Resumo Técnico: Classificação Escalável de Famílias de Malware Usando Aprendizado de Máquina Baseado em Núcleo Quântico

Declaração do Problema

A classificação de famílias de malware é uma tarefa crítica em cibersegurança, essencial para a atribuição de ameaças, análise de linhagem e o desenvolvimento de estratégias de defesa. No entanto, a tarefa tornou-se cada vez mais difícil devido à rápida proliferação de variantes de malware, à disseminação de técnicas de ofuscação, empacotamento (packing) e geração automatizada. Esses fatores resultam em alta similaridade estrutural interfamiliar e polimorfismo, desafiando modelos tradicionais de aprendizado de máquina.

Abordagens clássicas existentes, incluindo classificadores lineares, modelos baseados em árvores e aprendizado profundo (deep learning), enfrentam limitações específicas em configurações multiclasse de larga escala:

• Expressividade: Características manuais (handcrafted) frequentemente falham em capturar relações não lineares sutis entre as famílias de malware.
• Escalabilidade: Modelos de deep learning exigem extensos dados rotulados e recursos computacionais, o que frequentemente leva a uma redução da interpretabilidade.
• Desequilíbrio de Classes e Similaridade: O pronunciado desequilíbrio de classes e a sobreposição estrutural limitam as capacidades de generalização dos modelos clássicos.
• Limitações Quânticas: Embora o Aprendizado de Máquina Quântico (QML) ofereça potencial através de embeddings em espaços de Hilbert de alta dimensão, a pesquisa atual é frequentemente restrita à classificação binária, conjuntos de dados de pequena escala ou dados sintéticos. Além disso, a construção de matrizes de núcleo (kernel) completas escala quadraticamente ($O(N^2)$) com o número de amostras, tornando a aplicação direta a repositórios de malware de grande escala computacionalmente impraticável.

Metodologia

Os autores propõem um framework de Aprendizado de Máquina Baseado em Núcleo Quântico Escalável (QKML) projetado para abordar tanto as restrições de precisão quanto as de eficiência na classificação de famílias de malware multiclasse. O framework integra quatro componentes primários:

1. Construção do Conjunto de Dados e Representação de Características

O estudo utiliza um conjunto de dados de larga escala (QLCD) compreendendo 18.836 amostras em 23 famílias de malware (incluindo 22 famílias maliciosas e uma classe benigna).

• Extração de Características: Características estruturais estáticas são extraídas de arquivos Portable Executable (PE), incluindo entropia de arquivo, estatísticas de seção e razões entre tamanhos virtuais e brutos (raw). Atributos categóricos (ex: tipo de máquina, packer) são codificados via one-hot encoding.
• Pré-processamento: As características passam por normalização Z-score e imputação de mediana para valores ausentes. Famílias com menos de 50 amostras são excluídas para garantir um aprendizado multiclasse confiável.

2. Projeção de Características Supervisionada (LDA)

Para mitigar o crescimento exponencial da complexidade do circuito quântico com a dimensão de entrada e o número limitado de qubits disponíveis, o framework emprega a Análise Discriminante Linear (LDA) como uma etapa de redução de dimensionalidade supervisionada.

• A LDA projeta os vetores de características de alta dimensão em um subespaço de baixa dimensão e consciente da classe de dimensão $k \le C-1$ (onde $C$ é o número de classes).
• Esta etapa maximiza a separabilidade entre classes enquanto minimiza a variância dentro da classe, criando uma representação compacta adequada para codificação quântica.

3. Construção do Núcleo Quântico (Quantum Kernel)

Os vetores de características projetados são codificados em estados quânticos usando um mapa de características quântico parametrizado (um circuito quântico parametrizado, PQC).

• Codificação: As características são mapeadas para ângulos de rotação (ex: portas $R_Y$) em $n$ qubits.
• Definição do Núcleo: O núcleo quântico é definido pela fidelidade ao quadrado entre dois estados quânticos: $K(z_i, z_j) = |\langle \phi(z_i) | \phi(z_j) \rangle|^2$. Este núcleo baseado em fidelidade captura similaridades não lineares que os núcleos clássicos podem perder.

4. Aproximação de Núcleo Escalável (Método de Nyström)

Para superar o gargalo computacional de $O(N^2)$ da construção do núcleo completo, os autores empregam a aproximação de Nyström.

• Seleção de Marcos (Landmarks): Um subconjunto de $M$ amostras de marcos ($M \ll N$) é selecionado do conjunto de treinamento.
• Aproximação de Baixo Posto (Low-Rank): A matriz de núcleo completa é aproximada usando submatrizes derivadas dos marcos. Isso permite a construção de uma representação explícita de baixa dimensão $\psi(z_i)$ para todas as amostras.
• Classificação: Um modelo de regressão ridge clássico é treinado nessas características aproximadas por Nyström para realizar a classificação multiclasse. Esta abordagem permite o aprendizado de todo o conjunto de dados sem o viés de subamostragem, reduzindo a complexidade dominante para $O(NM)$.

