Генеративні мовні моделі в аналізі шкідливого коду

Abstract

У кваліфікаційній роботі проведено дослідження можливостей застосування генеративних мовних моделей для виявлення та аналізу шкідливого програмного забезпечення. Здійснено огляд сучасних підходів до аналізу malware та обґрунтовано доцільність використання великих мовних моделей для семантичного аналізу програмного коду в умовах обфускації та zero-day загроз. Для практичної реалізації обрано моделі сімейств GPT, LLaMA та Mistral, які представляють різні підходи до розгортання та використання LLM у системах кібербезпеки. У межах роботи сформовано збалансований набір даних на основі реальних зразків шкідливого програмного забезпечення з репозиторію MalwareBazaar та легітимного програмного коду з відкритих репозиторіїв GitHub, представлений у статичному текстовому вигляді. Запропоновано методику застосування LLM із використанням few-shot підходу та фіксованого prompt для забезпечення стабільності результатів. Проведено експериментальні дослідження ефективності моделей з використанням метрик accuracy, precision, recall та матриць помилок, а також виконано порівняльний аналіз їхньої якості та практичної придатності для задач виявлення шкідливого програмного коду.

In this qualification thesis, a study is conducted on the possibilities of applying generative language models for the detection and analysis of malicious software. A review of modern approaches to malware analysis is carried out, and the feasibility of using large language models for the semantic analysis of program code under conditions of obfuscation and zero-day threats is substantiated. For practical implementation, models from the GPT, LLaMA, and Mistral families are selected, representing different approaches to the deployment and use of LLMs in cybersecurity systems. Within the scope of the work, a balanced dataset is constructed based on real malware samples from the MalwareBazaar repository and legitimate program code from open GitHub repositories, represented in a static textual form. A methodology for applying LLMs using a few-shot approach and a fixed prompt is proposed to ensure the stability of results. Experimental studies of model performance are conducted using accuracy, precision, recall metrics, and confusion matrices, and a comparative analysis of their quality and practical suitability for malware detection tasks is performed.