💻 computer science

Scalable Malware Family Classification Using Quantum Kernel Based Machine Learning

Dit artikel stelt een schaalbaar Quantum Kernel-gebaseerd Machine Learning-framework voor dat structurele feature-extractie, Lineaire Discriminant Analyse en de Nyström-benadering combineert om een nauwkeurigheid van 80,88% te bereiken bij het classificeren van 18.836 malware-monsters over 23 families, waarbij het klassieke baselines overtreft terwijl het de kwadratische computationele kosten van traditionele kernelmethoden overwint.

Oorspronkelijke auteurs: Ratun Rahman, Hassan Jalil Hadi, Christopher Gabriel Pedraza Pohlenz, Ali Shoker

Gepubliceerd 2026-06-16

📖 5 min leestijd🧠 Diepgaand

CC BY 4.0

Oorspronkelijke auteurs: Ratun Rahman, Hassan Jalil Hadi, Christopher Gabriel Pedraza Pohlenz, Ali Shoker

Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer

Het Grote Probleem: De "Naald in een Hooiberg" die op een Hooiberg lijkt

Stel je voor dat je een beveiligingsbeambte bent bij een enorm vliegveld (het internet). Elke dag lopen er duizenden mensen (computerbestanden) doorheen. De meesten zijn onschuldige reizigers, maar sommigen zijn smokkelaars die gevaarlijke smokkelwaar (malware) bij zich dragen.

Het probleem is dat de smokkelaars erg goed zijn geworden in het vermommen van zichzelf. Ze dragen dezelfde kleding als de onschuldige mensen, dragen vergelijkbare tassen en spreken zelfs dezelfde taal. Bovendien zijn er duizenden verschillende "families" van smokkelaars, elk met hun eigen unieke stijl, maar ze lijken allemaal zo sterk op elkaar dat het ongelooflijk moeilijk is om ze uit elkaar te houden.

Traditionele beveiligingsbeambten (standaard computerprogramma's) proberen deze mensen te sorteren door naar simpele dingen te kijken, zoals de grootte van een tas of de kleur van een schoen. Maar omdat de smokkelaars zo slim zijn en zo op elkaar lijken, maken de beambten vaak fouten, vooral wanneer het vliegveld te druk wordt om iedereen individueel te controleren.

De Nieuwe Oplossing: Een "Quantum Detective" met een Magische Lens

De onderzoekers in dit artikel hebben een nieuw soort beveiligingssysteem gebouwd, genaamd Scalable Quantum Kernel-based Machine Learning (QKML). Zie dit als het inhuren van een team van "Quantum Detectives" die beschikken over een speciale magische lens.

Zo werkt hun systeem, stap voor stap:

1. Het "Identiteitsbewijs" (Feature Extraction)

Eerst bekijkt het systeem elk bestand en maakt er een gedetailleerd "identiteitsbewijs" van. Het kijkt niet alleen naar de bestandsnaam; het controleert de interne structuur, de grootte, de "entropie" (hoe rommelig of gecodeerd de code eruitziet) en andere verborgen kenmerken. Dit is vergelijkbaar met het controleren van het paspoort, het DNA en de textuur van de koffer van een reiziger.

2. De "Groepsruimte" (Supervised Projection)

De identiteitsbewijzen zijn enorm en ingewikkeld. Als je ze aan een Quantum Detective zou laten zien, zouden ze overweldigd raken. Daarom gebruiken de onderzoekers een hulpmiddel genaamd LDA (Linear Discriminant Analysis).

De Analogie: Stel je voor dat je een enorme, rommelige kamer hebt vol met mensen. Je wilt ze in 23 verschillende groepen (families) sorteren. In plaats van naar elk detail van elke persoon te kijken, vraag je hen om in een specifieke formatie te gaan staan waardoor de groepen duidelijk zichtbaar worden. Je verkleint de kamer zodat de groepen duidelijk van elkaar gescheiden zijn. Dit maakt de volgende stap veel gemakkelijker.

3. De "Magische Lens" (Quantum Kernel)

Nu komt het speciale deel. De onderzoekers gebruiken een Quantum Feature Map.