Principais Contribuições

O artigo descreve quatro contribuições primárias:

1. Framework QKML Escalável: Um pipeline inovador que combina núcleos quânticos baseados em fidelidade com projeção LDA supervisionada para permitir a redução de dimensionalidade consciente da classe e aumentar o poder discriminativo.
2. Aproximação de Nyström para Núcleos Quânticos: Um método para construir uma representação de baixo posto de um núcleo quântico usando amostras de marcos. Isso permite o treinamento no conjunto de dados completo sem viés de subamostragem e reduz significativamente o número de avaliações de fidelidade quântica necessárias.
3. Conjunto de Dados do Mundo Real de Larga Escala: A curadoria e o pré-processamento do conjunto de dados QLCD, contendo 18.836 amostras de 23 famílias, especificamente desenhado para avaliar QML em cenários de cibersegurança multiclasse realistas.
4. Validação Empírica: Experimentos abrangentes demonstrando que o framework proposto supera os baselines de aprendizado de máquina clássicos sob divisões de características e dados idênticas, alcançando 80,88% de acurácia.

Resultados Experimentais

Os experimentos foram conduzidos em um simulador quântico baseado em statevector usando um pipeline híbrido clássico-quântico.

• Desempenho vs. Baselines: O framework QKML proposto alcançou 80,88% de acurácia, superando os baselines clássicos incluindo Softmax Regression (52,79%), Linear SVM (78,73%), KNN (79,56%) e Gaussian Naive Bayes (58,44%).
• Estudos de Ablação:
  • Projeção: Substituir a LDA supervisionada por SVD não supervisionada reduziu a acurácia de 80,88% para 78,83%, confirmando o valor da projeção consciente do rótulo.
  • Marcos (Landmarks): A acurácia melhorou de ~74% (1.000 marcos) para ~81,8% (8.000 marcos), mostrando retornos decrescentes além de $M=8000$.
  • Profundidade do Circuito: Aumentar as repetições do circuito ($L$) e a contagem de qubits ($n$) geralmente melhorou o desempenho, com os melhores resultados em $n=8, L=4$.
• Desempenho por Classe: O modelo demonstrou forte desempenho em famílias principais (ex: Mediyes F1=0,988, Winwebsec F1=0,986) e na classe benigna (F1=0,774). O desempenho foi menor para classes minoritárias com alta similaridade estrutural (ex: LockBit, LokiBot), consistente com os desafios conhecidos na classificação de malware.
• Eficiência:
  • Tempo de Execução: O pipeline quântico completou o treinamento em 426,58 segundos, significativamente mais rápido que os baselines clássicos como KNN (830s) e GaussianNB (1161s).
  • Custo Computacional: O modelo quântico exigiu ordens de magnitude a menos de operações (proxies de gate e statevector) comparado aos modelos clássicos, sugerindo potenciais vantagens de eficiência energética.
  • Escalabilidade: Uma configuração "Quantum-Lite" (menos qubits e marcos) alcançou 74,82% de acurácia com um aumento de velocidade de 5,5x, demonstrando escalabilidade eficiente em recursos.

Significância e Alegações

Os autores afirmam que este trabalho preenche a lacuna entre a expressividade teórica dos métodos de núcleo quântico e os requisitos de escalabilidade prática da análise de malware do mundo real.

• Vantagem Mensurável: O estudo demonstra que técnicas de núcleo quântico escaláveis podem oferecer vantagens mensuráveis de desempenho (maior acurácia e menor perda) sobre baselines clássicos em tarefas de cibersegurança multiclasse complexas.
• Viabilidade Prática: Ao integrar a aproximação de Nyström e a projeção supervisionada, o framework permite o uso de todos os dados de treinamento disponíveis sem o custo quadrático proibitivo da construção de núcleo completo, tornando-o adequado para repositórios de larga escala.
• Direção Futura: O artigo posiciona este trabalho como um passo prático para incorporar o aprendizado potencializado por quantum em pipelines operacionais de análise de malware, particularmente para dispositivos quânticos de curto prazo (NISQ) e fluxos de trabalho híbridos.

Limitações Notadas pelos Autores:
Os autores declaram explicitamente que a avaliação depende de um simulador quântico clássico em vez de hardware real, o que significa que efeitos de ruído e decoerência não são capturados. Além disso, embora a aproximação de Nyström melhore a escalabilidade, o custo da preparação de estado ainda cresce com a contagem de qubits e a profundidade do circuito, e a implementação atual ainda não foi implantada em um ambiente de streaming em tempo real.