该论文对网络安全入侵检测领域广泛使用的基准数据集 CICIDS2017 进行了系统性的审查与重建。研究背景是：尽管机器学习技术在网络入侵检测中展现出不错的效果，但缺乏能够代表现代网络流量的高质量训练数据，一直是制约其在实际大规模网络环境中落地的主要障碍。CICIDS2017 是近年来为满足网络入侵检测代表性要求而构建的基准数据集之一，但作者认为其数据采集流程和标注质量存在严重问题。作者重新审视了该数据集的完整数据管道，包括流量生成、流构建、特征提取和标签标注等环节，并通过深入分析发现了一系列缺陷，这些缺陷严重影响了数据集的正确性、有效性和整体可用性。具体而言，作者识别出流量生成中的异常、流构建的逻辑错误、特征提取中的不一致以及标签标注的失误，并针对多数问题提出了改进的数据处理方法。通过该方法，超过 20% 的原始流量痕迹被重建或重新标注。最终，作者在修正后的数据集上重新运行机器学习基准测试，结果显示模型性能有显著提升。该研究通过具体案例揭示了数据采集问题可能对模型评估产生巨大影响，并为如何预期和避免此类问题提供了切实建议。适合网络入侵检测研究者、数据集构建者以及依赖基准数据进行安全机器学习模型评估的工程师阅读。

ADS-B（自动相关监视-广播）已成为空中交通监视的事实标准，所有飞机被要求主动广播包含身份、位置和运动信息的报文。然而，ADS-B缺少安全机制，使其容易遭受有能力的攻击者的网络攻击，从而危及航空安全。本文提出一种非侵入式的信任评估系统，用于检测基于ADS-B的空中交通监视中的攻击。系统利用地面传感器基础设施收集的真实世界飞行数据，以众包方式充分利用地理分布传感器的冗余性，设计验证测试和机器学习辅助的接收模式分类，使用户采集的数据能够与其他用户的数据相互验证。该系统的非侵入性体现在无需修改现有硬件或软件协议，仅利用已可用的数据。作者通过实验证明，在至少三个良性传感器观测的空域中，系统能够成功检测GPS欺骗、ADS-B欺骗乃至Sybil攻击，并能区分攻击类型、识别受影响传感器，还能动态调整以适应变化的空中交通条件。该方法为保护关键航空基础设施提供了一种可部署的、基于众包证据的防御思路。

该论文针对现代通信系统中入侵检测面临的两个关键挑战：未知攻击的检测能力不足以及极端数据不平衡导致的稀有威胁类别识别困难，同时现有黑盒机器学习模型缺乏可解释性，难以在实际安全运营中落地。作者提出了一种双模态框架，将已知类别的精确分类与开放集泛化能力统一在一个无需深度学习的轻量级机器学习框架中，兼顾校准能力与可解释性。核心方法包括：安全导向的特征提取以提升信噪比；结合ADASYN与手动提升的混合重采样技术以缓解类别不平衡；使用等渗校准（isotonic calibration）和自适应阈值（例如对XSS攻击设置τ=0.30）来恢复稀有攻击的召回率；最后利用SHAP进行可解释性分析，验证决策逻辑符合网络安全领域知识。实验基于CIC-IDS2017数据集，并与多种先前的ML模型及研究进行了对比。结果显示，在已知攻击上宏平均F1值达到0.8626；在1%假阳性率（FPR）下，对未知攻击类的真阳性率（TPR）最高可达90.17%（针对DoS slowloris攻击），对Web-XSS可达77.04%。SHAP分析确认模型的决策主要由安全相关特征驱动，而非模型伪影。该工作弥合了理论模型与可运营IDS之间的鸿沟，提供了一个可复现、校准良好、可解释且具备开放集能力的统一攻击检测与防御框架。论文适合网络安全研究员、SOC分析师以及负责IDS评估与部署的工程师阅读，尤其对关注机器学习可解释性和未知威胁检测的从业者有参考价值。

本文针对物联网（IoT）设备类型识别在概念漂移下的性能退化问题展开研究。在企业和ISP网络中，通过被动流量分析识别IoT设备类型已成为安全管理的重要手段。然而，随着设备行为随时间和环境变化，基于机器学习（ML）的分类器性能会逐渐下降，即出现概念漂移。为维持分类性能，需要定期使用新标记的部署流量对模型进行重训练。实际操作中面临两个关键决策：应该标记多少流量？应该选择哪些流量实例进行标记？作者指出，这两个决策应被独立对待，因为仅依赖漂移检测器选取的实例进行重训练，会系统性地忽视新兴行为空间中的部分数据，而均匀采样的部署流量则能更全面地反映行为变化。因此，漂移检测更适合用于确定需要标记的流量总量，而非指导具体样本选择。本文贡献包括：（1）开展了一项为期两年多、覆盖21种IoT类型、涉及380万条IPFIX流记录的纵向研究，系统刻画了行为演变在不同设备类别间的表现，并验证了用新标记流量重训练可以恢复分类性能；（2）提出一种基于一致性的漂移检测器，直接从原始流量特征中捕获类条件行为模型，并能提供特征级别的演变解释；（3）实验证明，结合均匀流量采样与根据行为演变调整标记率（即预算感知标记）的策略，比由检测器引导的样本选择更能有效维持分类器性能，同时有助于控制标记成本；该策略在性能上与置信度引导的适应方法相当，但额外提供了特征级别的可解释性。研究结果对实际部署IoT设备识别系统的运维具有直接指导意义。

该论文是一篇面向机器学习隐私推断风险的系统化知识（SoK）综述。研究背景是：机器学习模型在生产环境的部署可能使攻击者推断出与训练数据相关的敏感信息，已有大量文献分析了各类推断风险，如成员推断攻击、重建攻击等。受密码学中基于博弈（即概率实验）研究安全性质的成功方法启发，一些研究者也开始用博弈风格来描述机器学习中的隐私推断风险。然而，不同文献对攻击者能力和目标的表述存在微妙差异，导致这些结果难以相互关联和组合，阻碍了知识的系统化积累。为此，作者提出了一种统一的基于博弈的框架来整理现有的知识体系。该框架的核心贡献有三点：（1）为各类隐私推断风险的定义提供了统一的结构性描述，使得不同定义可以在一个共同语言下进行比较；（2）形式化地建立了已有定义之间已知的蕴含等价关系，严谨地刻画了它们之间的联系；（3）发现了此前未被揭示的新关系，这些关系在缺乏统一框架时很难被直观察觉。通过该框架，研究者可以将不同来源的推断风险定义映射到统一的博弈空间中，从而更清晰地评估模型面临的隐私泄漏态势，并为后续的防御研究提供理论基准。本文适合机器学习安全与隐私领域的研究人员、模型风险评估人员以及希望理解隐私推断攻击内在机理的密码学背景安全分析师阅读。由于仅基于摘要，本文档为摘要分析级别。

本文针对硬件侧信道攻击（如Spectre）在真实场景中的检测难题展开研究。尽管机器学习模型在受控环境下能通过硬件性能计数器（HPC）捕捉攻击足迹，但当面对系统背景噪声、多样化攻击变体以及对抗性流量节拍时，静态模型往往失效。为此，作者提出了“方差包络”（variance envelope）的概念，旨在系统刻画攻击签名在不同执行环境中的变化范围。研究覆盖Intel、ARM和AMD三大主流处理器架构，构建了包含三种攻击变体、四种节拍模式和四种背景噪声条件的大规模实验矩阵。实验结果表明，HPC签名极度脆弱，极易受执行环境影响而发生形变；同时，该研究还揭示了AMD Jaguar微架构上一个关键瓶颈：Prime+Probe攻击在该硬件上存在持续性的硬件级失败。最终，作者证明可靠的运行时检测需要架构感知的自适应监控方案，而非依赖静态模型。这一工作为硬件安全监控领域提供了系统性的跨架构实证分析，对设计鲁棒的侧信道检测系统具有重要参考价值。适合安全研究员、硬件架构师以及蓝队检测引擎开发者阅读。

