حققت نماذج كشف البرمجيات الخبيثة في نظام أندرويد القائمة على التعلم الآلي نتائج بارزة، غير أنها تواجه صعوبة متصاعدة أمام انحراف المفهوم، إذ تتطور خصائص البرمجيات الخبيثة بسرعة فتتدهور فاعلية النماذج مع مرور الوقت، فما يتعلمه النموذج من بيانات اليوم قد لا يصلح لكشف تهديدات الغد، ومن هنا تبحث هذه الدراسة في أثر انحراف المفهوم في كشف البرمجيات الخبيثة في أندرويد، مقيّمة أداء طيف واسع من الخوارزميات ونماذج اللغة الكبيرة عبر بيئات بيانات وأنواع خصائص متعددة، بما يقدم رؤى جديدة حول مدى انتشار هذه الظاهرة والعوامل المؤثرة فيها، وحول حدود الحلول الشائعة للتعامل معها في بيئات الأمن السيبراني المتغيرة، إذ لم تعد دقة النموذج لحظة بنائه ضمانًا كافيًا لاستمرار فاعليته، بل أصبحت إدارة الزمن عاملًا حاسمًا في هندسة أنظمة الكشف وصيانتها
أولًا: أهداف الدراسة ومنهجيتها
هدفت الدراسة إلى فحص أثر انحراف المفهوم في نماذج كشف البرمجيات الخبيثة في نظام أندرويد القائمة على التعلم الآلي، وتقييم مدى هذا الأثر عبر مجموعتي بيانات وبتسع خوارزميات من التعلم الآلي والتعلم العميق، إضافة إلى نماذج اللغة الكبيرة، وغطى التقييم أنواعًا متعددة من الخصائص تشمل الخصائص الساكنة والديناميكية والهجينة والنصية والقائمة على الصور، وعولج تقييم نماذج اللغة الكبيرة بوصفه خطًا أساسيًا استكشافيًا، إذ ضغطت فضاءات الخصائص الأصلية باستخدام تحليل المكونات الرئيسة لتلبية قيود طول الرموز، كما استخدمت إعدادات الخوارزميات الافتراضية دون ضبط دقيق للمعاملات الفائقة، بما يجعل المقارنة منضبطة بحدود هذه الشروط المنهجية المعلنة، وقد منح تنويع أنواع الخصائص بين الساكنة والديناميكية والهجينة والنصية والصورية الدراسة قدرة على عزل أثر كل نوع في قابلية النموذج للانحراف، ومنح تنويع بيئات البيانات إمكانية اختبار ثبات النتائج عبر سياقات تشغيل مختلفة تحاكي واقع انتشار التطبيقات الخبيثة وتطورها المتسارع
ثانيًا: أبرز النتائج
أظهرت النتائج أن انحراف المفهوم واسع الانتشار ويؤثر في أداء النماذج تأثيرًا ملحوظًا، وأن العوامل المؤثرة في الانحراف تشمل أنواع الخصائص وبيئات البيانات وطرائق الكشف، وبينت النتائج أن خوارزميات الموازنة تساعد في معالجة اختلال التوازن بين الفئات لكنها لا تعالج الانحراف معالجة كاملة، إذ ينبع الانحراف أساسًا من الطبيعة الديناميكية للبرمجيات الخبيثة ذاتها، ولم يجد البحث ارتباطًا قويًا بين نوع الخوارزمية المستخدمة وانحراف المفهوم، وكان أثر نوع الخوارزمية محدودًا نسبيًا مقارنة بالمتغيرات الأخرى نظرًا لعدم ضبط المعاملات الفائقة، أما نماذج اللغة الكبيرة فقد أظهرت في هذا الإطار أداء واعدًا في التعلم من أمثلة قليلة، لكنها بقيت حساسة للانحراف الزمني، وتستحق هذه الصورة المتكاملة وقفة عند دلالتها المركزية، فالمشكلة ليست في خوارزمية بعينها يمكن استبدالها بأخرى، بل في طبيعة الظاهرة المستهدفة ذاتها، فالبرمجيات الخبيثة كائنات رقمية متطورة يعيد مطوروها تشكيل خصائصها باستمرار للإفلات من الكشف، ومن ثم فإن أي نموذج ثابت يتدرب على ماضٍ لا يشبه الحاضر تمامًا سيتآكل أداؤه مهما بلغت دقته الأولى
ثالثًا: دلالات الدراسة وتطبيقاتها
تنبه هذه النتائج مطوري أنظمة كشف البرمجيات الخبيثة وممارسي الأمن السيبراني إلى أن بناء نموذج دقيق لا يكفي وحده، فالفاعلية رهن بالمتابعة المستمرة لأداء النموذج عبر الزمن وبإعادة التدريب والتحديث الدوريين، كما توجه العناية إلى اختيار أنواع الخصائص وبيئات البيانات بوصفها عوامل مؤثرة في الانحراف لا تقل أهمية عن اختيار الخوارزمية، وتحذر من الاعتماد على خوارزميات الموازنة وحدها حلًا للمشكلة، فهي تعالج اختلال الفئات ولا تعالج تحول طبيعة التهديدات، وتفتح النتائج كذلك بابًا لمزيد من البحث في توظيف نماذج اللغة الكبيرة في هذا المجال مع مراعاة حساسيتها للانحراف الزمني وقيود تمثيل الخصائص، وبذلك تنتقل رسالة الدراسة إلى فرق الأمن السيبراني من سؤال أي خوارزمية نختار إلى سؤال أكثر جوهرية هو كيف ندير دورة حياة النموذج عبر الزمن رصدًا وتقييمًا وتحديثًا، وكيف نوازن بين كلفة هذا التحديث المستمر ومخاطر التراخي عنه في بيئة تهديدات لا تتوقف عن التحول
وخلاصة القول إن انحراف المفهوم ظاهرة واسعة الانتشار تقوض أداء نماذج تعلم الآلة في كشف برمجيات أندرويد الخبيثة بمرور الوقت، ومصدرها الرئيس الطبيعة المتطورة للبرمجيات الخبيثة وأنواع الخصائص وبيئات البيانات أكثر من نوع الخوارزمية، بما يجعل الصيانة الزمنية للنماذج وتحديثها المستمر شرطًا لا غنى عنه لأمن تطبيقات الهواتف الذكية
