🤖 machine learning

Building an Adversarial Malware Dataset by Family and Type: Generation, Evasion, and Poisoning Evaluation

本論文は、RawMal-TF コレクションから派生した 77,000 件を超える敵対的 PE マルウェアサンプルの公開データセットを紹介し、EMBER 分類器に対する高い回避率と、機械学習ベースの検出システムへの汚染における重大な影響を実証する。

原著者： David Košťál, Martin Jureček

公開日 2026-05-26

📖 1 分で読めます☕ さくっと読める

CC BY 4.0

原著者： David Košťál, Martin Jureček

原論文は CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) でライセンスされています。 ✨ これは以下の論文のAI生成解説です。著者が執筆または承認したものではありません。技術的な正確性については原論文を参照してください。免責事項の全文を読む

「偽物を見分ける」高リスクなゲームを、2 つのチームの間で想像してみてください。一方は「防衛者」（サイバーセキュリティの専門家）、もう一方は「攻撃者」（ハッカー）です。

長年にわたり、防衛者たちはEMBERという非常に賢い自動化された審判を使ってきました。この審判はコンピュータプログラム（具体的には Windows ファイル）を調べ、「これはウイルスのように見える」あるいは「これは安全に見える」と判断します。防衛者たちは、この審判に数百万の悪意のあるファイルと安全なファイルの例を見せることで訓練しています。

一方、攻撃者たちは巧妙になりつつあります。彼らは単に新しいウイルスを作成しているだけでなく、審判がそれらを無害だと誤認するようにウイルスを偽装する方法を学んでいます。これを「敵対的攻撃」と呼びます。

この論文は、防衛者のための巨大なトレーニングジムを構築することを決意した研究者チームに関するものです。彼らは、「偽装された」ウイルスの膨大なコレクションを作成し、審判がそれらをどれだけ見抜けるか、また訓練中に審判がだまされた場合に何が起きるかをテストしたいと考えていました。

以下に、彼らの仕事を簡単な比喩を用いて解説します。

1. 原材料：「モンスター動物園」

研究者たちは、RawMal-TFと呼ばれる現実世界のマルウェアの公開コレクションから始めました。これは、数千匹の現実的で危険なモンスター（ウイルス）を含む動物園だと考えてください。

グループ A（ファミリー動物園）： これらのモンスターを「ファミリー名」で分類しました（例：すべての「トロイの木馬」の兄弟、すべての「スパイウェア」のいとこ）。
グループ B（タイプ動物園）： これらを「職務記述書」で分類しました（例：「これはパスワードを盗む」「これはファイルを削除する」）。

2. 偽装アーティスト：「ジェネレーター」

敵対的データセットを作成するために、研究者たちはモンスターを単にコピーするのではなく、偽装アーティスト（ジェネレーターと呼ばれるソフトウェアツール）のチームを雇いました。

目的： 本物のモンスターを、審判（EMBER）が無害な子犬だと誤認する程度にわずかに調整するが、モンスターは依然として悪事を働くようにすること。
ツール： 彼らは 5 種類の異なるアーティスト（MalwareTotal、MAB-Malware、GAMMA Sectionsなど）を使用しました。あるアーティストは画家のように（ファイルに無害な塗料を追加する）、他のアーティストは仕立て屋のように（形状を隠すために余分な布を縫い込む）働きました。
結果： 彼らは 2 つの巨大な新しいコレクションを作成しました。
- 44,347 個の偽装されたファミリーラベル付きモンスター。
- 33,596 個の偽装されたタイプラベル付きモンスター。

マジックトリック： これらのアーティストは驚くほど優秀でした。標準的な審判（EMBER）に対して、98% のファミリーラベル付きモンスターと92% のタイプラベル付きモンスターが、審判を安全だと誤認させることに成功しました。

3. 「毒入り」訓練実験

これがこの論文の最も重要な部分です。研究者たちは問いかけました。「審判が学習している間に、それをだましたらどうなるか？」

審判をテスト勉強中の学生だと想像してください。研究者たちは、偽装されたモンスターの新しいコレクションを、その学生の学習ガイドに混ぜ込みました。

罠：彼らは学生に、「これらの偽装されたモンスターは実際には安全だ」と言いました（実際には、それらは依然として危険です）。
テスト： 彼らは学習ガイドのわずか0.5% だけを毒入りにしました（ごく少量です）。

衝撃的な結果：

毒入りになる前、学生は偽装されたモンスターの約74% を見抜くことができました。
しかし、そのわずか 0.5% の嘘でだまされた後、学生がモンスターを見抜く能力は7% まで急落しました。
教訓： 少量の「毒入り」情報（誤ラベル付けされたデータ）は、学生が通常のテストでうまくやっているように見えたとしても、その職務を遂行する能力を完全に破壊し得ます。