本文针对基于机器学习的物联网设备识别模型在实际部署中性能下降的问题展开系统性评估。作者指出，现有方案大多假设物联网环境是静态的，未能考虑真实网络中设备工作模式多样、随时间演化以及网络流量时空变化等因素，导致模型在现实中准确率显著降低。为了量化这些影响，研究团队构建了包含多种代表性特征的精选数据集，设计了涵盖工作模式、时空变化、流量采样等关键维度的评估属性集，并对当前主流识别方案进行了跨场景测试。进一步地，文章利用机器学习可解释性技术（如特征重要性分析）定位性能退化的根本原因，揭示了哪些特征能够在长期变化中持续稳定地标识设备。实验证据表明，仅依赖静态特征或单一模式训练的模型容易失效，而某些稳健特征（如协议行为模式）更具持久辨识力。最后，作者为网络运营商提供了实践层面的改进建议，包括如何调整特征选择、更新策略与采样方式，以提升真实运营环境下的设备识别鲁棒性。该研究为物联网安全监控、资产管理及异常检测提供了重要的实证参考，适合网络安全管理者和设备识别系统设计者阅读。

本文（arXiv 论文）针对机器学习在医疗健康领域应用中的可信度（Trustworthiness）与公平性（Fairness）问题进行了系统性分析。在医疗场景下，模型必须同时满足精准性、可解释性、鲁棒性和无偏见等要求，但现有研究往往只关注单一指标。论文可能提出了一套多维度的评估框架，用于量化模型在不同人群亚组上的表现差异，并探讨了数据偏差、算法偏差和评估偏差等来源。此外，文章还讨论了可解释性与透明度对医生和患者信任建立的重要性。通过实证案例或理论论证，论文揭示了当前医疗 AI 在公平性保障上的不足，并提出了改进建议，例如采用公平性约束训练、后处理校准等。该研究对医疗 AI 系统开发者、监管者和临床决策者具有参考价值。由于仅提供论文标题，以上内容为基于题目的合理推断，具体细节请参阅原文。

本文研究恶意软件分类模型中概念漂移的检测与自适应重训练问题。概念漂移是指数据统计特性随时间发生变化，从而导致基于历史数据训练的机器学习模型性能下降。在恶意软件检测场景中，攻击者不断修改恶意代码以规避检测，因此模型极易受到概念漂移的影响。作者提出了一种基于一类支持向量机（OCSVM）的新型概念漂移检测方法，并与已有的基于小批量K均值（MK-Means）的方法以及统计检验方法最大均值差异（MMD）进行对比。实验部分系统比较了四种学习模型：多层感知机、随机森林、支持向量机和极端梯度提升（XGBoost）。对每种模型，作者设计了三种场景：静态场景（不进行任何重训练）、周期场景（无论是否发生漂移都定期重训练）和漂移感知场景（仅当检测到概念漂移时才重训练）。通过帕累托前沿分析，作者评估了漂移感知场景下模型精度与训练效率之间的权衡。实验结果表明，三种概念漂移检测技术都能达到与周期重训练相当的分类精度，但在需要重训练的模型数量上显著减少，从而大幅提升效率。其中，基于OCSVM的漂移感知重训练方法在整体上优于MK-Means和MMD方法。该研究为恶意软件分类模型的持续学习提供了可行的解决方案，有助于在保持高检测精度的同时降低计算开销。适合关注机器学习鲁棒性、恶意软件检测系统维护以及对抗性机器学习的研究人员和工程师阅读。

本文提出了一种名为 LabelTrust 的通用工具，用于为机器学习中的样本-标签映射（SL-Mappings）生成置信度分数。SL-Mappings 是机器学习模型训练与推理的核心，其正确性直接关系到模型的安全性与可靠性，尤其是在面临投毒攻击时。现有的数据集清洗方法和预测置信度评分方法通常各自独立，缺乏同时适用于训练样本和模型预测的统一工具，且存在依赖特定模型架构、需要大规模数据集、或无法提供有意义的置信度分数等局限性。LabelTrust 基于孪生网络（Siamese Network），通过少样本学习（few-shot learning）进行训练，仅需极少量干净样本，且与数据集和模型架构无关。该工具提出了两条流水线，分别用于数据集清洗和预测置信度评分，从而弥补了现有独立方法的不足。实验表明，LabelTrust 能够有效检测样本和预测中的投毒攻击，其一次性训练开销仅为 34.56 秒，且每个 SL-Mapping 的评估时间不超过 1 秒，具有较高的实用效率。该研究的核心贡献在于提供一个轻量级、通用且可解释的 SL-Mapping 置信度评分工具，为机器学习模型的可信预测与数据质量保障提供了新的解决思路。

该论文提出了一种全新的黑盒对抗攻击范式——可认证黑盒攻击（Certifiable Black-Box Attacks），旨在从理论上保证攻击成功率（Attack Success Probability, ASP），而不像传统黑盒攻击那样依赖对目标模型的反复查询或从一个替代模型迁移对抗样本。作者首先指出现有最先进的防御手段（如检测查询模式或给模型输入注入噪声等）能够有效缓解当前黑盒攻击，而他们提出的新攻击能够以可证明的高概率击穿这些防御。核心方法包括：建立随机化对抗样本（Randomized Adversarial Examples）的ASP理论分析框架，从数学上保证攻击的有效性；在此基础上设计多种随机化样本生成算法，通过控制扰动强度来保持隐蔽性；最终在CIFAR-10/100、ImageNet和LibriSpeech等多个数据集上进行实验，与16种主流黑盒攻击和多种SOTA防御（涵盖视觉和语音识别）进行比较。实验证实，基于该算法构造的对抗样本在无需查询目标模型的情况下，即可获得理论保证的高ASP，并且攻击效果相对传统经验攻击更为可靠。该研究首次将“可认证”机制引入攻击侧，揭示了当前防御体系可能存在结构性盲区，为评估机器学习模型在对抗环境下的真实鲁棒性提出了新挑战。

本文针对暗网流量识别中现有方法依赖封闭世界（closed-world）评估、假设训练与测试阶段所有服务类别已知，从而严重脱离真实部署场景的问题，提出了一种开放世界（open-world）暗网流量分类框架。作者采用留一服务（leave-one-service-out）的评估协议，并在随机森林（Random Forest）与XGBoost分类器中引入基于不确定性的拒绝机制，以识别未知暗网服务。实验表明，从封闭世界切换到开放世界设置后，模型性能显著下降：XGBoost在I2P环境下的Macro-F1从88.8%降至46.1%，随机森林则从87.4%降至45.7%，说明封闭世界评估会大幅高估模型在实际部署中的鲁棒性。尽管不确定性拒绝机制能轻微提升鲁棒性，但由于已知服务与未知服务之间存在强行为相似性，模型仍频繁产生错误分类。进一步的行为语义吸收（semantic absorption）分析显示，FreeNet视频流量以88.1%的分配率被误判为浏览行为，而I2P对等网络流量以83.4%的分配率被吸收至与FTP相关的行为中。研究结论表明，行为重叠是开放世界暗网流量可靠分类的主要挑战。该研究为构建面向真实场景的暗网威胁情报分析系统提供了新的评估范式与方法参考，适合网络安全研究人员、暗网监控系统开发者以及关注开放环境机器学习鲁棒性的从业者阅读。

本文针对传统 BB84 量子密钥分发（QKD）系统中固定 11% 量子误码率（QBER）阈值检测窃听方案的不足，提出了一种基于时间维度 QBER 的机器学习框架，用于多类型窃听攻击的检测与分类。传统方法仅依赖会话级平均 QBER，而隐蔽攻击可能始终低于阈值但仍危害信道安全。该框架从 QBER 时间序列中提取 63 个基于物理信息的时序特征，涵盖突发行为、时间不稳定性、基选择不对称性以及 QBER 损耗交互等维度。研究评估了随机森林、XGBoost 和带径向基核函数的支持向量机（SVM-RBF）在七种窃听攻击及正常信道场景下的性能，并引入噪声和损耗条件。在十次独立运行的平均结果中，XGBoost 达到 88.01%（标准差 0.47%）的准确率和 0.8803 的宏 F1 分数，SVM-RBF 表现相近，验证了所提特征的鲁棒性。作为二分类攻击检测器与常规阈值监控对比时，固定 11% QBER 阈值准确率仅 25.82%，漏报率高达 0.8477；而所提框架将漏报率降至 0.0198，显著提升了对逃逸阈值监控的隐蔽攻击的检出能力。基于 SHAP 的可解释性分析表明，物理信息时序特征和信道派生特征对识别窃听策略具有高度区分性。实验证明，基于时间 QBER 的机器学习为 BB84 QKD 系统提供了准确、可解释且实用的多攻击安全监控框架。