De Analogie: Stel je voor dat de Quantum Detective een speciale bril heeft waarmee hij "onzichtbare verbindingen" kan zien. In de normale wereld kunnen twee bestanden verschillend lijken. Maar door de Quantum Lens kan de detective zien dat ze een verborgen, complex patroon delen omdat ze door dezelfde criminele familie zijn gemaakt.
Deze lens gebruikt Quantum Circuits (kleine, complexe machines die de regels van de kwantumfysica volgen) om te meten hoe echt vergelijkbaar twee bestanden zijn. Het is veel beter in het opsporen van subtiele, verraderlijke gelijkenissen dan een standaard computer.

4. De "Snelheidstruc" (Nyström Approximation)

Hier is de grootste hindernis: Als je 18.000 bestanden hebt, zou het controleren van elk bestand tegen elk ander bestand om te zien of ze vergelijkbaar zijn, een eeuwigheid duren (zoals het controleren van elke persoon op het vliegveld tegenover elke andere persoon). Dit is te traag voor de echte wereld.

De Analogie: In plaats van elke reiziger uitgebreid te interviewen, kiest de Quantum Detective een kleine, slimme groep "Landmarks" (ongeveer 8.000 mensen). Hij interviewt deze landmarks grondig. Vervolgens vraagt hij aan de overige reizigers simpelweg: "Op wie lijk jij het meest van deze landmarks?"
Deze truc, de Nyström Approximation genoemd, stelt het systeem in staat om te leren van alle data zonder te verdrinken in wiskunde die jaren duurt om te berekenen. Het is als het gebruik van een kaart met grote steden om een heel land te navigeren, in plaats van te proberen elke straat uit je hoofd te leren.

De Resultaten: Werkte het?

De onderzoekers testten dit systeem op een enorme dataset van 18.836 malware-monsters uit 23 verschillende families (plus wat onschadelijke software).

De Score: De Quantum Detective had het in 80,88% van de gevallen goed.
De Vergelijking: Ze vergeleken dit met de beste "standaard" beveiligingsbeambten (klassieke machine learning-modellen zoals K-Nearest Neighbors of Support Vector Machines). De standaard beambten behaalden scores variërend van ongeveer 52% tot 79%.
De Winnaar: Het Quantum-systeem versloeg hen allemaal. Het was beter in het onderscheiden van de lastige, op elkaar lijkende families.

Waarom dit ertoe doet

Het artikel beweert dat deze methode een "sweet spot" is. Het gebruikt de krachtige patroonherkenningscapaciteiten van quantum computing (de magische lens), maar gebruikt een slimme afkorting (de landmarks) zodat het de computer niet laat vastlopen of te lang duurt.

Kortom: Ze hebben een systeem gebouwd dat een enorme berg verwarrende, op elkaar lijkende computervirussen kan bekijken, een quantum "magische lens" kan gebruiken om de verborgen familiebanden te ontdekken, en ze sneller en nauwkeuriger kan sorteren dan de huidige methoden, zonder dat daar een supercomputer voor nodig is die een miljard dollar kost.

Noot: Het artikel vermeldt expliciet dat deze resultaten werden behaald met een simulator (een computerprogramma dat doet alsof het een quantumcomputer is, en niet een echte fysieke quantummachine), maar het bewijst dat de wiskunde werkt voor wanneer echte machines beschikbaar komen.

Technische Samenvatting: Schaalbare Classificatie van Malwarefamilies met behulp van Quantum Kernel-gebaseerd Machine Learning

Probleemstelling

De classificatie van malwarefamilies is een cruciale taak binnen de cybersecurity, essentieel voor dreiganalyse (threat attribution), lineage-analyse en de ontwikkeling van defensiestrategieën. De taak is echter steeds moeilijker geworden door de snelle proliferatie van malwarevarianten, wijdverbreide obfuscatie, packing en geautomatiseerde generatietechnieken. Deze factoren resulteren in een hoge structurele gelijkenis tussen families en polymorfisme, wat traditionele machine learning-modellen uitdaagt.

Bestaande klassieke benaderingen, waaronder lineaire classifiers, boom-gebaseerde modellen en deep learning, kampen met specifieke beperkingen in grootschalige, multiclass-omgevingen:

Expressiviteit: Handmatige kenmerken (features) slagen er vaak niet in om subtiele niet-lineaire relaties tussen malwarefamilies te vangen.
Schaalbaarheid: Deep learning-modellen vereisen uitgebreide gelabelde data en computationele middelen, wat vaak leidt tot verminderde interpreteerbaarheid.
Klassenimbalans en Gelijkenis: Uitgesproken klassenimbalans en structurele overlap beperken het generalisatievermogen van klassieke modellen.
Quantumbeperkingen: Hoewel Quantum Machine Learning (QML) potentie biedt via hoog-dimensionale Hilbert-ruimte-embeddings, is huidig onderzoek vaak beperkt tot binaire classificatie, kleinschalige datasets of synthetische data. Bovendien schaalt de constructie van volledige quantum kernel-matrices kwadratisch ( $O(N^2)$ ) met het aantal monsters, waardoor directe toepassing op grote malware-repositories computationeel onpraktisch is.

