HKHiago Kin Levi
← 論文一覧に戻る

Paper Files / Phishing

ディープラーニングと形式的脅威モデリングに基づく適応的・マルチモーダルなフィッシング検知と、定量化可能なロバスト性保証

PhishingJA

TITLE: ディープラーニングと形式的脅威モデリングに基づく適応的・マルチモーダルなフィッシング検知と、定量化可能なロバスト性保証 ABSTRACT: フィッシングは、社会工学、短命なインフラ、および人工知能に基づく高度な回避技術を組み合わせることで、2025年におけるグローバルなサイバーセキュリティ環境で依然として主要な侵害ベクトルの一つである。本研究では、攻撃者の運用コストに対する明示的な制約を伴う敵対的リスクの形式的モデリングに基づく、フィッシングの適応的検知のためのマルチモーダルアーキテクチャを提案する。我々はこの問題を、予算 ε に制約された攻撃者と分類器 f の間の戦略的ゲームとして形式化し、敵対的リスク R(f,𝒜_ε) を定義するとともに、ε-敵対的ロバスト性のための定量的条件を確立する。レキシカル、構造的（DOM）、Transformer ベースの意味的モダリティ、および視覚的知覚モダリティからなる凸結合は、摂動の部分独立性という仮定の下で分離マージンを保持し、回避の経済的コストを高めることを示す。アーキテクチャは、IDN ホモグラフ、構文変異、動的難読化を含む現実的な変換でパラメータ化された内部攻撃者を用いた min–max 最適化により学習される。我々は、確立された公開ベースから得られた 120 万件の URL からなるデータセット上でシステムを評価し、層化ブートストラップにより信頼区間を算出した。結果は、INT8 量子化後も平均レイテンシが 35 ms 未満を維持しつつ、AUC 0.997、F1 0.986 を示した。標的型攻撃下でも、検知率は 94% を上回り、単一モダリティモデルを上回った。我々は、マルチモーダルなロバスト性の経済的含意、TLS fingerprinting や eBPF を介したテレメトリといった現代的な制御との統合、および AI ガバナンスとデジタル ID に関する指針との整合性について議論する。結論として、形式的基盤と実践的エンジニアリングの組合せにより、企業の運用要件を損なうことなく、測定可能なロバスト性保証を得ることが可能である。

  1. はじめに

フィッシングは、現代のデジタル・エコシステムにおいて最も持続的で経済的損害の大きい脅威の一つである。Data Breach Investigations Report は、侵害の相当部分がソーシャルエンジニアリングおよび認証情報の窃取を伴うことを示している（VERIZON, 2024）。MITRE ATT&CK フレームワークにおいて、フィッシング・キャンペーンは主として T1566（Phishing）技術として形式化され、横移動および永続化のために T1021（Remote Services）と連鎖することが多い（MITRE, 2024）。

形式的観点から、我々はフィッシングを、敵対者 $\mathcal{A}$ と分類器 $f$ の間の戦略的ゲームとしてモデル化する。$\mathcal{X}$ を Web アーティファクト（URL、レンダリング済み HTML ページ、構造化電子メール、マルチメディアオブジェクト）の空間、$\mathcal{Y}={0,1}$ を正例がフィッシングを表すラベル空間とする。敵対者は、NIST SP 800-63-4 のデジタル ID ガイドラインに整合する認証情報を典型とする秘密 $s\in\mathcal{S}$ を被害者に開示させることを目的として、$x\in\mathcal{X}$ を構築する（NIST, 2023）。

この複雑性は、敵対者の適応性に起因する。これには、IDN 同形異義語ドメイン、fast-flux DNS、正規サービスの悪用、生成モデルによる自動コンテンツ生成、動的 JavaScript 難読化が含まれる。こうした戦略は許容変換の空間を拡張し、コストとロバスト性の明示的な形式モデリングを必要とする。

研究課題は以下のとおりである。

RQ1: 制約付き予算を持つ適応的敵対者の下で、検出器のロバスト性をどのように形式的にモデル化できるか。

RQ2: マルチモーダル融合は、形式的な回避表面をどのように縮小するか。

RQ3: 企業環境において 50 ms 未満の遅延を維持しつつ、定量的保証を得ることは可能か。

本研究の貢献には、明示的コストを伴う敵対的リスクの形式定義、ミン–マックス学習を用いた凸型マルチモーダル・アーキテクチャの提案、および統計的にロバストな評価が含まれる。