随着智能设备（如智能手机和平板电脑）的普及，移动应用生态蓬勃发展，但恶意软件也日益猖獗。尽管官方应用商店要求应用在上架前通过恶意软件筛查，许多恶意应用仍能通过隐藏复杂变种绕过检测，且其恶意行为往往仅在运行时触发，传统的静态分析难以识别，导致恶意软件可能在安装后才被察觉，进而对用户和设备造成不可逆的损害。针对这一问题，本文提出了一种名为 ShielDroid 的实时 Android 恶意软件检测框架，采用混合动态分析技术，通过分析应用运行时的行为来准确识别和分类复杂恶意软件。研究流程包括：首先对收集的数据集进行预处理和过滤，然后使用多种机器学习算法对应用进行分类，并对不同分类技术在检测准确率和执行时间方面进行了综合性能评估。实验结果表明，将随机森林（Random Forest）与多层感知机（Multilayer Perceptron）结合的混合模型取得了最佳综合性能，准确率达到 97.5%，执行时间为 22.945 秒。该框架能够提升移动设备安全防护能力，通过及时检测恶意应用降低网络攻击风险。本文的主要贡献在于提出了一个结合传统机器学习与深度学习的混合动态检测方案，并在实际数据集上验证了其有效性，为移动端恶意软件检测提供了新的思路。适合移动安全研究人员、SOC 分析师及移动应用安全工程师阅读。

本论文提出了一类新的针对机器学习模型的主动推断攻击，称为“Truth Serum”。这类攻击的核心思想是：如果攻击者能够向训练数据集中投毒（即注入精心设计的恶意样本），那么训练出的模型将会泄露其他参与方（受害者）训练数据中的敏感隐私信息。这种攻击将两种原本独立的研究方向——数据完整性攻击（投毒）和隐私攻击（推断）——联系在了一起。作者证明了这些攻击在成员推断、属性推断和数据提取等隐私攻击场景中都非常有效。具体而言，在针对性的攻击中，仅需投毒训练集的不到0.1%的样本，就能将推断攻击的性能提升1到2个数量级。此外，如果攻击者能够控制训练数据的很大一部分（例如50%），则可以发起无目标的攻击，使得对所有其他用户私有数据点的推理精度提升约8倍。实验结果还对多方计算（MPC）协议在机器学习中的隐私保证提出了质疑：如果参与方可以任意选择自己的训练数据份额，那么基于密码学的隐私保护可能变得毫无意义。这项研究揭示了训练数据投毒不仅影响模型完整性，还会破坏模型隐私性，为机器学习模型的隐私与安全研究提供了新的思路，也对使用公共数据池进行协作学习的安全实践提出了警告。

该论文针对传统基于签名的防病毒软件难以检测新型恶意软件的问题，提出了一种基于机器学习（ML）的恶意软件检测框架。研究选取了基准恶意软件数据集，对多种主流的分类算法——包括人工神经网络（ANN）、支持向量机（SVM）、XGBoost和Extra Trees分类器——进行了系统的评估与比较。实验结果显示，XGBoost表现最优，达到了98.62%的准确率，显著优于其他模型。为了验证方法的实际可应用性，作者还利用Flask框架开发了一个实时的客户端-服务器恶意软件检测系统，能够对可执行文件进行恶意或良性的高效分类。研究结论表明，先进的机器学习技术能够有效提升恶意软件检测能力，为构建智能、可扩展的网络安全解决方案提供了有力支持。本文适合对基于ML的恶意软件检测方法感兴趣的研究人员、安全工程师和SOC分析人员阅读，有助于了解不同算法的性能对比及实际部署方案。

本文提出了一种针对物联网（IoT）设备的本地化BGP劫持检测方法。传统上，BGP路由劫持被视为大规模系统问题，需要网络服务提供商采取行动，而边缘网络（如家庭网络）的路由信息被认为不具有可操作性。作者利用IoT设备功能有限以及单个家庭网络中间质性的特点，通过隐私保护的机器学习分析来自单个设备的路由分布的尖峰态分布，从而识别控制平面攻击。该方法包括一个本地代理，用于监控IoT设备和服务以检测BGP劫持，以及一个代理服务器，利用全局历史数据初始化本地代理。实验表明，这种方法能够使小型实体（如家庭用户或小型企业）利用大规模历史数据结合自身历史来检测针对性的BGP劫持攻击。核心贡献在于将BGP劫持检测下沉到边缘，使非专业用户也能有效防御。

该论文研究了美国最高法院推翻罗诉韦德案（Roe v. Wade）后，公众对患者隐私问题的反应。研究收集了2022年5月至12月期间的大量Twitter数据，采用计算分析与定性内容分析相结合的混合方法，分析了公众对医疗隐私，特别是电子病历访问、患者-医生信息交流的保密性以及未经患者同意共享病历等问题的担忧。研究发现，用户广泛表达了对生殖健康相关隐私的关切，这些发现可能对政策制定和医疗行业实践（涉及生殖权利和女性健康中的医疗隐私）产生启示。论文作为学术研究，通过社交媒体数据挖掘了公众情绪，为理解技术环境下隐私态度提供了实证基础。

建筑自动化系统（BAS）通过BACnet/IP等协议管理关键建筑功能，但防御者缺乏检测BACnet特定攻击的工具和标注数据集。本文针对此空白做出三项贡献：首先，修改了CISA的Zeek BACnet解析器，生成统一的逐包日志，简化了机器学习管道的特征工程；其次，利用bacpypes3开发了模拟BACnet/IP测试平台，模拟了一个小型商业HVAC系统，包含基于物理的设备行为、计划感知控制器逻辑和逐包攻击标注；第三，使用基线流量和六种BACnet攻击类型（包括拒绝服务、侦察、属性篡改和虚假数据注入）评估了五种无监督异常检测模型。结果表明，One-Class SVM取得了最强的整体性能，所有攻击的平均F1分数为0.864，对于高容量拒绝服务和侦察攻击的F1分数超过0.99。检测对于高容量攻击（如DoS和侦察）远强于隐秘技术（如篡改和虚假数据注入），后者得分约为77%。

该论文针对网络入侵检测系统（NIDS）面临的对抗性攻击威胁，提出了一种混合防御方法。NIDS是保护网络免受未知网络威胁的关键工具，但它容易受到对抗性攻击，攻击者通过构造对抗样本欺骗NIDS，将恶意流量误分类为良性。研究聚焦于两种强大的白盒对抗攻击：快速梯度符号法（FGSM）和Carlini & Wagner（C&W）攻击。作者开发了一种鲁棒的混合防御机制，结合了两种启发式防御方法：对抗训练（AT）和高斯数据增强（GDA）。GDA提供多方向防御，而AT增强NIDS对特定对抗向量的鲁棒性。在预攻击场景下，NIDS表现出良好的准确率和F1分数。但在攻击后，NIDS在FGSM和C&W攻击下的准确率分别显著下降至0.2649和0.4961。所提出的混合防御方法有效缓解了这些对抗威胁，对于FGSM和C&W攻击，防御后准确率分别达到96.57%和89.20%。研究在ε和置信噪声因子值范围（0.0001至0.0009）内评估了防御策略。该研究为安全视角下对抗机器学习这一新兴领域的研究人员提供了方向。适合NIDS安全、对抗机器学习研究人员阅读。

