В России создали ИИ для обнаружения вирусов: нейросеть находит вредоносный код на 20% точнее других моделей

ByteDog анализирует необработанные файлы в их исходном виде

Ранее для обучения моделей, ищущих вредоносный код, эксперты предварительно выделяли из файлов характерные элементы — опкоды*Часть машинного языка, содержащая информацию об операции, которую нужно выполнить., отдельные фрагменты кода и структуру импортируемых модуле. Именно по этим признакам система распознавала вирусное ПО. Positive Technologies разработала ИИ, для которого не нужна предварительная обработка файлов.

ByteDog создана на базе архитектуры «трансформер», которую используют разработчики в больших языковых моделях. Нейросеть умеет анализировать не просто текст или изображения, а последовательность байтов в файлах. Это позволяет не подготавливать данные вручную.

ByteDog анализирует большие файлы, разделяя их

Одной из ключевых сложностей разработки стала длина входных данных. Языковые модели работают с контекстом до 128 тыс. токенов — кусочков текста, слов или их частей, а обычные файлы могут содержать миллионы байт, которые просто не поместятся в этот лимит. ByteDog анализирует файл по частям, а затем объединяет результаты в единую картину, поэтому ИИ проверяет документ целиком.

ByteDog спроектирована так, что для использования обученной модели не требуется графический ускоритель. Это позволяет запускать её непосредственно на устройствах пользователей — персональных компьютерах и смартфонах.

ByteDog выявляет вредоносный код даже в замаскированных файлах

ByteDog способна самостоятельно выявлять закономерности и прогнозировать угрозы, даже если системе они не были известны ранее.

Например, если сотрудник компании получает файл, замаскированный под счёт, классическим антивирусам требуется распаковать его и проанализировать код. ByteDog пропускает эти этапы и анализирует файл сразу как последовательность байтов. Это позволяет выявлять вредоносный код даже при сложной маскировке кода.

ByteDog обучалась на реальных киберинцидентах

Обучение и тестирование ByteDog проводились в течение года на данных реальных киберинцидентов. По качеству обнаружения угроз и скорости анализа файлов модель от Positive Technologies оказалась на 20% лучше, чем классические ML-модели для поиска вредоносного кода.

ByteDog планируют внедрить в продукты и сервисы Positive Technologies по обнаружению киберугроз.