Assemblyline — a Plataforma de Triagem de Malware por Aprendizagem Automática do Canadá na Defesa das Redes Governamentais

O Canadian Centre for Cyber Security, parte do Communications Security Establishment (CSE), opera sensores em toda a rede do Governo do Canadá e disponibilizou como código aberto o Assemblyline em 2017, uma plataforma de análise de malware baseada em aprendizagem automática usada para triar ficheiros suspeitos em larga escala para agências governamentais e parceiros de infraestruturas críticas.

Paralelamente ao Assemblyline, os cientistas de dados do CSE construíram um modelo separado de classificação de malware baseado em aprendizagem automática, destinado especificamente a detetar malware personalizado, de origem estatal, que as ferramentas antivírus comerciais (concebidas para ameaças genéricas) não detetam.

Os ficheiros assinalados pelo classificador de aprendizagem automática são colocados em quarentena, e o modelo é aperfeiçoado assim que os fornecedores de antivírus comerciais alcançam as mesmas ameaças, de acordo com a própria Estratégia de IA do CSE.

O Relatório Anual 2023-2024 do CSE indica que o Assemblyline analisou mais de mil milhões de ficheiros suspeitos nesse ano, com 308 organizações parceiras (58 governamentais, 250 de infraestruturas críticas) — um aumento de 35% face ao ano anterior — e sensores a cobrir cerca de 900.000 dispositivos em 167 instituições federais e empresas estatais. O Cyber Centre relata bloquear em média 6,6 mil milhões de ações potencialmente maliciosas por dia, acima dos 6,3 mil milhões de 2022-23. Reportagens independentes do instituto de políticas ICTC-CTIC e da revista canadiana The Walrus corroboram a ordem de grandeza da atividade bloqueada e da implantação de sensores, com base nos mesmos relatórios anuais e numa entrevista direta com o dirigente do CSE.

O CSE não publicou uma taxa de falsos positivos ou de precisão específica para o classificador de aprendizagem automática, nem uma discriminação de quanta da atividade bloqueada é especificamente impulsionada por aprendizagem automática versus deteção baseada em assinaturas ou regras. Não existe auditoria independente da precisão de deteção; a corroboração mediática confirma a escala, não as alegações de desempenho específicas da aprendizagem automática.