本文提出了一种利用公开漏洞数据进行预测性软件威胁建模的方法。传统威胁建模主要依赖专家经验，耗时且难以覆盖未知威胁。作者通过收集、分析历史CVE（公共漏洞与暴露）数据、漏洞评分（如CVSS）及漏洞类型等信息，构建了一个预测模型，能够在新软件设计阶段或开发初期主动识别潜在威胁模式。该方法的核心是数据驱动的特征工程与机器学习分类器（如随机森林、支持向量机等），模型在多个开源项目上经过训练和验证，能够以较高准确率预测哪些软件模块或功能更容易引入特定类型的漏洞。实验结果显示，该方法在提高威胁建模自动化程度和早期预警能力方面具有显著潜力，有助于安全团队在开发流程中前置风险缓解措施。该研究为软件安全领域的主动防御提供了新思路，尤其适合DevSecOps场景下的持续威胁评估。

该论文提出了一种新的群体公平性度量方法——Privacy-Cost Equity Ratio (PCER)，用于评估差分隐私（DP）机器学习系统中的群体公平性。传统的公平性度量主要关注模型输出（如准确率）在不同群体间的差异，但忽略了隐私成本（即信息泄露风险）的分配不公。作者认为，隐私成本本身是一种伤害，那些非自愿承担更高隐私暴露的群体应该从系统中获得比例更高的收益。基于这一补偿性公平框架，PCER被定义为群体正预测率与群体过拟合差距的比值。过拟合差距上限由标准成员推理攻击的边界推导得出，因此PCER是一个保守的收益-暴露比度量。PCER仅需要每个群体的训练和测试准确率（无需影子模型），因此是一种实用的审计工具。作者在多个基准数据集（包括表格数据和NLP领域）上，在不同隐私预算下使用DP-SGD进行评估，并与标准公平性度量进行比较。结果表明PCER能发现基于纯输出度量无法察觉的不公平模式，例如在COMPAS数据集上，受保护群体同时承受了更大的隐私暴露和更差的预测结果，而人口统计平等差距完全掩盖了这一双重劣势。敏感性分析显示，当隐私保护非常强时，所有群体的过拟合差距都趋近于零，此时基于暴露的审计失效。总之，该研究强调了对隐私保护系统进行公平性审计时，不仅需考虑谁从结果中受益，还需考虑谁承担了保护的成本。适合机器学习公平性研究者、差分隐私从业者、系统审计员阅读。

该论文研究如何利用基于熵的特征来增强基于机器学习的网络异常检测。传统的统计特征（如均值、方差）在捕捉网络流量模式的高变异性和多样性方面存在不足，而熵可以量化数据分布的分散程度，从而有效表征流量的可变性。作者提出将熵特征作为传统描述符的补充，而非替代。在标准的机器学习流程中，他们比较了添加熵特征前后的模型性能。在公开的入侵检测数据集（如CICIDS2017）上进行的实验显示，添加熵特征后，分类性能（如F1分数）一致提升，而计算开销增加很小。混淆矩阵分析表明，误分类减少，特别是在流量变化较大的场景。该方法的优点是简单、轻量级、可解释性强，适合在需要快速特征工程和可解释性的防御场景中应用。论文的主要贡献是验证了熵特征在实际网络异常检测中的有效性，为现有检测管道提供了一种实用的增强手段。目标读者包括网络安全研究人员、SOC分析师以及从事网络流量分类和入侵检测的工程师。

该论文研究了在工业专用5G网络环境下，基于机器学习的入侵检测系统（IDS）处理加密OPC UA流量时，良性连接变化对检测性能的影响。作者指出，尽管机器学习IDS在加密工业通信监控中日益普及，但其在真实专用5G操作条件下的表现尚未被充分理解。通过实验，他们发现合法的连接事件（如设备连接/断开、网络切换等）会在无攻击存在时显著增加误报活动。此外，IDS异常评分的高峰往往与控制面（CP）活动周期相重合。研究强调了在工业专用5G环境中解释IDS输出时考虑控制面上下文的重要性。实验基于实际5G测试平台，收集了正常流量和包含连接事件的流量，并使用多种机器学习模型进行评估。主要贡献在于揭示了良性网络事件对IDS的干扰，并提出了未来改进方向，即结合控制面元数据以降低误报。该论文适合工业网络安全研究人员、5G安全工程师以及IDS开发者阅读。

在云计算环境中，公共云服务提供商（CSP）通常将云存储作为主要服务，同时利用客户存储在云上的数据提供额外的机器学习（ML）服务。这种商业模式扩展了云计算的边界，但也带来了严重的安全隐患：公共云并非完全可信，可能将客户的敏感数据出售给第三方。为应对这一威胁，直观的解决方案是要求客户在上传数据前对数据集进行加密。然而，一旦数据库被加密，其中仅包含伪随机数，传统的ML技术将无法直接对加密数据执行查询或训练。本文提出MLQENABLER方案，旨在解决加密数据库上的安全ML查询问题。该方案采用索引辅助方法（index-aid approach），通过预先构建索引结构，在保证数据机密性的前提下，支持常见的ML查询操作（如分类、回归等）。具体地，MLQENABLER不直接对密文进行ML算法，而是利用加密索引与明文ML模型之间的映射关系，在解密索引后进行查询，从而避免对整个数据库解密。初步实验表明，该方法能够在达到可接受安全级别的同时，仅引入轻微的ML性能下降（如准确率损失较小）。尽管该方案尚处于早期阶段，但它为在不可信云环境中实现隐私保护的ML查询提供了新的思路。

该论文针对差分隐私（DP）合成表格数据中的公平性问题进行了首次系统性基准评估。研究背景是机器学习模型在高风险领域（如金融、医疗）的部署日益普遍，隐私和公平性成为关键关注点。差分隐私已成为隐私保护数据分析的金标准，而公平性机制旨在减轻对弱势群体的歧视。然而，这两项目标可能相互冲突：DP通常放大不同人口统计学群体间的差异，而现有公平性干预措施在DP约束下的有效性尚不清楚。论文的核心方法是以自适应迭代机制（AIM）作为最先进的基于边缘的DP合成器，在四个数据集上、多种群体公平性指标、三类缓解策略（预处理、处理中、后处理）以及广泛的隐私预算下评估公平性干预。比较了四种管线配置：（1）基线（原始数据训练）；（2）仅DP（DP合成数据训练）；（3）仅公平（在原始数据上应用公平性机制）；（4）DP+公平（结合公平性机制与DP合成数据）。主要实验结果表明：仅DP会损害效用和公平性，但应用公平性干预可以部分恢复公平结果。其中，后处理方法在不同隐私预算和合成器下提供更稳定的公平-效用权衡，在保持竞争力的效用同时实现强公平改进。论文贡献包括首次全面评估、开源代码和数据以支持可复现性，并为隐私-公平-效用权衡的未来研究提供基础。适合关注差分隐私、公平性机器学习以及数据合成的研究人员和从业者阅读。

心电图（ECG）信号包含生物特征信息，共享原始ECG信号可能导致患者重识别和隐私泄露。现有的ECG匿名化方法在隐私保护与效用保留之间存在权衡：增强隐私往往会降低下游任务（如心律失常检测）的性能，而保留效用则容易泄露个人信息。针对这一问题，本文提出了一种基于重建感知的ECG匿名化方法REAN（REconstruction-aware ECG ANonymizer），旨在原始信号层面实现隐私-效用的最优平衡。REAN的核心思想是使用一维U-Net架构对原始ECG信号进行重建，训练过程中利用冻结的隐私分类器和效用分类器的损失函数来指导匿名化：一方面最小化隐私泄漏（即使得隐私分类器无法正确识别患者身份），另一方面保留与任务相关的生理信息（如心律失常特征）。关键的创新在于作者发现隐私和效用的梯度方向接近正交（约93.8°），因此减少隐私泄漏几乎不影响效用。在四个公开PhysioNet数据库上的实验表明，REAN在原始ECG信号匿名化基线中达到了最强的隐私-效用平衡：重识别准确率从0.96降至随机水平0.00，心律失常检测宏AUROC保持在接近无干扰水平（原始0.9982 vs REAN 0.9991），并且对未见过的隐私分类器架构仍保持强大的重识别防护能力。该方法为医疗数据共享中的隐私保护提供了新的思路。