4. 希望の光：「敵対的訓練」

研究者たちは、逆のシナリオもテストしました。偽装されたモンスターを学習ガイドに混ぜるが、それらを正しく「危険」とラベル付けしたらどうなるか？

結果： 学生は実際には向上しました。偽装を研究することで、学生はそれらを見抜く方法を学びました。これを「敵対的訓練」と呼びます。
教訓： 攻撃者が使っているトリックを（正しくラベル付けして）防衛者に示せば、防衛者ははるかに強くなります。

5. 最終的な贈り物：公共図書館

研究者たちは、これらの結果を自分たちだけで手元に留めませんでした。彼らは、元のモンスター、偽装されたバージョン、そしてそれらがどのように偽装されたかに関するすべてのメモを、公共図書館（データセット）にパッケージ化しました。

なぜ？ 他の研究者が、これらのトリックにだまされないより良い審判を構築するために、この「ジム」を利用できるようにするためです。
注意点： 彼らは、これらのトリックが標準的な審判（EMBER）に対しては非常にうまく機能しましたが、実在の企業が使用する「スーパー審判」（商用アンチウイルスソフトウェア）に対してはあまり成功しなかったと認めました。これは、攻撃者が最高の防衛をだますためには、まだ多くの作業が残されていることを意味します。

まとめ

要約すると、この論文はマルウェアのための巨大な偽装キットです。著者らは以下のことを示しました。

適切なツールを使えば、現在の AI マルウェア検出器をだますことは非常に容易である。
学習中に AI に嘘をつけば（わずかでも）、それを完全に破壊できる。
真実を伝え、AI に偽装を示せば、AI をはるかに強くできる。

彼らはこのキットを世界に公開し、防衛者が悪党が実際に使用する前に、これらの偽装を見抜く練習ができるようにしました。

技術的概要：ファミリーおよびタイプ別に対抗的マルウェアデータセットの構築

問題定義
マルウェア検出の分野は機械学習（ML）分類器への依存度を高めているが、これらのシステムは、悪意のある行為者が検出を回避しつつ機能を維持するために実行ファイルを改変する対抗攻撃に対して脆弱である。研究コミュニティには大きなギャップが存在する。すなわち、現実世界のマルウェアバイナリを体系的に対抗サンプルへ変換した、大規模で公開可能なデータセットが不足していることである。既存の対抗生成器は、複雑なセットアップや莫大な計算資源を必要とするか、あるいは意味のあるデータセットサイズに拡張できないことが多い。さらに、訓練データが誤ラベル付きサンプルで汚染されるデータポイズニング攻撃に対する、ML ベースの検出パイプラインの感受性は、大規模な規模において十分に探求されていない。

手法
著者は、現実世界の Portable Executable (PE) ファイルを、ファミリー（17 の異なるファミリー）またはタイプ（トロイの木馬、スパイウェアなどの 14 種類）のいずれかでラベル付けした公開のRawMal-TFコレクションから派生した、包括的な対抗マルウェアデータセットを構築した。

生成器の選択と展開:
本研究では、Pesidious、MAB-Malware、AMG、GAMMA Sections（SecML Malware 由来）、およびMalwareTotalという 5 つの自動化された対抗マルウェア生成器のスイートを利用した。
- ターゲット分類器: ほとんどの生成器はEMBER（2018）分類器をターゲットとした。多様性と課題の増加を図るため、MalwareTotalは、より新しい堅牢な特徴量セットおよびモデルであるEMBER2024をターゲットするように適応された。
- インフラ: 著者は、これらの生成器を NVIDIA DGX Station A100 サーバー上の Docker によるコンテナ化環境に展開した。並列実行の管理、プロセスのハング監視、リソース制約の処理を行うために、カスタムの「ハーネス」スクリプトを開発した。
- 修正: いくつかの生成器は、Linux 環境で機能させるためにコード調整を必要とした。これには、Windows 固有のパッカーをクロスプラットフォームのPEzorに置き換えること、および新しいターゲット分類器をサポートするようにエージェントを再訓練することが含まれる。
サンプルの選択とフィルタリング:
- パイプラインは、対抗バリアントを生成するためにソースサンプルを処理した。
- 選択アルゴリズム（アルゴリズム 1）を用いて、ソースファイルごとに単一の最良の対抗バリアントを選択した。主要な基準はEMBER スコア（回避には低い方が望ましい）であり、副次的な制約としてファイルサイズの増加（1.5 倍以下を好むが、25 MB を上限とする）が課された。
- データセットには、元の分類ステータス（マルウェアまたは良性）に関わらず、正常に改変されたサンプルが含まれる。
- 病理学的ケース（例えば、改変されていない出力、異なる入力から同一の出力が得られる崩壊したサンプルなど）は検出され、除外された。
評価指標:
- 回避性能: EMBER スコアの減少率と、良性として分類されたサンプルの割合によって測定される。
- アンチウイルス回避: VirusTotal (VT) に対して評価され、特に利用可能なすべてのエンジンおよびキュレーションされた「トップ 10」の商用 AV における検出率を分析した。
- オーバーヘッド: ファイルサイズの増加によって測定される。
データポイズニング実験:
著者は、データポイズニングの影響を評価するための訓練実験を実施した。LightGBM 分類器（RawMal-TF 特徴量で訓練済み）の訓練セットに、さまざまな条件下で対抗サンプルを注入した。
- 汚染割合: 対抗サンプルに置き換えられた訓練データの割合（0.1% から 20% の範囲）。
- 転移性率（ $\tau$ ）: 注入されたマルウェアサンプルのうち、良性として誤ラベル付けされたものの割合。 $\tau=0$ は対抗訓練（正しいラベル）を表し、 $\tau=1$ は最大限の汚染（誤ったラベル）を表す。