Methodologie

De auteurs stellen een Schaalbaar Quantum Kernel-gebaseerd Machine Learning (QKML) framework voor, ontworpen om zowel de nauwkeurigheid als de efficiëntie-beperkingen in multiclass malwarefamilie-classificatie aan te pakken. Het framework integreert vier primaire componenten:

1. Datasetconstructie en Feature Representatie

De studie maakt gebruik van een grootschalige dataset (QLCD) bestaande uit 18.836 monsters verspreid over 23 malwarefamilies (inclusief 22 kwaadaardige families en één benign klasse).

Feature Extractie: Statische structurele kenmerken worden geëxtraheerd uit Portable Executable (PE) bestanden, waaronder bestand-entropie, sectie-statistieken en ratio's van virtuele naar ruwe grootte. Categorische attributen (bijv. machine type, packer) worden via one-hot encoding verwerkt.
Preprocessing: Kenmerken ondergaan Z-score normalisatie en median imputatie voor ontbrekende waarden. Families met minder dan 50 monsters zijn uitgesloten om betrouwbaar multiclass leren te waarborgen.

2. Gesuperviseerde Feature Projectie (LDA)

Om de exponentiële groei van de quantum circuit-complexiteit met de inputdimensie en het beperkte aantal beschikbare qubits te mitigeren, gebruikt het framework Lineaire Discriminant Analyse (LDA) als een gesuperviseerde dimensionaliteitsreductiestap.

LDA projecteert de hoog-dimensionale feature vectoren naar een laag-dimensionale, klasse-bewuste subspace van dimensie $k \le C-1$ (waarbij $C$ het aantal klassen is).
Deze stap maximaliseert de tussen-klasse scheidbaarheid terwijl de binnen-klasse variantie wordt geminimaliseerd, wat een compacte representatie creëert die geschikt is voor quantum encoding.

3. Quantum Kernel Constructie

De geprojecteerde feature vectoren worden gecodeerd in quantumtoestanden met behulp van een geparameteriseerde quantum feature map (een geparametriseerde quantum circuit, PQC).

Encoding: Kenmerken worden gemapt naar rotatiehoeken (bijv. $R_Y$ gates) op $n$ qubits.
Kernel Definitie: De quantum kernel wordt gedefinieerd door de gekwadrateerde fideliteit tussen twee quantumtoestanden: $K(z_i, z_j) = |\langle \phi(z_i) | \phi(z_j) \rangle|^2$ . Deze op fideliteit gebaseerde kernel vangt niet-lineaire gelijkenissen die klassieke kernels mogelijk missen.

4. Schaalbare Kernel Approximatie (Nyström Methode)

Om de $O(N^2)$ computationele bottleneck van volledige kernel-matrixconstructie te overwinnen, gebruiken de auteurs de Nyström-approximatie.

Landmark Selectie: Een subset van $M$ landmark monsters ( $M \ll N$ ) wordt geselecteerd uit de trainingsset.
Low-Rank Approximatie: De volledige kernel-matrix wordt benaderd met behulp van submatrices afgeleid van de landmarks. Dit maakt de constructie van een expliciete laag-dimensionale feature representatie $\psi(z_i)$ voor alle monsters mogelijk.
Classificatie: Een klassiek ridge regressie model wordt getraind op deze door Nyström benaderde features om multiclass classificatie uit te voeren. Deze aanpak maakt het mogelijk om te leren van de volledige dataset zonder subsampling, waardoor de dominante complexiteit wordt teruggebracht tot $O(NM)$.