本文提出了一种新的差分隐私变体——Ball-DP（球差分隐私），旨在解决传统差分隐私（DP）在防御数据重建攻击时噪声过大的问题。传统DP通过添加噪声来确保任意单条记录替换后的输出不可区分，但这一保证对重建攻击而言过于保守，因为实际攻击者通常只关心与原始记录相似的替代记录（即嵌入空间中距离较近的点）。Ball-DP将不可区分性限制在嵌入空间中半径为r的球内，从而在保持对局部重建攻击防御能力的同时显著降低噪声量，提升模型效用。论文为正则化凸学习问题提供了Ball-DP的噪声校准公式，并推导了相应的重建鲁棒性证书Ball-ReRo，该证书能够上界攻击者的重建成功率。此外，作者推导了最优有限先验MAP重建攻击，并在7个基准学习任务上实证审计了Ball-ReRo证书。实验表明，在高隐私预算（小epsilon）下，Ball-DP在噪声减少和重建鲁棒性之间取得了更好的平衡，显著优于传统DP。本文的核心贡献在于：1) 提出Ball-DP概念，使隐私保证范围显式化；2) 给出理论噪声校准与鲁棒性证书；3) 通过实验验证了其效用提升。该研究适合对差分隐私、数据重建防御感兴趣的安全研究人员阅读。

国际收入分成欺诈（IRSF）是一种电信网络欺诈，攻击者通过拨打高费率国际号码（通常是运营商分成较高的号码）来牟利，导致电信运营商和最终用户遭受巨大经济损失。本文系统梳理了IRSF的典型模式，包括账户盗用、SIM卡农场、PBX入侵等，并分析了现有检测方法的局限性。作者提出了一种基于呼叫详细记录（CDR）的检测框架，利用机器学习和统计特征（如呼叫频次、时长分布、目标号码地域集中度等）来识别异常呼叫模式。在多个真实数据集上的实验表明，该框架能有效检测已知和新型IRSF攻击，误报率低且可扩展性强。本文还讨论了部署中的隐私与合规挑战，并提出了与运营商现有系统的集成建议。该研究为电信安全从业者提供了实践指导，并为后续自动反欺诈系统开发奠定了基础。

该论文研究网络安全分类器在面对对抗性攻击时的鲁棒性及其可解释性稳定性问题。以往工作主要关注基于梯度的攻击方法，但许多实际分类器（如随机森林、XGBoost）是不可微的树模型。作者将先前的MLP研究扩展到随机森林和XGBoost，并在四个表格安全数据集（钓鱼URL、UNSW-NB15、NF-ToN-IoT、HIKARI-2021）上评估了五种攻击，包括三种适用于不可微树模型的黑盒方法。论文引入了解释稳定性指数（ESI），这是一个基于TreeSHAP归因漂移的标量指标，与鲁棒性指数（RI）在同一[0,1]尺度上报告。关键发现是：基于梯度的黑盒攻击（ZOO）对XGBoost产生退化结果（表观RI约0.98），这是由于分段常数预测表面导致的；而基于得分的Square Attack揭示了真正的脆弱性（RI约0.36）。这些退化扰动仍然会导致显著的归因漂移：XGBoost的ESI在0.06-0.16之间，尽管ZOO鲁棒性接近完美，而随机森林的ESI在0.14-0.29之间，表明预测鲁棒性和解释稳定性是两个不同的轴，需要联合测量。作者提出了一个两轴框架（梯度依赖性和查询效率）来解释观察到的攻击排名，并为树集成评估提供了实用指导。此外，步骤大小消融实验解释了在z-score归一化表格数据上PGD的异常现象。该研究对于安全分析师理解模型解释的可靠性以及防御对抗攻击具有重要意义。

该论文提出了一种名为“hamm-grams”的新型特征，用于恶意软件检测中的静态分析。传统的n-gram特征虽然被广泛使用，但存在鲁棒性不足的问题，容易因代码微小变化而失效。作者将hamm-grams定义为具有固定长度和单字符通配符的特殊正则表达式，能够在保持匹配灵活性的同时保留模式结构。核心贡献是设计了一种高效的挖掘算法，利用新的局部敏感哈希（LSH）函数，使得汉明距离较小的字节序列容易发生哈希碰撞，并在哈希桶内通过聚类确定通配符位置。该算法能够从大量可执行文件中快速找到常见的hamm-grams。实验部分在恶意软件分类和检测任务上验证了hamm-grams的优势，与传统n-gram相比，特征更具鲁棒性，分类性能得到提升。本文适合对恶意软件静态特征工程、机器学习鲁棒性感兴趣的读者。

本文提出 Chameleon 框架，用于自动恢复遭受内存破坏攻击的网络物理系统（CPS）。现有防御手段多在检测到攻击后终止或重启系统，这在高安全性关键任务中不可接受。Chameleon 在组件粒度上训练基于机器学习的替代模型，这些模型能近似原始组件的功能但不存在相同的内存破坏漏洞。一旦攻击被检测到，Chameleon 用训练的替代模型替换受损组件。作者基于 LLVM 编译器实现原型，并在 7 个不同机器人车辆（包括模拟和真实环境）上评估。结果表明，替代模型与原始组件行为高度接近（平均 R²=0.96），能成功恢复系统并完成任务，且性能与内存开销低。该工作为 CPS 运行时恢复提供了新思路，尤其适用于无法容忍停机的场景。

该论文系统性地研究了加密货币赠品诈骗（Cryptocurrency Giveaway Scams），这是一种利用社交媒体平台（如Twitter/X）冒充知名人士或项目方，声称发放免费加密货币以诱骗用户转入小额验证费用的欺诈行为。作者首先通过手动标记和自动收集，建立了覆盖数千条推文的数据集，并分析了诈骗活动的技术特征，包括域名注册、资金流转、社交媒体账号行为等。核心方法包括：1）利用诈骗推文中高频出现的特定模式（如@提及名人、使用特定标签、包含诈骗地址的截图等）设计检测特征；2）基于这些特征训练机器学习分类器（如随机森林），实现高精度检测；3）对检测到的诈骗活动进行纵向分析，揭示其作案周期、钱包地址的重复使用模式以及资金最终沉淀的交易所。主要贡献：1）首次大规模刻画了加密货币赠品诈骗的完整攻击链和基础设施；2）提出了一个可实际部署的检测系统，在真实数据集上达到超过99%的精确率和召回率；3）揭示了诈骗团伙使用的多种规避策略（如快速更换域名、使用付费验证的Twitter账号）。适合网络安全从业者、加密货币平台风险控制团队以及社交媒体审核人员阅读。

该论文提出了一种学习差分隐私机制的框架，旨在自动化设计满足差分隐私保护的数据发布机制。传统上，差分隐私机制（如拉普拉斯机制、指数机制）需要人工设计，且针对特定查询或统计量。本文作者将机制设计问题转化为学习问题：给定一组查询和工作负载，通过优化一个可微分的损失函数来自动学习一个随机化机制，该机制能够同时实现高精度和严格的隐私预算。方法基于神经网络表示机制，并利用重参数化技巧和梯度下降进行端到端训练。实验表明，学习到的机制在多个标准工作负载上优于已有的手工机制，如拉普拉斯机制和阶梯机制，在相同隐私预算下提供更低的误差。该工作为差分隐私机制设计提供了自动化的新途径，适合对隐私保护数据处理和机器学习感兴趣的研究者阅读。