主要な貢献

AdvMal-TF データセット: 2 つの大規模で公開可能なデータセットの公開。
- ファミリーラベル付き: 44,347 の対抗サンプル。
- タイプラベル付き: 33,596 の対抗サンプル。
- 両方のデータセットには、EMBER スコア、EMBER2024 スコア、VirusTotal 分類を含む豊富なメタデータが含まれる。
スケーラブルな生成パイプライン: 複数の対抗生成器を並列実行するための堅牢なコンテナ化フレームワーク。研究グレードのマルウェアツールに共通する信頼性の問題を解決する。
汚染分析: 小規模なデータポイズニング攻撃に対するマルウェア分類器の脆弱性を定量化する実証的証拠、および正しくラベル付けされた対抗訓練の有効性。

結果

回避率:
- EMBER分類器に対して、ファミリーラベル付きデータセットは元々検出されたサンプルで**98.35%の回避率を達成し、タイプラベル付きデータセットは92.20%**を達成した。
- GAMMA SectionsとPesidiousは、VirusTotal 上の商用 AV に対して特に効果的であったが、回避率は生成器およびターゲットによって大きく変動した。
- EMBER2024をターゲットとする生成器は、より新しいモデルの堅牢性の高さを浮き彫りにし、成功率が低かった。
ファイルサイズオーバーヘッド: GAMMA Sectionsは最大のファイルサイズ増加（しばしば 1000% 超）を生み出した一方、MalwareTotalはスコア減少とサイズ増加の間の最良のバランスを提供した。
汚染の影響:
- 高い脆弱性: 訓練データのわずか**0.5%を占める完全に誤ラベル付けされたサンプル（ $\tau=1.0$ ）を注入すると、再訓練された分類器の回避率は、ベースラインの26.1%から92.8%**に上昇した（ファミリーラベル付きデータセットにおいて）。
- 対抗訓練: 逆に、正しくラベル付けされた対抗サンプル（ $\tau=0$ ）を注入すると、回避率は常にベースライン以下に低下し、効果的な対抗訓練として機能した。
- 指標の安定性: 回避率が崩壊しても F1 スコアは欺瞞的に安定したままだった。これは、標準的な指標が対抗堅牢性の汚染誘発的な劣化を検知することに失敗する可能性があることを示している。
データセット特性: ファミリーラベル付きデータセットは過学習の兆候（高いベースライン F1 だが、クロスデータセットの汎化性能が低い）を示したのに対し、タイプラベル付きデータセットはより多様性があり、より現実的なベースライン性能を示した。

重要性
本論文は、AdvMal-TFデータセットが、大規模で機能維持された現実世界の対抗バイナリを提供することで、重要なリソースのギャップを埋めると主張している。著者は、このリソースが以下の分野の将来の研究を促進すると主張している。

対抗マルウェア: 現在の回避技術の能力と限界の理解。
データポイズニング: 訓練データ汚染に対する検出パイプラインの堅牢性の評価。
防御的堅牢性: 正しくラベル付けされたサンプルを用いた対抗訓練を通じて、より回復力のある分類器の開発を可能にする。

この研究は、現在の生成器が EMBER2024 のような高度な分類器に対して苦戦している一方で、多様で大規模なデータセットの利用可能性が防御戦略の進展に不可欠であることを浮き彫りにしている。著者は、分類器の堅牢性を決定する上で、データの量と同様に、訓練データの質（特にラベルの正確性）が極めて重要であると結論付けている。