Paper Files / Phishing

PHISHGUARD++: Ein formales, robustes und skalierbares Framework zur multimodalen Phishing-Erkennung mit Deep Learning, adversarialer Modellierung und KI-Governance

2007-02-13PhishingDE

TITLE: PHISHGUARD++: Ein formales, robustes und skalierbares Framework zur multimodalen Phishing-Erkennung mit Deep Learning, adversarialer Modellierung und KI-Governance ABSTRACT: Phishing bleibt einer der verbreitetsten und wirtschaftlich folgenreichsten Intrusionsvektoren im zeitgenössischen digitalen Ökosystem und wird durch auf generativer künstlicher Intelligenz basierende Automatisierung sowie durch hochgradig personalisierte Kampagnen verstärkt. In dieser Arbeit schlagen wir PHISHGUARD++ vor, ein formales und skalierbares Framework zur multimodalen Phishing-Erkennung, das rigorose statistische Modellierung, Deep Learning und adversariales Training unter einer Min-Max-Formulierung integriert. Wir modellieren das Problem als überwachte Klassifikation in einem multimodalen Eingaberaum $X = X_t \times X_g \times X_v$, der textuelle, strukturelle (heterogene Graphen von Domains, IPs, Zertifikaten und ASN-Beziehungen) und visuelle Merkmale umfasst. Wir reformulieren das klassische Ziel der Minimierung des erwarteten Risikos für den Kontext adversarialer robuster Risiken und erfassen explizit $\epsilon$-begrenzte Perturbationen sowie Szenarien des Concept Drift. Die vorgeschlagene Architektur kombiniert vortrainierte Transformer, heterogene Graphneurale Netze und tiefe residuale konvolutionale Netze mit regulierter Late Fusion. Wir verwenden adversariales Training auf Basis von Projected Gradient Descent (PGD) und evaluieren die Robustheit unter auf die $L_p$-Norm beschränkten Angriffen. Die Implementierung, basierend auf PyTorch 2.x, Apache Kafka und Apache Flink, demonstriert operative Umsetzbarkeit mit einer durchschnittlichen Latenz von 12,4 ms pro Stichprobe und einem Durchsatz von über 80.000 Ereignissen pro Sekunde in einem Cluster mit NVIDIA-A100-GPUs. Auf einem Datensatz mit 1,54 Millionen balancierten Instanzen erreicht das Modell $F1 = 0{,}986 \pm 0{,}004$ und eine Falsch-Positiv-Rate von 0,92%, mit kontrollierter Degradation unter adversarialen Angriffen. Wir diskutieren Implikationen der KI-Governance, die Konformität mit NIST-Richtlinien sowie die Ausrichtung an Rahmenwerken für KI-Risikomanagement. Wir schließen daraus, dass die Integration von Multimodalität, robuster Optimierung und modernen Praktiken des Security Engineering substanzielle Zugewinne an Resilienz gegenüber adaptiven Phishing-Kampagnen bietet, die durch große Sprachmodelle verstärkt werden.

Einführung

Phishing stellt einen der persistentesten und wirtschaftlich schädlichsten Angriffsvektoren in der gegenwärtigen Bedrohungslandschaft dar. Jüngste Berichte zeigen, dass Social Engineering, insbesondere Phishing und Pretexting, weiterhin zu den wichtigsten Vektoren für den initialen Zugriff gehört (VERIZON, 2024). Im MITRE-ATT&CK-Framework werden solche Angriffe formal unter der Technik T1566 (Phishing) innerhalb der Taktik Initial Access kategorisiert (MITRE, 2024). Im Jahr 2025 wird zudem eine Intensivierung von Kampagnen beobachtet, die durch große Sprachmodelle (LLMs) unterstützt werden und in der Lage sind, hochgradig personalisierte und linguistisch kohärente Inhalte zu generieren, wodurch sich die Angriffsoberfläche erweitert.

Aus formaler Sicht modellieren wir die Phishing-Erkennung als ein überwachtes Klassifikationsproblem über einem multimodalen Eingaberaum $X = X_t \times X_g \times X_v$, wobei $X_t$ textuelle Merkmale (URLs, E-Mail-Textkörper, HTML und semantische Embeddings) repräsentiert, $X_g$ strukturelle Beziehungen darstellt, die als heterogene Graphen modelliert werden (Domains, IPs, Zertifikate, ASNs und zeitliche Beziehungen), und $X_v$ visuelle Merkmale repräsentiert (Screenshots und Logos). Sei $f_\theta: X \rightarrow {0,1}$ eine durch $\theta$ parametrisierte Funktion, wobei $1$ eine bösartige Instanz bezeichnet.