该论文针对物联网（IoT）网络安全问题，研究基于机器学习的入侵检测系统（IDS）在真实物联网网络中的性能。物联网设备资源受限，传统安全措施难以部署，因此轻量级入侵检测尤为重要。作者使用 Gotham2025 数据集（由 Gotham 试验台生成，模拟 78 种物联网设备，支持 MQTT、CoAP、RTSP 等协议），对五种机器学习算法进行了比较分析：随机森林（Random Forest）、XGBoost、逻辑回归（Logistic Regression）、朴素贝叶斯（Naive Bayes）和深度神经网络（Deep Neural Network）。实验表明，随机森林分类器表现最佳，在攻击分类任务中取得了 99% 的 F1 分数。研究还评估了各算法的计算开销（训练时间、预测延迟等），以验证其在资源受限的 IoT 环境中的适用性。主要贡献在于：1）使用更现实、协议多样化的 IoT 数据集进行基准测试；2）提供全面对比，帮助从业者选择适合的模型；3）验证随机森林在 IoT 入侵检测中的高效性。适合 IoT 安全研究人员、网络安全工程师及机器学习实践者阅读。

该论文是一篇关于高级同态加密（HE）打包方法的教程，重点探讨如何将这些方法应用于机器学习领域。同态加密允许在加密数据上直接进行计算，但因其密文膨胀和计算复杂度高，实际应用受限。密文打包（packing）技术通过将多个明文值编码到单个密文中，利用SIMD（单指令多数据）操作并行处理，可显著提升HE方案的效率。本文系统梳理了多种先进的打包方法，包括基于中国剩余定理的打包、循环卷积打包、以及针对神经网络线性层和卷积层优化的专用打包策略。文章还讨论了这些方法在隐私保护机器学习推理和训练中的集成方式，例如如何通过打包减少模型与数据之间的通信开销。作为教程，本文旨在帮助研究人员和从业者理解并选用合适的打包方案来加速HE下的ML任务。实验部分（若有）通常会对不同打包方法在计算时间、密文大小和噪声管理方面进行对比，但摘要未提供具体数值。

本文提出了一种针对企业共享存储环境中加密勒索软件（crypto-ransomware）的混合检测框架。传统的端点检测主要关注本地系统行为，但勒索软件变种已将攻击面扩展至网络驱动器和共享存储资源，受感染的客户端可加密共享数据而不直接在服务器端触发行为变化。该框架结合了基于Region of Interest（RoI）的新技术，用于分析网络流量并提取入侵指标（IoC），这些IoC可作为规则集增强现有安全工具（如EDR、IDS）。同时，基于RoI的特征用于训练机器学习模型，以检测高度规避性的变种。研究涵盖了多种勒索软件家族，并通过领域专家知识精心选择了良性行为样本，确保覆盖可能干扰检测的常见用户操作。实验结果表明，机器学习模块实现了99.64%的检测精度，0%假阴性率（FNR）和极低的假阳性率（FPR）。此外，该方法能够在重大损害发生前早期检测勒索软件入侵，准确率达99.44%。该框架适用于企业安全团队，特别是需要保护共享存储环境免受勒索软件攻击的场景。

该论文首次对机器学习模型的所有权证明问题进行了正式研究。随着机器学习的广泛采用，保护模型所有权成为关键挑战。作者将模型所有权证明建模为三方博弈：模型所有者、窃取者和裁判。模型所有者将原始模型轻微扰动后生成一个变换模型，并附带一个所有权证明。窃取者获取变换模型后试图最小程度修改它，使其保持有用但逃避被识别为属于原所有者。裁判接收模型和所有权证明，必须判断该模型是否是原所有者创建的模型的修改版，还是独立开发的。研究的主要结果是：在黑盒设置下，对于分类器存在一个二分性——在标准密码学假设下，某些概念类的模型所有权可以按上述意义被证明，当且仅当该概念类在某种意义上（接近Blum, Luby和Rubinfeld在STOC'90中定义的概念）不可自纠正。该结果是建设性的，并推广到多个相关场景。论文提供了严格的形式化定义、安全模型和证明，为模型版权保护奠定了理论基础。

本文是一篇系统化知识梳理（SoK）论文，聚焦于针对机器学习模型的数据重建攻击。数据重建攻击旨在通过有限访问权限恢复目标模型的训练数据集，近年来受到广泛关注。然而，该领域缺乏统一的攻击定义和评价指标，阻碍了研究进展。作者针对视觉领域提出了统一的攻击分类法和正式定义，并设计了一套定量评估指标，涵盖可量化性、一致性、精确性和多样性等关键标准。此外，他们创新性地利用大语言模型（LLM）替代人工判断，实现对重建质量的视觉评估，尤其强调高质量重建。基于提出的分类法和指标，作者构建了一个统一框架，系统评估现有攻击的优缺点，并为未来研究建立基准。实验从记忆化角度验证了指标的有效性，并为设计新攻击提供了洞见。本文的主要贡献包括：（1）首次提出数据重建攻击的统一形式化定义和分类；（2）引入基于LLM的视觉评估方法；（3）建立可复用的评估基准。适合隐私保护研究者、机器学习安全工程师以及关注模型泄露风险的数据科学家阅读。

本文关注机器学习驱动的安卓恶意软件检测器在问题空间（problem space）中的对抗性攻击。现有攻击方法存在诸多不足：大多数技术通过软件移植注入完整良性模块，引入大量副作用特征，且常导致构建失败；细粒度方法仅注入少量组件，效果有限；使用混淆的方法依赖脆弱的字节码重写，生成的APK虽然在语法上有效，但语义上不可用。此外，先前研究仅通过安装和基本执行的冒烟测试评估攻击成功率，忽略了修改后的APK是否仍保持原始功能。为解决这些问题，作者提出DROIDBREAKER框架，它是一个实用且功能完整的问题空间攻击框架，提供以下能力：(i) 仅操纵对目标模型最具影响力的APK组件，实现查询高效的白盒和黑盒攻击；(ii) 一组细粒度、构建安全（build-safe）的操作（包括注入和混淆API调用、应用模块、权限和URL），副作用最小；(iii) 语义保持的功能测试，通过比较原始APK与修改后APK的执行日志和API级轨迹来强制执行运行时等价性。在最新版安卓应用数据集上的实验表明，DROIDBREAKER在白盒和黑盒设置下均能以少量查询实现高逃避率，并显著降低VirusTotal上商业恶意软件扫描器的检测率。该工作揭示了当前安卓恶意软件检测器在面对刻意构造的对抗性样本时的脆弱性。

本论文研究MAC地址随机化在IEEE 802.11网络发现阶段作为被动追踪防范措施的有效性。尽管MAC地址随机化已被广泛采用，但作者通过机器学习指纹识别技术证明了设备仍可被识别，暴露了现有隐私协议的漏洞。研究评估了被动攻击者在不同窃听场景下的追踪能力，从探测帧中提取未加密的硬件规格信息，并结合帧间到达时间（IFAT）和模拟接收信号强度指示（SRSSI）信号。核心贡献是对高吞吐量（HT）能力信息字段进行位分解，从而提升设备识别准确率。实验使用三种无监督聚类算法（K-Means、DBSCAN和OPTICS），在包含6个制造商22个设备的数据集上评估。结果显示，DBSCAN算法结合分解的HT能力信息和三个SRSSI测量值，全局准确率最高达到89.6%。这表明现有MAC地址随机化方案不足以防止设备追踪，亟需在Wi-Fi标准化中增强隐私保护措施。适合网络协议安全、隐私保护领域的研究人员和工程师阅读。

本文提出了一种新的机器学习模型认证度量——方向锐度（Directional Sharpness），旨在高效且可靠地指示模型的泛化能力。在模型认证中，泛化能力是关键质量指标，但直接认证泛化不可行，因为它依赖于未知数据且不可直接测量。传统代理指标如测试准确率在训练过程受扰动时可能产生误导，而现有度量如锐度（Sharpness）虽有实证支持与泛化相关，但计算成本高，且在训练偏离规定流程时可能不可靠。方向锐度通过关注特定方向上的损失变化，能够在训练偏差存在的情况下更有效地评估泛化能力。实验和分析表明，方向锐度与泛化能力的相关性优于现有度量，且能更可靠地识别泛化能力差的模型。此外，方向锐度在模型审计场景中可高效计算，验证者可以访问训练数据，并通过零知识证明（Zero-Knowledge Proofs）在不暴露训练数据的前提下认证模型质量。本文适合对机器学习模型可靠性、安全认证、以及隐私保护验证感兴趣的从业人员阅读。

