Eine Studie zu RISC-V meldet Trefferquoten von über 99 Prozent bei bekannten Angriffsprogrammen. Wenn die Forschenden jedoch jeweils ein ganzes Programm aus dem Training heraushielten, fielen die Ergebnisse je nach Angriff deutlich niedriger aus. Die Tests liefen in der Simulation gem5, nicht auf physischen RISC-V-Prozessoren.

Die am 27. Oktober 2026 veröffentlichte Arbeit von Joan-Tomàs Pujol, Beatriz Otero, Javier Verdú und Ramon Canal untersucht, ob sich schädliches Programmverhalten anhand von Prozessordaten erkennen lässt. Ihr Datensatz HARPY-V-GEM5 umfasst 16 harmlose und 16 als schädlich eingestufte Programme.

Welche Prozessordaten die Erkennung nutzt

HARPY-V-GEM5 erfasst zwei Arten von Merkmalen: Hardware Performance Counters (HPCs), also Zähler für Vorgänge im Prozessor, und die Häufigkeit von Mnemonics committeter Instruktionen. Mnemonics sind die Kurzbezeichnungen für Maschinenbefehle; committet sind Instruktionen, wenn der Prozessor sie endgültig ausführt.

Die Forschenden erzeugten die Daten mit gem5 24.1.0.3. Simuliert wurde ein einkerniger, einstufiger RISC-V-Prozessor mit Out-of-Order-Ausführung und 3 GHz Takt. Er hatte 16 KiB L1-Cache für Instruktionen und Daten sowie 256 KiB L2-Cache. Alle 10.000 committeten Instruktionen wurde ein Messpunkt erfasst. Der ausgewogene Datensatz enthält 12.890 Messpunkte pro Programm, insgesamt 412.480.

Hohe Trefferquoten bei bekannten Angriffen

Im Test mit bekannten Angriffsprogrammen erreichte ein Random Forest mit HPC-Merkmalen eine Erkennungsgenauigkeit von 99,55 Prozent; ein Decision Tree kam auf 99,54 Prozent. Mit Instruktionsmerkmalen lagen die Werte bei 99,08 Prozent für Random Forest und 99,06 Prozent für Decision Tree. Diese Ergebnisse beziehen sich auf die simulierten Testprogramme, die auch in der jeweiligen Trainingsauswahl vertreten waren.

Beim Erkennen der Angriffsart schnitt der HPC-basierte Random Forest mit 97,52 Prozent ab. Die Klassifikation anhand der Instruktionsmerkmale erreichte dagegen nur ungefähr 60 Prozent. Eine hohe Trefferquote beim Erkennen schädlichen Verhaltens bedeutet also nicht automatisch, dass das Modell auch die Art des Angriffs zuverlässig zuordnet.

Was die Tests mit zurückgehaltenen Programmen aussagen

Beim systematischen Leave-one-program-out-Verfahren (LOPO) ließen die Forschenden in jedem Durchlauf ein vollständiges Programm samt 12.890 Messpunkten aus dem Training heraus. Der Testlauf enthielt dadurch nur Daten einer Klasse. Im Ergebnisteil nennt die Studie für den HPC-basierten Random Forest eine mittlere Genauigkeit von 77,95 Prozent; für den instruktionsbasierten Decision Tree werden dort 89,38 Prozent angegeben.

Die Zahl 90,08 Prozent gehört zu einem gesonderten Fallbeispiel mit einem unbekannten Angriff und einem HPC-basierten Random Forest. Sie ist nicht der Mittelwert der systematischen LOPO-Auswertung. Auch die Angaben zur Instruktionsmethode unterscheiden sich innerhalb der Arbeit: Der Abstract nennt für unbekannte Angriffe mehr als 96 Prozent, während der Ergebnisteil 89,38 Prozent für den instruktionsbasierten Decision Tree im LOPO-Verfahren aufführt. Die Arbeit löst diese Abweichung nicht auf.

Die Erkennungsleistung hängt vom Angriff ab

Einzelne zurückgehaltene Programme wurden kaum erkannt: Für spectrev2 nennt die Studie 1,34 Prozent Genauigkeit, für flush-fault-ret 0,00 Prozent. Zugleich beschreibt sie unterschiedliche Schwachstellen der beiden Merkmalsarten. Instruktionsmerkmale erkannten einige Programme, bei denen HPC-Modelle schlecht abschnitten; beim Angriff timer-drift lag die instruktionsbasierte Erkennung bei 0,00 Prozent, während HPC-Modelle ihn nahezu perfekt erkannten.

Die Autorinnen und Autoren schlagen deshalb einen instruktionsbasierten Decision Tree für eine leichte erste Überwachung, einen HPC-basierten Random Forest zur Zuordnung der Angriffsart oder eine Kombination beider Ansätze vor. Die Studie schätzt, dass die Inferenz eines Decision Tree ungefähr tausendmal schneller sein kann als die eines mittelgroßen mehrschichtigen Perzeptrons und der Speicherbedarf unter 100 KB statt bei mehreren MB liegen kann. Das sind Schätzungen der Arbeit, keine Messungen eines laufenden Monitors auf einem physischen Prozessor.

Die Experimente fanden vollständig in gem5 statt. Eine Validierung auf realer RISC-V-Hardware und die Integration in einen laufenden Monitor führen die Forschenden als künftige Arbeit auf; ihre Untersuchung umfasst 16 schädliche Programme.