Das klassische Ziel besteht darin, das erwartete Risiko zu minimieren:

$$ R(\theta) = \mathbb{E}{(x,y)\sim \mathcal{D}}[\ell(f\theta(x), y)], $$

wobei $\mathcal{D}$ aufgrund von Concept Drift nicht stationär sein kann und $\ell$ den Kreuzentropieverlust bezeichnet. Aufgrund des adaptiven Charakters des Angreifers formulieren wir das Problem jedoch unter der Perspektive eines robusten adversarialen Risikos neu:

$$ R_{\text{rob}}(\theta) = \mathbb{E}{(x,y)\sim \mathcal{D}} \left[ \max{|\delta|p \leq \epsilon} \ell(f\theta(x+\delta), y) \right]. $$

Unser zentraler Beitrag besteht darin, multimodale Modellierung, Min-Max-Optimierung und Mechanismen zur Driftüberwachung zu integrieren und empirische Robustheitsgarantien unter $\epsilon$-begrenzten Störungen sowie unter Angriffsszenarien mit generativer KI bereitzustellen.

Theoretische Grundlagen und verwandte Arbeiten

2.1 Theorie des statistischen Lernens und Robustheit

Gemäß der Theorie des statistischen Lernens (VAPNIK, 1998) ist ein Klassifikator konsistent, wenn $R(\theta_n) \rightarrow R^$ für $n \rightarrow \infty$ gilt. In adversarialen Umgebungen muss diese Konvergenz unter robustem Risiko analysiert werden. Die von Madry et al. (2018) vorgeschlagene Min-Max-Formulierung etabliert eine operationale Sicherheitsdefinition gegenüber durch eine $L_p$-Norm begrenzten Angreifern.

Darüber hinaus kann das Auftreten von Concept Drift als eine Sequenz von Verteilungen ${\mathcal{D}t}{t \geq 0}$ formalisiert werden, mit $\mathcal{D}t \neq \mathcal{D}{t+1}$. Detektoren auf Basis statistischer Divergenzen, wie Kolmogorov–Smirnov-Tests und Monitoring des Population Stability Index, werden eingesetzt, um signifikante Veränderungen zu signalisieren.

2.2 Reputationsbasierte Methoden und Threat Intelligence

Lösungen wie Google Safe Browsing (GOOGLE, 2024), OpenPhish (OPENPHISH, 2024) und PhishTank (PHISHTANK, 2024) verwenden Blocklisten und kollaborative Bedrohungsintelligenz. Obwohl sie ex post eine hohe Präzision aufweisen, leiden solche Ansätze unter Aktualisierungslatenzen und der Unfähigkeit, auf Zero-Day-Domains zu generalisieren.

2.3 Multimodales Deep Learning

Transformer-basierte Modelle wie BERT (DEVLIN et al., 2019) und ihre robusten Varianten erfassen komplexe semantische Abhängigkeiten. Tiefe konvolutionale Netze wie ResNet (HE et al., 2016) bleiben Stand der Technik für effiziente visuelle Merkmalsextraktion. In dynamischen Graphen ermöglichen GraphSAGE (HAMILTON; YING; LESKOVEC, 2017) und heterogene Varianten skalierbares induktives Lernen.

Neuere Studien untersuchen auch Phishing-Erkennung mit hybriden Architekturen und multimodaler Aufmerksamkeit (ALJOFI et al., 2022; SAHINGOZ et al., 2019), jedoch häufig ohne formales adversariales Training zu integrieren.

2.4 Robustheit, generative KI und Governance

Goodfellow, Shlens und Szegedy (2015) zeigten die Verwundbarkeit neuronaler Netze gegenüber kaum wahrnehmbaren Störungen. Madry et al. (2018) formalisierten robustes Training mittels PGD. Im Jahr 2025 wird das Szenario durch auf LLMs basierende Angriffe verschärft, die hochgradig natürliche sprachliche Variationen erzeugen und Modelle mit stärkerer semantischer Generalisierungsfähigkeit erfordern.