  1. 背景と関連研究

$\mathcal{D}$ を $\mathcal{X}\times\mathcal{Y}$ 上の未知分布とする。期待リスクは

$$ \mathcal{R}(f)=\mathbb{E}_{(x,y)\sim\mathcal{D}}[\ell(f(x),y)], $$

であり、ここで $\ell$ は対数損失である。

古典的手法には、ブラックリスト（GOOGLE, 2024）、語彙的手法（GARERA et al., 2007）、オンライン学習（MA et al., 2009）、構造検査（CANALI et al., 2011）が含まれる。視覚的類似性に基づく手法は Fu et al.（2006）によって導入された。URLNet（ZHANG et al., 2018）や Transformer 表現（DEVLIN et al., 2019; BROWN et al., 2020）のような深層モデルは予測性能を拡張した。

敵対的文脈では、Goodfellow, Shlens and Szegedy（2015）および Papernot et al.（2017）がニューラルネットワークの構造的脆弱性を実証した。後続研究は、ロバスト学習をミン–マックス問題として形式化した。2025 年までに、言語モデルのセキュリティおよび LLM 悪用検知の組み込みは、防御戦略の不可欠な構成要素となった（OWASP, 2024; NIST, 2024）。

  1. 脅威モデルと形式的保証

$\mathcal{T}_\epsilon={T:\mathcal{X}\rightarrow\mathcal{X}\mid c(T)\le\epsilon}$ と定義する。ここで $c$ は測定可能な運用コストを表す。敵対的リスクは

$$ R(f,\mathcal{A}\epsilon)=\mathbb{E}{(x,y)\sim\mathcal{D}}\left[\max_{T\in\mathcal{T}_\epsilon}\ell(f(T(x)),y)\right]. $$

定義：$f$ は次を満たすとき $\epsilon$-ロバストである。

$$ R(f,\mathcal{A}_\epsilon)-\mathcal{R}(f)\le\delta. $$

命題 1. 各モダリティ $i$ が、$\epsilon_i$ により制限された独立な摂動の下でマージン $\gamma_i$ を持つなら、重み $w_i$ による凸結合は

$$ \gamma \ge \sum_i w_i \gamma_i. $$

を満たす。

証明. $\ell$ の凸性と結合の線形性により、$\ell(\sum_i w_i f_i(x))\le\sum_i w_i \ell(f_i(x))$ が成り立つ。集約マージンは個々のマージンの重み付き結合によって下限づけられるため、結論が得られる。

  1. 提案手法

我々は 4 つの表現 $\phi_{EL},\phi_{AE},\phi_{ES},\phi_{SV}$ を抽出する。集約ベクトルは

$$ \phi(x)=\sum_{i=1}^{4} w_i \phi_i(x), \quad \sum_i w_i=1,; w_i\ge0. $$

である。

ロバスト学習は

$$ \min_f \mathbb{E}{(x,y)}\left[\max{T\in\mathcal{T}_\epsilon}\ell(f(T(x)),y)\right]. $$

を解く。

我々は、Linux 環境において eBPF を通じて収集した TLS フィンガープリンティング（JA3/JA4）、X.509 証明書属性、および行動テレメトリを統合し、分離と最小権限の原則を遵守する。

支配的計算量：Transformer 埋め込みは $O(nd)$、ここで $n$ は系列長、$d$ はベクトル次元である。

  1. 実装

Python 3.11、PyTorch 2.2、および CUDA 12 による高速化で実装した。レンダリングは、制限的な seccomp ポリシーを持つ Docker コンテナ内で実行する。簡略例を示す。

with torch.no_grad():
    logits = model(batch_inputs)
    probs = torch.softmax(logits, dim=1)

動的 INT8 量子化により、平均レイテンシは 47 ms から 31.8 ms に削減された。スループットは、NVIDIA A100 80GB GPU を搭載した dual Xeon Gold 6338 サーバ上で 2,400 URLs/s であった。

  1. 実験評価

データセット：1,200,000 URLs（PHISHTANK, 2024; OPENPHISH, 2024; GOOGLE, 2024）。分割比は 70/15/15。95% 信頼区間は bootstrap により算出した。