这篇论文提出了Whisper，一种基于机器学习的实时恶意流量检测系统，通过频域分析实现高精度和高吞吐量。传统基于规则的检测难以应对零日攻击，而现有ML方法因特征提取效率低导致低精度和低吞吐量，且易被绕过。Whisper利用频域特征（如FFT）表示流量的序列信息，通过有界信息损失保持高检测精度，同时约束特征规模以提高吞吐量。由于频域特征难以被攻击者干扰，系统对逃避攻击具有鲁棒性。实验涉及42种攻击类型，与最先进系统相比，Whisper的AUC提升最多18.36%，吞吐量提升两个数量级，在多种逃避攻击下仍保持约90%的检测准确率。该研究主要面向网络安全领域的研究人员和工程师，特别是关注实时恶意流量检测和高性能ML方法的人群。

本文提出 LAMD（Context-Driven Android Malware Detection and Classification with LLMs），一个利用大语言模型（LLM）进行上下文驱动的安卓恶意软件检测与分类框架。针对现有检测方法难以应对演化攻击、数据集偏差和可解释性不足的问题，以及直接应用 LLM 时面临的上下文窗口限制（安卓应用包含大量支持代码，上下文超长）和结构复杂性（顺序推理难以处理代码间依赖）两大挑战，LAMD 设计了两阶段处理：首先，通过关键上下文提取（Key Context Extraction）隔离安全关键代码区域并构建程序结构；然后，采用层级代码推理（Tier-wise Code Reasoning）从低级指令到高级语义渐进分析应用行为，最终给出预测和解释。此外，框架在第一层级配备了事实验证一致性机制，以缓解 LLM 的幻觉问题。实验表明，LAMD 在真实场景中的性能优于传统检测器，为动态威胁环境下的 LLM 驱动恶意软件分析提供了可行基础。

本文提出一种针对钓鱼攻击（多模态威胁）的混合多层级检测管道。该管道为每种模态独立构建引擎，最后进行融合决策。具体包括三个引擎：1）四阶段URL检测栈：包含域名守卫、词法模型、威胁情报以及一个非对称L2融合侧车；2）鲁棒性增强的DistilBERT NLP分类器，其在真实钓鱼邮件召回率上从0.8%提升至87.3%；3）具备端到端OpenTelemetry可观测性的威胁情报同步器，确保消息1:1守恒。决策级融合阶段在10,677封邮件的全系统基准测试上，通过校准的URL、邮件头和钓鱼概率三个通道的OR融合，达到F1=0.914，同时将真实垃圾邮件的误报率降至3.6%。由于该基准采用了代理URL和邮件头通道，且操作点仍需重新校准，因此结果被视为初步集成结果。作者指出，实际部署的约束在于泛化能力而非同分布精度。

FlowLens 是一篇针对机器学习驱动的网络安全应用的高效流分类方法的研究论文。核心问题在于现有基于机器学习的网络流量分类方法通常需要完整流信息或大量特征计算，导致处理延迟高、资源消耗大，难以应用于高速网络环境。FlowLens 提出了一种新型的流分类架构，通过在早期阶段利用少量数据包进行快速分类，同时保持较高的准确率。具体方法包括设计轻量级特征提取器、采用增量式学习策略以及自适应采样机制，以平衡分类精度与计算效率。实验在多个公开数据集上进行了评估，结果表明 FlowLens 在降低延迟和资源占用方面显著优于传统方法，且分类准确率损失极小。主要贡献包括：（1）提出面向实时网络安全的流分类框架；（2）设计高效的早期分类算法；（3）提供开源实现以供复现。本文适合网络安全研究者、网络运维人员以及机器学习系统设计者阅读。

在工业物联网（IIoT）环境中，信任管理对于保障系统安全至关重要，尤其是面对资源受限的设备。传统信任模型往往忽略网络质量波动的影响，导致信任收敛缓慢且评估不准确。本文提出一种动态信任管理方案——信任收敛加速（TCA）方法，该方法集成机器学习（ML）以加速在恶劣网络条件下的信任收敛。TCA模型基于关键网络指标预测信任收敛所需的时间单位数，并动态调整信任模型中的转移概率以提升收敛速度。通过基于IEEE 802.11标准的真实Wi-Fi信道条件仿真框架，实验证明TCA方法在挑战性条件下可将信任收敛时间最多减少28.6%。此外，该方案在存在恶意节点的场景中表现出弹性，提高了信任评估的准确性。本工作为动态工业环境中的IIoT系统提供了可扩展、自适应的信任框架，确保在不同网络条件下具有稳健的性能。

本文研究了在高斯过程（GP）后验采样中释放样本路径的隐私保护问题，其中整个训练集（包括协变量和响应）被视为私密信息。与传统差分隐私（DP）机制通过添加外部噪声不同，后验采样本身具有随机性。作者证明这种内在随机性能够提供差分隐私保证，具体通过推导高斯过程后验样本路径释放的显式 Rényi-DP 界。这些界将后验均值泄露与数据相关的后验协方差泄露分离，表明有意义的隐私保护强烈依赖于有效的岭正则化。通过成员推理攻击实验，作者展示了经验泄露与正则化、后验方差以及释放的后验样本路径数量之间的预测依赖关系。下游后验采样任务上的效用实验识别出噪声观测场景，在该场景下隐私兼容的正则化以适度的效用损失保留了有用的决策。当需要更强隐私保护时，可通过添加校准的 GP 噪声来增强内在保证，从而提供显式的额外隐私调节旋钮。该研究为理解 GP 后验采样的隐私属性提供了理论基础。

本文针对拜占庭容错状态机复制（BFT-SMR）系统中的配置优化问题展开研究。BFT-SMR是区块链等分布式系统中用于对客户端交易进行全局排序的服务，传统通过冗余机制抵御拜占庭节点，但性能开销大。近期研究通过动态配置优化（如根据网络延迟动态分配领导者角色和调整投票权重）可提升共识性能，然而本文作者发现该过程中存在三个可被拜占庭节点利用的漏洞。为解决这些弱点，提出了Beware框架：首先过滤掉被伪造的延迟报告，然后计算鲁棒的权重分布，并应用机器学习技术收敛到拜占庭容错的配置。实验评估表明，与现有解决方案相比，Beware可将共识延迟降低高达45%。本文贡献在于揭示了现有动态配置优化方案的脆弱性，并提供了自动化、鲁棒的配置重构方法，适用于区块链和广域复制系统。

本文系统性评估了机器学习驱动的网络入侵检测系统（NIDS）在面对对抗性攻击时的鲁棒性。尽管已有研究揭示了ML模型在特定场景下的脆弱性，但缺乏跨架构、跨攻击类别和攻击类型的系统比较，导致安全从业人员在选择模型时缺乏明确指导。作者选取了三种主流分类器架构——1D卷积神经网络（CNN）、长短期记忆网络（LSTM）和随机森林（RF）集成，并在ACI-IoT-2023数据集（包含超过120万样本，涵盖12种攻击类型）上进行实验。对抗攻击采用FGSM和PGD方法，在归一化特征空间施加梯度扰动，扰动预算从ε=0.01到ε=0.1。结果显示：随机森立基线准确率高达99.98%，但受到攻击时性能急剧下降，即使在最小扰动ε=0.01下也下降了73个百分点；CNN则展现出优雅退化特性，在ε=0.01时仍保持95.5%的准确率；LSTM性能介于两者之间。这一发现颠覆了“高基线准确率意味着高鲁棒性”的传统认知。作者建议在对抗性环境中部署基于CNN的NIDS，并针对不同场景给出了具体部署建议。

