quantistico basato su statevector, utilizzando una pipeline ibrida classico-quantistica.

• Performance vs. Baseline: Il framework QKML proposto ha raggiunto un'accuratezza dell'80,88%, superando i baseline classici inclusi Softmax Regression (52,79%), Linear SVM (78,73%), KNN (79,56%) e Gaussian Naive Bayes (58,44%).
• Studi di Ablazione:
  • Proiezione: Sostituire l'LDA supervisionata con l'SVD non supervisionata ha ridotto l'accuratezza dall'80,88% al 78,83%, confermando il valore della proiezione consapevole delle etichette.
  • Landmarks: L'accuratezza è migliorata da ~74% (1.000 landmark) a ~81,8% (8.000 landmark), mostrando rendimenti decrescenti oltre $M=8000$.
  • Profondità del Circuito: Aumentare le ripetizioni del circuito ($L$) e il numero di qubit ($n$) ha generalmente migliorato le prestazioni, con i migliori risultati a $n=8, L=4$.
• Performance per Classe: Il modello ha dimostrato una forte performance sulle famiglie principali (es. Mediyes F1=0,988, Winwebsec F1=0,986) e sulla classe benigna (F1=0,774). Le prestazioni sono state inferiori per le classi minoritarie con alta somiglianza strutturale (es. Lockbit, LokiBot), in linea con le sfide note nella classificazione dei malware.
• Efficienza:
  • Tempo di Esecuzione: La pipeline quantistica ha completato l'addestramento in 426,58 secondi, significativamente più velocemente dei baseline classici come KNN (830s) e GaussianNB (1161s).
  • Costo Computazionale: Il modello quantistico ha richiesto ordini di grandezza in meno di operazioni (proxy di gate e statevector) rispetto ai modelli classici, suggerendo potenziali vantaggi di efficienza energetica.
  • Scalabilità: Una configurazione "Quantum-Lite" (meno qubit e landmark) ha raggiunto il 74,82% di accuratezza con un'accelerazione di 5,5x, dimostrando una scalabilità efficiente delle risorse.

Significato e Rivendicazioni

Gli autori affermano che questo lavoro colma il divario tra l'espressività teorica dei metodi a kernel quantistico e i requisiti di scalabilità pratica per l'analisi dei malware nel mondo reale.

• Vantaggio Misurabile: Lo studio dimostra che le tecniche di kernel quantistico scalabili possono offrire vantaggi misurabili in termini di performance (accuratezza più elevata e perdita inferiore) rispetto ai baseline classici in compiti di cybersecurity multiclasse complessi.
• Fattibilità Pratica: Integrando l'approssimazione di Nyström e la proiezione supervisionata, il framework consente l'uso di tutti i dati di addestramento disponibili senza il costo proibitivo della costruzione del pieno kernel, rendendolo adatto a repository su larga scala.
• Direzione Futura: Il documento posiziona questo lavoro come un passo pratico verso l'integrazione dell'apprendimento potenziato dal quantum nei processi operativi di analisi dei malware, in particolare per i dispositivi quantistici a breve termine (NISQ) e i workflow ibridi.

Limitazioni Note dagli Autori:
Gli autori dichiarano esplicitamente che la valutazione si basa su un simulatore quantistico classico piuttosto che su hardware reale, il che significa che gli effetti di rumore e decoerenza non sono catturati. Inoltre, sebbene l'approssimazione di Nyström migliori la scalabilità, il costo della preparazione dello stato cresce ancora con il numero di qubit e la profondità del circuito, e l'attuale implementazione non è ancora implementata in un ambiente di streaming in tempo reale.