Belangrijkste Bijdragen

Het artikel beschrijft vier primaire bijdragen:

Schaalbaar QKML Framework: Een innovatieve pipeline die fidelity-gebaseerde quantum kernels combineert met gesuperviseerde LDA-projectie om klasse-bewuste dimensionaliteitsreductie mogelijk te maken en het onderscheidend vermogen te vergroten.
Nyström Approximatie voor Quantum Kernels: Een methode om een low-rank representatie van de quantum kernel te construeren met behulp van landmark monsters. Dit maakt training op de volledige dataset mogelijk zonder subsampling-bias en vermindert het aantal vereiste quantum fidelity-evaluaties aanzienlijk.
Grootschalige Real-World Dataset: De curatie en preprocessing van de QLCD dataset, bevattende 18.836 monsters uit 23 families, specifiek ontworpen om QML te evalueren in realistische, multiclass cybersecurity scenario's.
Empirische Validatie: Uitgebreide experimenten die aantonen dat het voorgestelde framework de klassieke machine learning baselines onder identieke feature en data-splits overtreft, met een nauwkeurigheid van 80,88%.

Experimentele Resultaten

Experimenten werden uitgevoerd op een statevector-gebaseerde quantum simulator met behulp van een hybride klassiek-quantum pipeline.

Prestaties vs. Baselines: Het voorgestelde QKML-framework behaalde 80,88% nauwkeurigheid, waarmee het klassieke baselines zoals Softmax Regressie (52,79%), Lineaire SVM (78,73%), KNN (79,56%) en Gaussian Naive Bayes (58,44%) overtrof.
Ablatie-studies:
- Projectie: Het vervangen van gesuperviseerde LDA door unsupervised SVD verminderde de nauwkeurigheid van 80,88% naar 78,83%, wat de waarde van label-bewuste projectie bevestigt.
- Landmarks: De nauwkeurigheid verbeterde van ~74% (1.000 landmarks) naar ~81,8% (8.000 landmarks), wat wijst op afnemende meeropbrengsten boven $M=8000$ .
- Circuit Diepte: Het verhogen van het aantal circuit-repetities ( $L$ ) en het aantal qubits ( $n$ ) verbeterde over het algemeen de prestaties, met de beste resultaten bij $n=8, L=4$ .
Per-Klasse Prestaties: Het model vertoonde sterke prestaties op belangrijke families (bijv. Mediyes F1=0,988, Winwebsec F1=0,986) en de benign klasse (F1=0,774). De prestaties waren lager voor minderheidsklassen met een hoge structurele gelijkenis (bijv. LockBit, LokiBot), wat consistent is met bekende uitdagingen in malware-classificatie.
Efficiëntie:
- Runtime: De quantum pipeline voltooide de training in 426,58 seconden, wat aanzienlijk sneller is dan klassieke baselines zoals KNN (830s) en GaussianNB (1161s).
- Computationele Kosten: Het quantum model vereiste orders van grootte minder operaties (gate en statevector proxies) vergeleken met klassieke modellen, wat duidt op potentiële energie-efficiëntievoordelen.
- Schaalbaarheid: Een "Quantum-Lite" configuratie (minder qubits en landmarks) bereikte 74,82% nauwkeurigheid met een 5,5x versnelling, wat een resource-efficiënte schaling demonstreert.

Betekenis en Claims

De auteurs stellen dat dit werk de kloof overbrugt tussen de theoretische expressiviteit van quantum kernel-methoden en de praktische schaalbaarheidsvereisten van real-world malware-analyse.

Meetbaar Voordeel: De studie toont aan dat schaalbare quantum kernel-technieken een meetbaar prestatievoordeel kunnen bieden (hogere nauwkeurigheid en lagere loss) ten opzichte van klassieke baselines in complexe, multiclass cybersecurity taken.
Praktische Haalbaarheid: Door de integratie van de Nyström-approximatie en gesuperviseerde projectie, maakt het framework het gebruik van alle beschikbare trainingsdata mogelijk zonder de prohibitieve kwadratische kosten van volledige kernel-constructie, wat het geschikt maakt voor grootschalige repositories.
Toekomstige Richting: Het artikel positioneert dit werk als een praktische stap naar het integreren van quantum-enhanced learning in operationele malware-analyse pipelines, met name voor near-term quantum devices (NISQ) en hybride workflows.

Door Auteurs Genoemde Beperkingen:
De auteurs geven expliciet aan dat de evaluatie steunt op een klassieke quantum simulator in plaats van echte hardware, wat betekent dat ruis en decoherentie-effecten niet zijn opgenomen. Daarnaast, hoewel de Nyström-approximatie de schaalbaarheid verbetert, stijgen de kosten van state preparation nog steeds met het aantal qubits en de circuit diepte, en de huidige implementatie is nog niet ingezet in een real-time, streaming omgeving.