Detection of the Malicious URL Using the Language Models

インターネットは現代生活の中枢神経系となり、組織がサービスを提供し、人々がウェブアドレスを通じて情報を共有する広大なネットワークとなりました。これらのアドレスはURLとして知られ、ウェブ上の特定のページを解錠するための鍵です。しかし、物理的な鍵が本来開けてはいけないドアを開けるために偽造されることがあるように、デジタルリンクもまた、人を欺くために精巧に作られることがあります。悪質なURLとは、これらのような偽造された鍵であり、ユーザーを騙して、金を盗んだり、個人情報を収集したり、デバイスに有害なソフトウェアをインストールさせたりするサイトへと誘導するように設計されたリンクのことです。脅威の中には明白なものもありますが、多くは巧妙であり、安全なリンクと危険なリンクを見分けることは、一般の人にとって非常に難しいことがよくあります。これらのデジタルな罠に対抗するため、セキュリティの専門家は長年、既知の悪質なリンクのリストに頼ってきましたが、これらのリストは、すでに目にしたものしか止めることができません。新しい、未知の脅威が現れたとき、古いリストは機能しなくなります。この限界が、単なるチェックリストを超えて、ウェブアドレスの背後にある「意味」を実際に理解できるシステムへと、よりスマートな脅威特定の方法を探求させる原動力となりました。

最近の研究において、コム大学とイスラム自由大学の研究者たちは、ウェブアドレス内の文字数を数えるのではなく、その中の言葉の意味をコンピュータに読み取らせることで、この課題に取り組んだ。長年、自動化されたシステムは、アドレスの長さ、記号の数、あるいは疑わしい文字列が含まれているかどうかを測定するなど、その形状や構造を見ることで悪質なリンクを特定しようとしてきました。これらの手法は多くのケースでうまく機能しますが、言語のニュлоンス（微細な差異）を見落としてしまいます。悪質なリンクは、パスワードを要求するために丁寧な言葉遣いを用いるフィッシングメールのように、一見無害に見える言葉を詐欺を示唆するような形で配置することがあります。研究者たちは、これらの巧妙なトリックを見抜くためには、システムが言葉のセマンティック（意味論的）な関係、つまり、言葉がどのように組み合わさって特定の意味を形成するかを理解する必要があることに気づきました。これを行うために、彼らは言語モデル、すなわち、人間が使う言語における言葉同士の関係を理解するために膨大な量のテキストで訓練された高度なコンピュータプログラムを活用しました。

研究チームは、これら4種類の言語モデルをテストし、どのモデルがURLの意図を最もよく識別できるかを検証しました。最初の2つであるWord2vecとGloVeは、テキスト内で言葉がどれくらいの頻度で近くに現れるかに基づいて、言葉を数学的な空間にマッピングするシステムです。これらは「王」と「女王」のような言葉が関連していることを理解することには長けていますが、文章全体の文脈を考慮せず、個々の言葉を孤立したものとして扱います。3番目のモデルであるLASERは、多くの異なる言語を同時に扱うように設計されており、文章を共有の空間へとマッピングしますが、個々の言葉の詳細よりも文章全体に焦点を当てます。最後のモデルであるBERTは、より新しく強力なツールであり、単語の前後にあるすべての単語の文脈の中で、その単語を捉えます。これにより、文章の特定の配置に依存する微妙な意味の違いを把握することができます。研究者たちは、これらのモデルを、安全なリンクだけでなく、スパム、フィッシング、マルウェア、およびウェブサイトの改ざん用に設計されたリンクを含む、11万4,000件以上のウェブアドレスを含むデータセットに適用しました。

言語モデルが読み取れる形式にするために、研究者たちはまず、ウェブアドレスをより小さな断片に分解する必要がありました。これはトークン化と呼ばれるプロセスです。最初の3つのモデルについては、スラッシュや疑問符などの記号を手動で取り除き、残った言葉をコアとなるデータとして扱いました。BERTモデルについては、記号が文脈をどのように変化させるかを理解するように設計されているため、記号を意味の一部として保持しながら、アドレスをサブワードと記号に自動的に分割する専用のツールを使用しました。アドレスの処理が終わると、モデルは各アドレスに対して、そのセマンティックな本質を捉えた独自の数値表現を生成しました。これらの表現は、人間の脳にインスパイアされた種類のコンピュータプログラムであるニューラルネットワークに投入され、パターンを認識し、各URLに「安全」、「スパム」、「フィッシング」といったラベルを割り当てることを学習しました。

実験の結果、明確な勝者が示されました。すべての言語モデルが、統計的な特徴のみに依存していた従来の多くの手法よりも優れた性能を示しましたが、BERTモデルが際立っていました。BERTは99.71パーセントの精度を達成し、ほぼすべてのケースにおいてウェブアドレスの性質を正しく特定しました。他のモデルも良好な結果を残し、GloVeモデルは98.94パーセント、Word2vecモデルは98.62パーセントに達しましたが、BERTの精密さには及びませんでした。研究者たちは、今回の研究における最低性能のモデルであるLASERであっても、7.46パーセントの精度を達成しており、この分野の既存の技術法の多くを上回っていると指摘しました。これは、焦点を生理的な構造から言葉の意味へと移すだけで、セキュリティが大幅に向上することを示唆しています。この研究は、言葉の文脈と関係を理解するモデルを使用することで、コンピュータが悪質なリンクを示す微妙な言語的合図を特定する上で、はるかに効果的になれることを証明しています。

研究者たちは、自分たちの手法がコンピュータセキュリティにおける永続的な問題に対する堅牢な解決策を提供すると結論付けました。ウェブアドレスに見られる言葉のセマンティックな空間をモデリングすることで、従来のメソッドでは不可能であった方法で、リンクの背後にある意図を捉えることができました。特にBERTモデルの成功は、脅威を検知するための、深く文脈を考慮した言語理解を使用することの価値を浮き彫りにしています。これは、古い手法が無用であることを意味するのではなく、むしろ、それらを「意味」を読み取る能力と組み合わせることが、より強力な防御を生み出すということです。サイバー犯罪者が戦術を進化させ続け、悪質なリンクを合法的なものに限りなく似せていく中で、彼らが使用する言葉の文脈を理解する能力は、インターネットを安全に保つための不可欠なツールとなるでしょう。この研究は、機械に「行間を読ませる」ことを教えることが、URL検出の未来であるという明確な道筋を示しています。