该论文研究轻量级分组密码 SIMON 和 SIMECK 的差分分析可视化问题。SIMON 与 SIMECK 同属基于 Feistel 结构的轻量级密码算法，广泛应用于物联网设备，但这类密码对差分密码分析敏感，需要评估其抵抗能力。现有方法多用启发式与采样技术提高分析效率，但鲜有使用机器学习（ML）引导的图表示学习（GRL）来高效识别和可视化高概率差分簇。作者提出了一种特征工程策略，从部分差分分布表（pDDT）中提取四种差分属性，以揭示原始差分数据中隐藏的结构化信息。基于增强后的特征，他们为 SIMON32 和 SIMECK32 构建并比较了三种 ML 引导的有向图模型，分别采用 K 近邻（KNN）、决策树（DT）和随机森林（RF）。实验结果表明，该框架首次实现了差分聚类效应的图可视化——高概率单比特差分在学习的嵌入空间中形成几何上邻近的簇。三种模型在识别高概率差分时均达到 1.0 的精确率，即零误报；其中 KNN 在簇分离度、F1 分数和图构建时间上表现最佳，构建时间约为 2.3 秒，而 DT 和 RF 则产生近似完美回归的最优路径。这些结果在两个轻量级密码上保持一致，证明该框架可推广到其他 AND-rotation 轻量级密码家族。

本文提出 MAGIC，一种基于掩码图表示学习的自监督高级持续性威胁（APT）检测方法。现有基于数据起源图分析的 APT 检测方法存在三个主要缺陷：一是依赖包含攻击的数据和先验知识，难以应对未知攻击；二是无法充分提取起源图中丰富的上下文信息；三是计算开销和内存消耗过大，实际部署困难。MAGIC 通过掩码图表示学习对正常系统实体和行为进行建模，在起源图上执行高效的深度特征提取和结构抽象，从而在不依赖攻击样本的情况下学习正常行为模式。检测阶段，MAGIC 利用异常检测方法识别偏离正常模式的系统行为，支持系统实体级和批量日志级两种粒度的 APT 检测。此外，MAGIC 专门设计了模型自适应机制以应对概念漂移，提高在动态环境中的鲁棒性，适用于多种检测场景。作者在三个广泛使用的数据集（包含真实攻击和模拟攻击）上进行了评估，结果显示 MAGIC 在所有场景下均取得了有竞争力的检测效果，并且在性能开销上显著优于现有的最先进 APT 检测方法。该研究的核心贡献包括：提出一种灵活的自监督 APT 检测框架，无需攻击样本；利用掩码图表示学习捕获深层语义；支持多粒度检测和概念漂移适应；在多个数据集上验证了有效性和高效性。适合安全研究人员、SOC 分析师以及对 APT 检测和溯源分析感兴趣的从业者阅读。