Τεχνικές εξηγήσιμης τεχνητής νοημοσύνης για ανίχνευση κακόβουλου λογισμικού
Loading...
Date
2025-10-15
Authors
Λούκα, Κριστιάν
Journal Title
Journal ISSN
Volume Title
Publisher
Abstract
Στην παρούσα διπλωματική εργασία εξετάζουμε την ανίχνευση κακόβουλων εφαρμογών Android με ένα υβριδικό πλαίσιο TabLSTMNet το οποίο συνδυάζει δύο συμπληρωματικές προσεγγίσεις μάθησης πάνω στα ίδια πινακοειδή (στατικά) γνωρίσματα: (α) TabNet, ένα νευρωνικό δίκτυο ειδικά σχεδιασμένο για δεδομένα πίνακα που επιλέγει, ανά δείγμα, τα πιο συναφή χαρακτηριστικά μέσω αραιών «μασκών προσοχής», και (β) LSTM, επαναληπτικό δίκτυο που μοντελοποιεί τα ίδια γνωρίσματα ως μονοδιάστατη ακολουθία ώστε να συλλάβει πρότυπα συν-εμφάνισης και εντολής. Οι έξοδοι των δύο κλάδων συγχωνεύονται με τεχνική soft voting ώστε να αξιοποιείται η ισχύς και των δύο.
Κεντρικός άξονας της εργασίας είναι η εξηγήσιμη τεχνητή νοημοσύνη (XAI). Για την καθολική (global) κατανόηση των αποφάσεων χρησιμοποιούμε SHAP (SHapley Additive exPlanations), το οποίο αποδίδει σε κάθε γνώρισμα ένα ποσοτικό μερίδιο συμβολής στην πρόβλεψη. Για την τοπική (local) ερμηνεία σε επίπεδο μεμονωμένης εφαρμογής εφαρμόζουμε LIME (Local Interpretable Model-agnostic Explanations), το οποίο προσεγγίζει τοπικά τη συμπεριφορά του ταξινομητή με ένα απλό μοντέλο και παρέχει βαρύτητες χαρακτηριστικών που εξηγούν γιατί μια συγκεκριμένη πρόβλεψη βγήκε «Malware» ή «Benign». Με αυτόν τον συνδυασμό εξηγησιμότητας, ο αναγνώστης μπορεί να κατανοήσει και τη γενική λογική του συστήματος και το γιατί μιας συγκεκριμένης απόφασης.
Αξιολογούμε το TabLSTMNet σε τρία δημόσια σύνολα δεδομένων (NATICUSdroid, TUANDROMD, DrebinMatched). Τα πειράματα δείχνουν υψηλές τιμές AUC και συνεπή πρότυπα εξηγησιμότητας: άδειες τηλεφωνίας/μηνυμάτων (π.. READ_PHONE_STATE, SEND_SMS) και «γεγονότα εκκίνησης» (Android broadcasts όπως BOOT_COMPLETED, PACKAGE_ADDED που επιτρέπουν αυτόματη εκκίνηση στο παρασκήνιο) αναδεικνύονται ως ισχυρότεροι δείκτες κινδύνου. Η σύγκλιση ανάμεσα σε SHAP (καθολικά) και LIME (τοπικά) ενισχύει την εμπιστοσύνη στη λειτουργία του συστήματος και διευκολύνει την πρακτική τεκμηρίωση (audit trail) των αποφάσεων.
Description
Keywords
Εξηγήσιμη τεχνητή νοημοσύνη, Ανίχνευση κακόβουλου λογισμικού, Ταξινόμηση