该论文研究基于机器学习（ML）的恶意软件检测器在训练数据构建环节面临的一个系统性风险：业界普遍直接采用杀毒引擎（AV）及其聚合服务（如 VirusTotal）给出的判定作为监督标签，隐含假设是 AV 标签可靠且与下游模型所感知的特征空间保持一致。作者指出这一假设在现实中并不成立——对样本进行极少量字节级修改即可显著改变 AV 的判定结果，而下游 ML 检测器所提取的特征表示却几乎不受影响，由此在数据集中产生“标签—特征不一致”样本，既污染训练集，也打开了投毒攻击面。 为此作者提出黑盒投毒框架 Bi-Iocane。该框架无需访问目标检测器内部，先定位对 AV 判定敏感的字节位置，再对这些字节进行改写以诱发标签翻转，从而构造两类中毒样本：一是“逃逸导向投毒”，把恶意样本改写为获得良性标签；二是“诽谤导向投毒”，把与恶意软件关联的字节模式注入正常软件，使其获得恶意标签。这些投毒样本连同其轻微变体被用于下游训练后，会污染训练数据并导致指定目标被错误分类。 实验使用 13 个 AV 引擎模拟标签聚合服务，并搭配 8 个 ML 检测器进行评估。在 30 个恶意目标和 30 个良性目标上，Bi-Iocane 组合针对不同 AV 的具体操作，生成了所有被测 AV 标签均被翻转的恶意→良性、良性→恶意样本；当这些样本及其变体进入训练流程后，所得模型平均误分类 92.08% 的原始干净目标，而每个目标的投毒预算仅约 0.06%。与此同时，被投毒模型在干净测试集上的整体性能基本保持不变，具有较强隐蔽性；六种被测投毒防御措施只能提供有限缓解。作者还通过 VirusTotal 的实测进一步确认了现实世界中的诽谤风险，并揭示 AV 到 ML 的标签供应链中存在的潜在逃逸风险。 对安全从业者而言，该工作把“数据供应链”而非“模型算法”确立为检测系统的关键薄弱环节，说明仅依赖 AV 聚合标签构建训练集可能被系统性污染，且此类污染不易被常规精度指标察觉。