Explainable Attention-Guided Stacked Graph Neural Networks for Malware Detection

## Контекст Modern computing environments становятся все более уязвимыми перед различными видами малварного воздействия. Для эффективного управления этими угрозами необходимо разработать модели, которые не только обеспечивают высокую точность детекции, но и обладают интерпретируемым принципом работы. Данная задача приобретает особое значение в высококритичных ситуациях, таких как защита системы от вирусов или вредоносных программ, где любая неточность может привести к серьезным последствиям. В настоящее время существуют различные подходы к детекции вредоносных программ, включая анализ поведения, текстовый анализ и модели статистической обработки. Однако, многие из этих моделей либо недостаточно точны, либо не имеют возможности пояснения своих решений. Это отступление от идеи "транспарентной" модели может ограничить их применение в реальных условиях, где понимание принципов принятия решений критично. В этом контексте рассматривается задача разработки модели, которая не только позволяет эффективно детектировать вредоносные программы, но и обеспечивает понятные для пользователя пояснения своих решений. ## Метод Для достижения этих целей предлагается использовать **Stacked Graph Neural Networks (SGNN)**. За основу взяты **Control Flow Graphs (CFGs)**, графы, описывающие поток управления в программе. Эти графы используются для представления структуры программы, что позволяет моделировать зависимости между ее частями. **Процесс работы SGNN** можно разделить на несколько этапов. Сначала, из PE-файлов извлекаются CFGs, которые затем преобразуются в векторное представление с помощью **two-step embedding strategy**. Это позволяет передать в модель не только информацию о структуре программы, но и поведенческие характеристики. Для увеличения разнообразия и улучшения точности модели, используется **ensemble-based approach**. В этом подходе используются несколько графовых нейронных сетей, каждая из которых применяет свой собственный механизм **message-passing** для извлечения различных видов функциональных признаков. **Meta-learner**, реализованный в виде **attention-based multilayer perceptron (MLP)**, агрегирует выходные данные этих моделей. Эта агрегация позволяет не только улучшить точность классификации, но и определить вклад каждой модели в общий результат. Для улучшения интерпретируемости решений, вводится **ensemble-aware post-hoc explanation technique**, которая использует **edge-level importance scores**, сгенерированные GNN-explainer, и объединяет их с помощью **attention weights**. Это позволяет получать понятные пользователю интерпретации решений, отражающие роль каждого компонента в общем процессе. ## Результаты Для проверки эффективности SGNN были проведены эксперименты на наборе данных, содержащих PE-файлы с вредоносными