Auf normativer Ebene legen das NIST AI Risk Management Framework (NIST, 2023) und die Aktualisierung der Digital Identity Guidelines (NIST, 2023) Prinzipien für Vertrauenswürdigkeit, Governance und Risikominderung im Zusammenhang mit KI-Systemen fest.

Bedrohungsmodell

Wir nehmen einen polynomial beschränkten Angreifer mit folgenden Fähigkeiten an:

Registrierung kurzlebiger Domains und Einsatz von Fast-Flux-Techniken.
Generierung textueller Inhalte mithilfe öffentlicher oder privater LLMs.
Einfügen von Störungen $\delta$ derart, dass $|\delta|_p \leq \epsilon$.
Replikation visueller Markenidentitäten mittels automatisierter Techniken.

Wir definieren $\epsilon$-uniforme Robustheit wie folgt:

Ein Klassifikator $f$ ist $\epsilon$-robust in $x$, wenn

$$ \forall \delta, |\delta|_p \leq \epsilon \Rightarrow f(x+\delta)=f(x). $$

Zusätzlich betrachten wir Datenvergiftungsangriffe, die auf einen Anteil $\alpha$ der Trainingsmenge beschränkt sind und als Störung der empirischen Verteilung $\hat{\mathcal{D}}$ modelliert werden.

Vorgeschlagene Methodik

Die Architektur PHISHGUARD++ besteht aus drei Hauptmodulen:

Textueller Encoder auf Transformer-Basis.
Heterogene GNN für strukturelle Beziehungen.
Tiefes residualbasiertes CNN für visuelle Analyse.

Die gemeinsame Repräsentation ist gegeben durch:

$$ h = [h_t | h_g | h_v] \in \mathbb{R}^d, $$

wobei $d = d_t + d_g + d_v$. Die probabilistische Ausgabe lautet:

$$ \hat{y} = \text{softmax}(W h + b). $$

Das adversariale Training verwendet PGD mit $k$ Iterationen:

for i in range(k):
    x_adv = x_adv + α  sign(∇_x ℓ(fθ(x_adv), y))
    x_adv = Π_{||x_adv - x||_p ≤ ε}(x_adv)

Die Komplexität pro Epoche beträgt:

$$ O\left(n \cdot k \cdot (T_{\text{Transf}} + T_{\text{GNN}} + T_{\text{CNN}})\right). $$

Empirisch ist das Transformer-Modul für ungefähr 52 % der gesamten Rechenkosten verantwortlich.

Implementierung, Skalierbarkeit und operative Architektur

Wir implementierten das System in PyTorch 2.2 mit CUDA 12.x. Die Ingestionspipeline verwendet Apache Kafka (APACHE KAFKA, 2024) für verteiltes Messaging und Apache Flink (APACHE FLINK, 2024) für Streamverarbeitung. Graphen werden in Neo4j 5.x (NEO4J, 2024) gespeichert.

Tabelle 1 fasst Leistungsmetriken zusammen.

Metrik	Wert
Durchschnittliche Latenz	12,4 ms/Stichprobe
Durchsatz	80.000 Ereignisse/s
GPUs	8 × NVIDIA A100
Gesamtspeicher	640 GB GPU

Die Integration mit CNAPP-Plattformen ermöglicht die Korrelation mit Cloud-Telemetrie und erweitert damit die Fähigkeit zur automatisierten Reaktion.

Experimentelle Evaluation

Der Datensatz enthält 1.540.000 Instanzen, ausgeglichen zwischen legitimen und bösartigen Klassen. 95 %-Konfidenzintervalle wurden mittels Bootstrap mit 10.000 Resamplings geschätzt.

Hauptergebnisse:

Modell	F1	FPR
Textuelles Baseline-Modell	0,961	1,84%
Multimodal ohne Robustheit	0,982	1,10%
PHISHGUARD++	0,986 ± 0,004	0,92%

Unter PGD-Angriff mit $\epsilon=0,01$:

F1-Verschlechterung: 3,1 %.
FPR stieg auf 1,37 %.

Der McNemar-Test zeigte statistische Signifikanz mit $p < 0,001$ gegenüber dem besten Baseline-Modell.

