技術概要：MAGMA – 堅牢なマルウェア検出のための確率的合意型マルチエージェント RAG フレームワーク

1. 問題定義

現代の深層学習（DL）マルウェア検知器は支配的であるものの、致命的な脆弱性「意味的盲目性」に悩まされています。バイナリコードを構造化されていない統計データ（例：生バイト列）として扱うこれらのモデルは、真の意味的推論を欠く確率的パターンマッチャーとして機能します。この限界は「確信過剰な誤り（Confident Wrongness）」として現れます。これは、敵対的変換（例：命令置換、デッドコード挿入）が入力を埋め込み空間の疎な領域に移動させ、決定境界を横切ることで、根本的なマルウェア機能を改変することなく、モデルが高確信度（例：99% 以上が良性）の判定を悪性サンプルに対して出力してしまう現象です。

現在の最先端システムには、認識論的不確実性（モデルの無知）を定量化する形式的メカニズムが欠如しています。その結果、入力データが訓練分布の外部にある場合でも二値決定を強要し、異常事例を人間のレビューに回すことなく、破滅的な自動誤判定を犯してしまいます。

2. 手法：MAGMA フレームワーク

著者は、検出を静的なパターンマッチングから「確率的証拠収集プロセス」へと再定義するフレームワーク「MAGMA（Multi-Agent Generative Malware Analysis：マルチエージェント生成型マルウェア分析）」を提案します。このアーキテクチャは、構造的表現と確率的推論を以下の 4 つの中核コンポーネントを通じて分離します。

A. ダブルストリーム・リフティング

意味的不透明性を克服するため、MAGMA はバイナリをベクトル化に先立って、2 つの並列した人間可読の中間表現へリフティング（引き上げ）します。

1. 構文ストリーム（$I_{ASM}$）： 正規化されたアセンブリ命令を生成する線形ディスアセンブリング・マッピング。これは、高レベルのデコンパイルでは失われがちな、微細なアーキテクチャ依存関係、レジスタ操作、暗号定数を捉えます。
2. 意味ストリーム（$I_{Code}$）： 高レベルの疑似 C コードへのデコンパイル。これはコンパイラ固有の詳細を抽象化し、制御フローグラフ（CFG）、データ依存関係、およびコア API シーケンスを分離します。
   これらの二重埋め込みは連結されて複合クエリベクトルを形成し、意味的意図が悪性のままである場合、構文的な難読化（例：レジスタ名変更）が検出を回避できないことを保証します。逆もまた同様です。

B. 検索拡張生成（RAG）

MAGMA は、大規模言語モデル（LLM）の凍結されたパラメトリックメモリに依存するのではなく、検証済みかつアナリストがキュレーションした「意思決定重要関数（DCFs）」で構成された「ベクトル知識ベース（KB）」を照会します。

• システムは、潜在空間におけるコサイン類似度に基づき、$k$ 個の最近傍（DCF）を検索します。
• このステップは、既知の脅威インテリジェンスに基づいて生成プロセスを接地させ、幻覚を防止し、分類タスクを証拠評価タスクへと変換します。

C. 確率的一貫性アンサンブル

推論プロセスの安定性を探るため、MAGMA は $N$ 個の同一 LLM インスタンスからなる「均質エージェントアンサンブル」を採用します。

• 確率的サンプリング： 貪欲デコーディングとは異なり、エージェントは温度 $T > 0$ で動作し、モデルに代替の低確率推論経路の探索を強制します。
• 独立推論： 各エージェントは、検索された DCF と二重ストリーム文脈を独立に評価し、二値判定（悪性/良性）を生成します。
• 合意： システムはこれらの独立した出力を集約し、予測の安定性を測定します。

D. 定量化可能な不確実性指標

このフレームワークは、不確実性を定量化し意思決定を導くための 2 つの補完的指標を導き出します。

1. 機能証拠強度（FES）： 検索信頼度の重み付き集約。これは、検索された文脈の類似度重みでスケーリングされた、全エージェントに割り当てられた「悪性」クラスの平均確率質量を計算します。これにより、強力な証拠的裏付けなしにエージェントが合意する「幻覚的合意」を防ぎます。
2. 証拠対立スコア（ECS）： アンサンブルの予測分布のシャノンエントロピーとして定義されます。
   • 低い ECS（$\approx 0$）は高い合意（安定した予測）を示します。
   • 高い ECS（$\approx 1$）はエージェント間の顕著な不一致を示し、構造的曖昧性、敵対的摂動、または分布外（OOD）入力を示唆します。

