Bi-Iocane envenena detectores de malware baseados em ML explorando divergência entre rótulos de antivírus e features de aprendizado

Detectores de malware baseados em machine learning quase sempre dependem de rótulos gerados por motores de antivírus (AV) e agregadores como o VirusTotal para montar seus conjuntos de treino -- a suposição implícita é que esses rótulos são uma fonte confiável de verdade. O Bi-Iocane explora uma falha nessa suposição: pequenas modificações em nível de byte, cuidadosamente escolhidas, conseguem alterar substancialmente o veredito de um motor de AV específico sem alterar de forma relevante as representações que um detector de ML downstream extrai do arquivo. Isso cria uma inconsistência entre rótulo (que vem do AV) e feature (que vem do próprio arquivo) que pode ser deliberadamente explorada.

A técnica identifica primeiro quais bytes são “sensíveis ao AV” -- ou seja, cuja alteração muda o veredito de detecção -- e então os manipula em duas direções opostas: no modo evasion-oriented, reescreve esses bytes em malware real para que motores de AV o rotulem como benigno, contaminando o dataset de treino com exemplos de malware rotulados como limpos; no modo defamation-oriented, injeta padrões de byte associados a malware em software benigno legítimo, fazendo com que ele seja rotulado como malicioso. Ambas as variantes, e suas versões levemente modificadas, entram no pipeline de rotulagem e corrompem o conjunto de treino usado por detectores ML.

Os números são o ponto mais alarmante do trabalho: testando contra 13 motores de AV reais (simulando um serviço de agregação como o VirusTotal) e oito detectores de ML distintos, para 30 alvos de malware e 30 alvos benignos, o Bi-Iocane conseguiu flipar o rótulo de todos os motores de AV testados nas amostras manipuladas. Depois que essas amostras envenenadas entram no treino downstream, os modelos resultantes classificam erroneamente 92,08% dos alvos limpos originais, em média, gastando um orçamento de envenenamento de apenas 0,06% por alvo -- uma fração ínfima do dataset. Crucialmente, os modelos envenenados preservam bom desempenho no conjunto de teste limpo normal, o que significa que a degradação de segurança fica invisível em métricas agregadas de validação padrão. Seis defesas de envenenamento testadas oferecem apenas mitigação limitada.

O impacto prático recai diretamente sobre qualquer pipeline de detecção de malware que treina ou re-treina modelos usando rótulos agregados de múltiplos AVs -- prática extremamente comum na indústria, incluindo uso de VirusTotal como fonte de verdade para datasets acadêmicos e comerciais. A validação no VirusTotal real confirma que o risco de difamação (rotular software legítimo como malware) já é praticamente demonstrável hoje, e que a evasão (malware real escapando de classificação) é um risco plausível na cadeia de rotulagem real. Times de segurança que mantêm pipelines de retraining automatizado baseados em rótulos de AV devem considerar validação cruzada por múltiplas fontes independentes e monitoramento de anomalias de distribuição, já que a defesa por reforço de amostras (comum contra poisoning) mostrou eficácia limitada aqui.