論文の技術的概要：マルウェア検出における混合エキスパート（MoE）グラフモデルのためのルーティング意識型説明

この論文は、制御フローグラフ（CFG）を用いたマルウェア検出タスクにおいて、混合エキスパート（Mixture of Experts: MoE）アーキテクチャを採用し、その決定プロセスを透明化するためのルーティング意識型（Routing-Aware）の説明手法を提案するものです。従来の単一モデルや単純なアンサンブル学習を超え、モデルが「なぜ」特定の判断を下したかを、どのエキスパートが選択され、どのように重み付けされたかという観点から説明する枠組みを構築しています。

以下に、問題定義、手法、主要な貢献、結果、および意義について詳細をまとめます。

---

1. 背景と問題定義

現代のマルウェアは、パッキングや難読化技術により進化しており、従来のシグネチャベースや静的解析だけでは検出が困難になっています。動的解析（ランタイム挙動の監視）は有効ですが、その結果得られる制御フローグラフ（CFG）は複雑で多様です。

• 課題: グラフニューラルネットワーク（GNN）は CFG の構造を学習するのに適していますが、単一モデルでは多様なマルウェアの挙動パターンをすべて網羅的に捉えるのが難しく、また「ブラックボックス」化しやすいという問題があります。
• 既存の限界: 従来のアンサンブル学習や MoE は予測精度を向上させますが、どのエキスパートがどの入力に対して機能し、最終判断にどう寄与したかという「説明可能性（Explainability）」が不足している場合が多いです。

2. 提案手法：ルーティング意識型 MoE-GNN フレームワーク

提案手法は、CFG から抽出されたノード特徴を処理し、多様な視点からグラフ全体を評価する 2 段階の多様性（Diversity）と、それに基づいた説明生成を組み合わせたエンドツーエンドのフレームワークです。

2.1 CFG の構築と特徴埋め込み

• 動的シンボル実行: PE ファイルから CFG を抽出し、基本ブロックをノード、制御フローをエッジとして表現します。
• 2 段階ノード特徴埋め込み:
  1. ルールベース符号化: アセンブリ命令をプレフィックス、オプコード、ModRM などの 7 つのコンポーネントに分解し、439 次元のベクトルに変換します。
  2. オートエンコーダによる次元削減: 高次元ベクトルを 64 次元の潜在空間に圧縮し、効率的なノード特徴ベクトルを生成します。

2.2 ノードレベルの多統計符号化（Multi-Statistic Node Encoding）

各 GNN レイヤにおいて、単一の集約ではなく、多様な統計量を並列に計算することでノード表現の多様性を確保します。

• 次数再重み付け（$\rho$）: 次数（Degree）を重み付けするか（$\rho=1$）、均一にするか（$\rho=0$）を制御。
• プーリング選択（$\lambda$）: 平均（mean）、標準偏差（std）、最大値（max）の 3 種類から選択。
• これらの組み合わせ（$\rho \in \{0, 1\}, \lambda \in \{mean, std, max\}$）により、6 種類の異なるノード表現が生成され、MLP で融合されます。

2.3 グラフレベルのエキスパート読み出し（Expert Readouts）

• 6 つの専門エキスパート: 上記の 6 種類の（$\rho, \lambda$）ビューそれぞれに対応する 6 つのエキスパートを定義します。各エキスパートは、特定の構造的特徴（例：次数に依存する分散、最大値など）に特化してグラフレベルのログイットを出力します。

2.4 Top-k ルーティングと負荷分散（Load Balancing）

• ゲートネットワーク: 入力グラフの記述に基づき、6 つのエキスパートの中から Top-k（本研究では k=2）を選択し、重み付けします。
• 負荷分散損失（LB）: すべてのエキスパートが偏って使われるのを防ぎ、バッチ内で均等に利用されるよう正則化項を追加します。これにより、各エキスパートが異なるパターンに特化するよう促します。

2.5 ルーティング意識型事後説明（Routing-Aware Post-Hoc Explanation）

これが本研究の核心的な貢献です。

• エキスパートごとの説明: 選択された Top-k のエキスパートそれぞれに対して、エッジレベルの重要度スコア（例：Integrated Gradients）を計算します。
• ゲート重みによる集約: 各エッジの最終的な説明スコアを、そのエキスパートがゲートによって割り当てられた重み（$\alpha_i$）で重み付けして集約します。
  $$\beta^{(a,j)} = \sum_{i=1}^{k} \alpha_i \beta^{(i,j)}$$
• これにより、説明は「どの部分が重要か」だけでなく、「モデルがどの専門家の判断を重視して結論を出したか」という文脈を反映します。

3. 主要な貢献

1. 統合フレームワークの提案: CFG 構築、2 段階の MoE-GNN モデル、Top-k ルーティング、そしてルーティングを考慮した事後説明を統合したマルウェア検出フレームワークの構築。
2. 2 段階の多様性 MoE: ノードレベルでの多統計符号化と、グラフレベルでの 6 つの専門エキスパート、そして負荷分散を伴う Top-k ルーティングを組み合わせることで、多様なマルウェア挙動への適応性を高めたモデル設計。
3. ルーティング意識型説明手法: 単一の説明ではなく、ゲートネットワークの選択結果に基づいてエキスパートごとの説明を重み付け集約する手法を開発。これにより、モデルの実際の決定プロセスと整合性の取れた透明性のある説明を実現。

4. 実験結果

• データセット: BODMAS（マルウェア）、PMML（マルウェア）、DikeDataset（良性）の CFG データセットを使用。
• 精度: 提案された「Top-2 エキスパート＋負荷分散（LB）」モデルは、GCN、GAT、GIN、GraphSAGE などの単一ベースラインや、他の MoE 変種（均一集約、温度 softmax、Top-1 など）を凌駕しました。
  • 全体の精度：93.59%（ベースライン最高値 89.10% を上回る）。
  • 良性サンプルの精度：96.23%、マルウェアの再現率：97.94%。
• 負荷分散の効果: LB 項を含まない場合、特定のエキスパートペア（E4, E6）への偏りが生じましたが、LB 項を導入することで 6 つのエキスパートが均等に利用され、安定性と精度が向上しました。
• 説明性の評価:
  • 忠実度（Fidelity）: 重要なサブグラフを除去した際（Fidelity+）および重要でない部分を除去した際（Fidelity-）の予測変化を測定。Top-2 LB モデルが最も高い忠実度を示しました。
  • Characterization Score: 説明の必要性と十分性を統合した指標でも、Top-2 LB モデルが他を凌駕し、スパース性（グラフの剪断率）の変化に対して頑健な説明を提供することが確認されました。

5. 意義と結論

本研究は、マルウェア検出における GNN モデルの「精度」と「説明可能性」の両立を達成しました。

• 透明性の向上: 単に「マルウェアである」と判断するだけでなく、どの構造的特徴（分散、最大値など）にどの専門家が注目し、それが最終判断にどう寄与したかを可視化できます。
• 実用的価値: セキュリティアナリストは、この説明に基づいてアラートを検証し、調査を優先順位付けすることが可能になります。
• 将来展望: 本アプローチは、API 呼び出しグラフやシステムコールグラフなど、他のマルチモーダルなグラフ入力への拡張や、侵入検知システムなど他のサイバーセキュリティ領域への応用が期待されます。

結論として、エキスパートの選択と負荷分散を明示的にモデル化し、それを説明プロセスに統合することは、グラフベースのマルウェア分析における意思決定の透明性を高め、より信頼性の高いセキュリティシステム構築に寄与します。