E. 3 状態決定ポリシー

MAGMA は二値分類を 3 状態ポリシーに置き換えます。

• 悪性： 高い FES かつ低い ECS。
• 良性： 低い FES かつ低い ECS。
• 不確実（拒否）： 高い ECS（閾値 $\tau_{stable}$ を超える）。
  「不確実」とマークされた入力は自動的に拒否され、人間の分析者のレビューにルーティングされます。これにより、曖昧なサンプルに対して確信過剰だが誤った判定を下すことを防ぎます。

3. 主要な貢献

1. ダブルストリーム RAG アーキテクチャ： 構文アセンブリと意味疑似コードを結合ベクトル空間にマッピングする新規メカニズム。意思決定重要関数のキュレーション KB に推論を接地させることで、ニューラルネットワークの不透明性を軽減します。
2. 定量化可能な帰属（FES）： 検索された文脈の影響を重み付ける機能証拠強度指標の導入。ブラックボックス予測を監査可能な証拠連鎖へと変換します。
3. 確率的自己一貫性： マルウェア検出を確率的合意ゲームとしてモデル化。$T>0$ のマルチエージェントアンサンブルが敵対的基準に対して証拠を評価し、有界な予測分布を生成します。
4. エントロピーによる形式的拒否： 証拠対立スコア（ECS）を敵対的摂動への感度の代理指標として定義。認識論的不確実性が高すぎる場合に分類を停止する、原則的な「拒否オプション」ポリシーを可能にします。
5. 広範な評価： 高度に多形変種および確立されたベースライン（MalConv、ResNeXt+）に対する包括的なテスト。エントロピー誘導拒否ポリシーの有効性を実証しました。

4. 実験結果

このフレームワークは、先読みバイアスを防ぐために時間的に分割された 40,814 個のバイナリ（Wild-Augmented Benchmark）のデータセットで評価されました。

• 検出性能： MAGMA は F1 スコア 98.4% を達成し、最強の外部ベースライン（ResNeXt+）を 1.3 ポイント、MalConv を 4.2 ポイント上回りました。
• 誤り削減： エントロピー誘導拒否ポリシーを強制することで、回避試行に対する検出精度が絶対値 4.2% 向上し、拒否しないベースラインと比較して偽陽性率（FPR）が 4.0% 削減されました。
• アブレーション研究：
  • ダブルストリーム埋め込み単独で 95.8% の F1 スコアを達成し、MalConv を上回りました。
  • LLM アンサンブル（$N=5$）を追加することでさらに 2.6 ポイント増加し、検索のみでは解決できない境界事例をアンサンブル多様性が解決することを確認しました。
  • ゼロショット LLM 推論（RAG なし）は性能が低く（F1 79.6%）、検索拡張による接地の必要性を浮き彫りにしました。
• 不確実性較正： 誤分類されたサンプルは、正しい予測（$\sim 0.13$）と比較して著しく高い ECS 値（$\sim 0.84$）を示し、人間ループ拒否のための効果的なシグナルとして ECS を検証しました。
• レイテンシ： 完全パイプラインの平均はバイナリあたり約 42 秒（LLM 推論が支配的）であり、MAGMA はリアルタイムエンドポイントスキャナーではなく、ティア 2 クラウド検証レイヤーとして位置づけられます。

5. 意義と主張

本論文は、MAGMA がマルウェア防御における根本的な非対称性に対処すると主張しています。すなわち、防御者はすべてのマルウェア変種を制限しなければならない一方、攻撃者はたった 1 つの成功する回避経路だけでよいという状況です。MAGMA は「確率的パターンマッチング」から「確率的検証」へと転換することで、モデル自身の盲点を明示的に定量化します。

その意義は、システムが以下の能力を持つ点にあります。

• 構造的曖昧性の特定： エントロピー最大化を用いて、悪性機能が保持されていても決定境界付近で構造的に摂動された入力を検出します。
• 確信過剰な誤りの防止： 二値決定を強要するのではなく、曖昧な入力を自動的に拒否することで、破滅的な自動誤判定のリスクを低減します。
• 意味的ギャップの架橋： RAG を活用して、埋め込みの識別能力と LLM の推論能力を接続し、幻覚的なゼロショット推論ではなく、検証済みの脅威インテリジェンスに基づいた分析を可能にします。

著者は、MAGMA を高スループットのエンドポイント AV エンジンの代替としてではなく、署名フィルタを回避するが自動サンドボックス化のための決定的な行動指標を欠く「グレーゾーン」サンプルのための堅牢な「ティア 2 検証レイヤー」として位置づけています。