تشكل الحزم الخبيثة في سلاسل إمداد البرمجيات مفتوحة المصدر مصدر قلق أمني متنام، غير أن كاشفات التعلم الآلي المبنية على البيانات الوصفية لسجلات الحزم يصعب تفسيرها وتقيم عادة وفق بروتوكولات عرضة لتسرب البيانات، وهو ما قد ينفخ تقديرات أدائها بعيدًا عن واقع التشغيل الفعلي، وفي هذا السياق تعيد هذه الدراسة بناء مسألة كشف الحزم الخبيثة في سجلي إن بي إم وباي بي آي على أسس تقييمية صارمة تراعي زمن النشر وتمنع التسرب، وتختبر ما يمكن أن تحققه البيانات الوصفية وحدها حين تقاس بأمانة إحصائية كاملة ودون تجميل للنتائج
أولًا: أهداف الدراسة ومنهجيتها
هدفت الدراسة إلى تقدير الأداء الحقيقي لكشف الحزم الخبيثة اعتمادًا على البيانات الوصفية وحدها وبيان أثر بروتوكول التقييم في النتائج المعلنة، فبنى الباحثون مجموعة بيانات ضمت 3330 إصدارًا من الحزم من السجلين أعيد بناء كل سمة فيها عند طابعها الزمني الدقيق للنشر، وقسموا البيانات بحيث يقع كل إصدار من إصدارات الحزمة الواحدة وكل حزم المشرف الواحد وكل أعضاء أسرة التشابه الاسمي داخل مجموعة واحدة من مجموعات التقسيم منعًا للتسرب، وحصر التحليل الأساسي في سجل إن بي إم مع تحليل ثانوي مجمع عبر المنظومتين، واستخرجت فواصل الثقة بإعادة المعاينة العنقودية على مستوى المجموعات المركبة، وقيس الأداء بمقاييس المساحة تحت منحنى الدقة والاستدعاء والمساحة تحت منحنى خصائص التشغيل والقيمة التنبؤية الموجبة والاستدعاء عند عتبة مختارة
ثانيًا: أبرز النتائج
أظهرت النتائج أن 18 سمة من أصل 456 سمة محسوبة عند زمن النشر حققت مساحة تحت منحنى الدقة والاستدعاء بلغت 0.9972 مقابل خط أساس للفئة الموجبة قدره 0.8755، ومساحة تحت منحنى خصائص التشغيل بلغت 0.9828 على 763 إصدارًا محتجزة للاختبار، غير أن فواصل الثقة المستخرجة بإعادة المعاينة العنقودية جاءت أوسع بمقدار 3.7 مرات من الفواصل على مستوى الإصدارات في مقياس الدقة والاستدعاء، إذ بلغت 0.0201 مقابل 0.0055، وعند هذا المقياس لا يمكن تمييز أي من الفروق بين مجموعات السمات أو ترتيبات مراحل الاختيار أو أسر البيانات الوصفية المبلغ عنها من التباين الناشئ عن المعاينة، كما أظهر التحليل المجمع اختلافًا في معدلات الأساس بين المنظومتين يقارب تسعة أضعاف، وبلوغ مصنف يستخدم منظومة المنشأ وحدها مساحة قدرها 0.8036 يجب أن تقرأ بعناية، وعند معدل انتشار تشغيلي قدره 0.1 في المئة بلغت القيمة التنبؤية الموجبة 4.3 في المئة وبلغ الاستدعاء عند العتبة المختارة 0.537
ثالثًا: دلالات الدراسة وتطبيقاتها
تدل هذه النتائج على أن الكشف القائم على البيانات الوصفية يعمل بوصفه مرشح فرز أولي يوجه جهود الفحص البشري لا حكمًا نهائيًا على خبث الحزم أو سلامتها، وأن الفروق الدقيقة بين النماذج والسمات التي تبدو حاسمة في التقييمات المتساهلة تذوب عند اعتماد فواصل ثقة عنقودية أمينة، كما تحذر الدراسة من قراءة الأرقام المجمعة عبر منظومتين مختلفتي التوزيع دون انتباه إلى أثر التركيب في النتائج، وتقدم للباحثين والممارسين في أمن سلاسل الإمداد البرمجية بروتوكول تقييم محكمًا زمنيًا ومقاومًا للتسرب يصلح معيارًا لمقارنة الكاشفات المستقبلية وادعاءات أدائها المعلنة
ويضيء التحليل الثانوي المجمع عبر المنظومتين وجهًا آخر لمشكلة التقييم، فحين تختلف معدلات الأساس بين سجل وآخر بمعامل يقارب تسعة أضعاف، يمكن لمصنف بسيط يستخدم معلومة منظومة المنشأ وحدها أن يحقق مساحة تحت المنحنى قدرها 0.8036، وهو ما يعني أن جزءًا من الأداء المجمع الظاهر يعزى إلى اختلاف تركيب البيانات لا إلى قدرة الكاشف ذاته، ولهذا تشدد الدراسة على قراءة الأرقام المجمعة في ضوء هذا التركيب وعلى الفصل بين الأداء داخل كل منظومة على حدة والأداء عبر المنظومتين معًا، كما أن إعادة بناء كل سمة عند لحظة نشر الإصدار بالضبط تمنع تسرب معلومات لاحقة إلى زمن التقييم، وهو تسرب شائع في الأدبيات ينتج تقديرات متفائلة لا تصمد عند التشغيل الفعلي على الحزم الجديدة الواردة إلى السجلات
وخلاصة القول إن البيانات الوصفية للحزم تحمل إشارة كشف قوية عند قياسها بصرامة، لكن اتساع فواصل الثقة العنقودية وانخفاض القيمة التنبؤية عند معدلات الانتشار الواقعية يجعلان الكشف مرشح فرز يستدعي التحقق اللاحق، وتضع الدراسة بذلك حدًا فاصلًا بين الأداء المعلن والأداء الجدير بالثقة في أمن البرمجيات مفتوحة المصدر وسلاسل إمدادها