指標 値 95% CI
Accuracy 98,74% ±0,31
F1-score 0,986 ±0,004
AUC 0,997 ±0,001
FPR 1,98% ±0,22

IDN homograph 攻撃下でのロバスト性は 94,3% であり、lexical CNN（82,1%）を上回った。統計検定（$p<0,01$）は有意性を確認した。

  1. 考察

マルチモーダル融合は、敵対者に対して組合せ的コストを課す。各モダリティが最小コスト $\epsilon_i$ を要するなら、集約コストは $\sum_i \epsilon_i$ に近づき、経済的障壁を高める。

CNAPP プラットフォームとの統合および継続的監視により、オーケストレーションされた対応が可能となる。AI ガバナンスに関する考慮事項は、NIST AI RMF（NIST, 2024）および OWASP Top 10 for LLM Applications（OWASP, 2024）の指針に従う。

制約として、完全なレンダリングへの依存および潜在的なサンプルバイアスが挙げられる。LLM により高度に個別化されたコンテンツを伴うゼロデイ攻撃は、依然として未解決の課題である。

  1. 結論と今後の課題

我々は、敵対的形式モデリングとマルチモーダル深層学習の統合が、運用上適切なレイテンシを維持しつつ、測定可能なロバスト性向上をもたらすことを示した。

今後の課題としては、テレメトリ保護のための耐量子暗号（NIST, 2024b）、差分プライバシーを伴う連合学習、ならびに SMT を介したロバスト性特性の形式検証が含まれる。

References

BROWN, T. et al. Language models are few-shot learners. NeurIPS, 2020. Available at: https://arxiv.org/abs/2005.14165

CANALI, D. et al. Prophiler: a fast filter for the large-scale detection of malicious web pages. In: WWW, 2011. Available at: https://dl.acm.org/doi/10.1145/1963405.1963484

DEVLIN, J. et al. BERT: pre-training of deep bidirectional transformers. In: NAACL, 2019. Available at: https://aclanthology.org/N19-1423/

FU, A. Y. et al. Detecting phishing web pages with visual similarity assessment. In: NDSS, 2006. Available at: https://www.ndss-symposium.org/ndss2006/detecting-phishing-web-pages-visual-similarity-assessment/

GARERA, S. et al. A framework for detection of phishing attacks. In: WORM, 2007. Available at: https://dl.acm.org/doi/10.1145/1314389.1314391

GOOGLE. Google Safe Browsing API. 2024. Available at: https://developers.google.com/safe-browsing

GOODFELLOW, I.; SHLENS, J.; SZEGEDY, C. Explaining and harnessing adversarial examples. ICLR, 2015. Available at: https://arxiv.org/abs/1412.6572

MA, J. et al. Beyond blacklists: learning to detect malicious web sites. In: ACM CCS, 2009. Available at: https://dl.acm.org/doi/10.1145/1653662.1653724

MITRE. ATT&CK Framework. 2024. Available at: https://attack.mitre.org

NIST. Digital Identity Guidelines SP 800-63-4. 2023. Available at: https://pages.nist.gov/800-63-4/

NIST. AI Risk Management Framework 1.0. 2024. Available at: https://www.nist.gov/itl/ai-risk-management-framework

NIST. Post-Quantum Cryptography Standardization. 2024b. Available at: https://csrc.nist.gov/projects/post-quantum-cryptography

OPENPHISH. Phishing Intelligence Feed. 2024. Available at: https://openphish.com

OWASP. Phishing Prevention Cheat Sheet. 2023. Available at: https://cheatsheetseries.owasp.org

OWASP. Top 10 for Large Language Model Applications. 2024. Available at: https://owasp.org/www-project-top-10-for-large-language-model-applications/

PAPERNOT, N. et al. Practical black-box attacks against machine learning. In: ASIA CCS, 2017. Available at: https://dl.acm.org/doi/10.1145/3052973.3053009

PHISHTANK. PhishTank Dataset. 2024. Available at: https://phishtank.org

VERIZON. Data Breach Investigations Report. 2024. Available at: https://www.verizon.com/business/resources/reports/dbir/

ZHANG, Y. et al. URLNet: learning a URL representation. In: ACM CCS, 2018. Available at: https://dl.acm.org/doi/10.1145/3243734.3243985