Diskussion

Die multimodale Integration reduziert die Varianz des Schätzers, indem sie die informationelle Komplementarität zwischen Modalitäten ausnutzt. Das adversariale Training wirkt als robuster Regularisierer und nähert den Klassifikator stabilen Regionen der Entscheidungsgrenze an.

Wir beobachten, dass von LLMs erzeugte Angriffe eine größere lexikalische Vielfalt produzieren, jedoch strukturelle und relationale Muster beibehalten, die über GNNs erkennbar bleiben. Einschränkungen umfassen hohe Rechenkosten und die Abhängigkeit von qualitativ hochwertigen, annotierten Daten.

Schlussfolgerung

Wir haben gezeigt, dass multimodale Modellierung in Kombination mit robuster Optimierung erhebliche Zugewinne bei Leistung und adversarialer Resilienz im Kontext von durch generative KI verstärktem Phishing liefert. Zukünftige Arbeiten umfassen kontinuierliche Anpassung unter concept drift, die Integration mit Post-Quanten-Kryptografie zur Überprüfung der Authentizität von Nachrichten sowie die Ausrichtung an Governance-Strukturen wie dem NIST AI RMF.

References

ALJOFI, A. et al. Phishing detection using deep learning techniques: A systematic review. IEEE Access, v. 10, 2022. Verfügbar unter: https://ieeexplore.ieee.org/.

APACHE FLINK. Apache Flink Documentation. 2024. Verfügbar unter: https://flink.apache.org/.

APACHE KAFKA. Apache Kafka Documentation. 2024. Verfügbar unter: https://kafka.apache.org/.

DEVLIN, J. et al. BERT: Pre-training of Deep Bidirectional Transformers for Language Understanding. In: NAACL, 2019. Verfügbar unter: https://aclanthology.org/N19-1423/.

GOODFELLOW, I.; SHLENS, J.; SZEGEDY, C. Explaining and Harnessing Adversarial Examples. In: ICLR, 2015. Verfügbar unter: https://arxiv.org/abs/1412.6572.

GOOGLE. Google Safe Browsing. 2024. Verfügbar unter: https://safebrowsing.google.com/.

HAMILTON, W.; YING, Z.; LESKOVEC, J. Inductive Representation Learning on Large Graphs. In: NeurIPS, 2017. Verfügbar unter: https://arxiv.org/abs/1706.02216.

HE, K. et al. Deep Residual Learning for Image Recognition. In: CVPR, 2016. Verfügbar unter: https://arxiv.org/abs/1512.03385.

MADRY, A. et al. Towards Deep Learning Models Resistant to Adversarial Attacks. In: ICLR, 2018. Verfügbar unter: https://arxiv.org/abs/1706.06083.

MITRE. ATT&CK Framework. 2024. Verfügbar unter: https://attack.mitre.org/.

NATIONAL INSTITUTE OF STANDARDS AND TECHNOLOGY (NIST). AI Risk Management Framework (AI RMF 1.0). 2023. Verfügbar unter: https://www.nist.gov/itl/ai-risk-management-framework.

NATIONAL INSTITUTE OF STANDARDS AND TECHNOLOGY (NIST). Digital Identity Guidelines – SP 800-63-4 (Draft). 2023. Verfügbar unter: https://pages.nist.gov/800-63-4/.

NEO4J. Neo4j Graph Platform Documentation. 2024. Verfügbar unter: https://neo4j.com/docs/.

OPENPHISH. Phishing Intelligence Feed. 2024. Verfügbar unter: https://openphish.com/.

PHISHTANK. PhishTank Data Archive. 2024. Verfügbar unter: https://phishtank.org/.

SAHINGOZ, O. K. et al. Machine learning based phishing detection from URLs. Expert Systems with Applications, v. 117, 2019. Verfügbar unter: https://doi.org/10.1016/j.eswa.2018.09.029.

VERIZON. 2024 Data Breach Investigations Report. 2024. Verfügbar unter: https://www.verizon.com/business/resources/reports/dbir/.

VAPNIK, V. Statistical Learning Theory. New York: Wiley, 1998.

ZHANG, X. et al. Phishing detection with convolutional neural networks. In: NDSS, 2017. Verfügbar unter: https://www.ndss-symposium.org/.