本文研究了概念漂移（Concept Drift）对基于机器学习的钓鱼检测系统性能的影响，并提出了缓解策略。随着数字通信的快速发展，电子邮件成为主要渠道之一，但也带来了垃圾邮件和钓鱼攻击的持续威胁。传统的机器学习检测模型在静态数据集上表现良好，然而钓鱼攻击技术不断演化，导致数据分布随时间发生变化，即概念漂移，从而造成模型性能显著下降。作者评估了多种机器学习模型（如逻辑回归、随机森林、支持向量机等）在真实邮件数据集上随时间推移的准确率、召回率等指标的变化，发现多数模型在6-12个月后准确率下降超过10%。为此，本文提出了一种自适应重训练框架，结合周期性增量更新和基于漂移检测的触发式重训练策略。实验表明，该框架能够将检测性能下降幅度控制在3%以内，同时降低了频繁重训练的计算开销。研究还分析了不同特征（如邮件头、内容、元数据）对漂移的敏感性，指出基于内容的特征更容易受漂移影响。该工作为安全运维团队提供了实用的模型维护指南。

Android恶意软件分析面临鲁棒分类和检测隐匿攻击的挑战。现代威胁采用代码混淆、动态加载、加壳甚至隐写技术来规避传统静态和动态特征检测，降低了基于签名的系统有效性，并削弱了依赖显式语义指标（如权限、API调用、控制流结构）的机器学习模型的可靠性。本文提出了一种名为\approachname的内存取证恶意软件检测框架，将分析视角从语义程序建模转向基于信号的结构表示。该方法将静态字节码和早期执行内存快照通过直接二进制到波形映射转换为音频波形，无需反汇编或特征工程，保留了低层结构模式。生成的信号使用手工设计的频谱描述符、卷积神经网络和基于transformer的嵌入进行处理。在CICMalDroid2020数据集和VirusTotal恶意软件上的实验表明，\approachname达到了98.0%的准确率，优于静态声纳化方法和当前最先进的技术。本研究为恶意软件分析提供了一种新颖的信号处理视角，展示了音频特征在识别恶意行为方面的潜力。

本文提出一个名为FDM（决策框架）的框架，用于构建基于机器学习的恶意软件检测系统。选择机器学习配置是一个多准则优化问题，需要考虑模型选择、特征工程、更新机制等多种因素，且不同部署场景的约束各异。FDM通过加权配置兼容性得分（WCCS）将五个操作参数（平台约束、资源预算、响应延迟、更新频率、检测灵敏度）映射到九个配置维度的排序推荐，从而形式化选择过程。为了验证框架，作者在三个数据集上进行了四个实验：私有Windows API数据集、公开Malimg图像基准和Android静态API数据集。关键结果包括：(i) 在二分类中，XGBoost实现了最佳准确率与资源比（测试准确率97.46%，内存<70MB），优于LSTM/BiLSTM（消耗高达2.8GB）；(ii) 多分类中，经典模型（XGBoost 79.03%）优于循环深度模型（BiLSTM 72.27%），与二分类结果相反；(iii) 使用EfficientNetB0的类增量学习在11个增量步骤中保持了99.13%的准确率，仅下降0.65个百分点；(iv) 迁移学习使图像型恶意软件数据训练时间平均减少2.14倍，且准确率无显著损失；(v) 自编码器预处理实现了14倍的训练加速，仅损失0.86个百分点的准确率。这些发现证实最佳ML配置依赖于上下文，验证了FDM的核心前提，并展示了其对安全从业者的实用价值。

该论文聚焦于欺诈性电子商务网站（FCWs）的检测问题，这类网站包括虚假购物网站、虚假慈善机构和加密货币诈骗网站等，但现有安全生态系统（如反钓鱼系统）对FCWs关注不足，且缺乏大规模缓解系统和公开数据集。作者首先提出了一种通过众包自动收集FCWs的高效方法，识别出八种非钓鱼FCWs类型并提取关键特征。实验发现，Google Safe Browsing等反钓鱼系统对FCWs的检测率仅为0.46%。基于分析，作者构建了分类器BEYOND PHISH，利用手工定义的特征进行检测。通过用户研究对未见数据进行验证，系统检测率达到98.34%，误报率仅为1.34%。进一步与Palo Alto Networks及一家大型金融服务提供商合作，在人工标记的真实数据上评估，模型实现了2.46%的误报率和94.88%的检测率，展示了实际防御潜力。论文的主要贡献包括：首次系统性地定义和检测非钓鱼FCWs，提出自动收集方法，开发高效分类器，并通过业界合作验证其实际有效性。

该论文针对美国关键基础设施领域日益增长的网络安全威胁，提出了一种基于可解释人工智能（XAI）的网络风险分析与模型可靠性评估框架。研究背景指出，随着能源、医疗、交通、金融和通信等关键基础设施广泛采用智能数字技术，其暴露于高级网络攻击（如DDoS、僵尸网络、勒索软件和APT）的风险显著增加，传统安全机制难以应对动态演变的攻击环境。为此，研究者利用公开的CICIDS2017数据集，构建了基于机器学习的入侵检测和风险预测模型。比较了XGBoost、随机森林（Random Forest）和决策树（Decision Tree）等分类器在恶意流量检测上的性能，并重点集成SHAP等XAI技术，以增强模型决策过程的透明度和可解释性。评估指标包括准确率、精确率、召回率、F1分数、ROC-AUC和误报率，旨在验证模型的可靠性和鲁棒性。该框架最终目标是为美国关键基础设施的智能治理提供决策支持，提升网络安全风险管理的可信度与自动化水平。

本文研究了网络攻击分类中特征降维技术的有效性，重点比较了主成分分析（PCA）和线性预测编码（LPC）两种方法。高维特征表示在基于机器学习的网络攻击检测系统中被广泛使用，但计算复杂度的增加限制了其在资源受限环境（如边缘设备、物联网节点）中的部署。为了在保持分类性能的同时降低特征维度，作者对KDD Cup 1999数据集（一个经典的网络入侵检测基准）中的特征进行了压缩实验。他们生成了从原始高维特征到不同低维表示的多种压缩版本，并评估了多种分类模型（包括决策树、支持向量机、K近邻等）在压缩特征上的性能。实验结果表明，PCA即使在极端压缩情况下（例如从原始维度降至仅几个主成分）也能保持分类准确率，几乎不出现性能下降；而LPC虽然也能提供有竞争力的预测表示，但在相同压缩率下性能退化略大。总体而言，两种方法均能在几乎不损失分类准确性的前提下将特征维度降低一个数量级。该研究证明了轻量级特征压缩技术在高效率网络安全分析中的潜力，为开发适用于实时、低功耗环境的入侵检测系统提供了理论依据和实证支持。

本文提出一种名为 A-Live 的被动式活体检测框架。研究背景：传统的活体检测主要用于防止生物特征认证中的展示和重放攻击，但随着生成式AI和自主AI代理的兴起，数字系统需要区分人类用户与非人类实体，活体检测成为基础安全原语。现有方法依赖显式用户交互、专用硬件、容易被逼真欺骗攻击且难以规模化部署。核心方法：A-Live 仅利用商用设备中普遍存在的惯性测量单元（IMU）信号，其关键洞察在于人类运动控制中固有的神经肌肉微运动会在IMU数据中产生微妙但可测量的特征，而以往研究通常视其为噪声。作者设计了轻量级特征提取流水线和紧凑型分类器，可在设备上实时运行，并引入可控的物理微运动平台用于评估对工程化非人类运动的鲁棒性。主要贡献：在包括 Android 和 iOS 设备、自动化及真实用户设置的广泛评估中，A-Live 实现了超过 99.5% 的准确率，误接受率和误拒绝率极低。结果表明，神经肌肉微运动特征可在新兴AI驱动威胁模型下提供可扩展、被动的活体检测基础。适合安全研究人员、生物识别系统设计者及关注 AI 安全的人员阅读。

该论文提出了一种名为 MimeLens 的新型内容类型检测方法，旨在解决现有方法（如 Google 的 Magika）在输入不完整、位置未知的二进制片段（例如单个网络包载荷、无文件头的文件碎片、随机磁盘块等）时失效的问题。MimeLens 基于小型 BERT 风格的编码器，通过在文件内随机偏移位置采样窗口进行预训练，从而不依赖文件头位置。它支持标准上下文和短上下文两种变体，输入为任意长度的字节块，输出 libmagic 定义的 125 种 MIME 标签之一。实验表明，在完整文件的头部数据上，MimeLens 的 top-1 准确率比 Magika v1.1 高出 10.7 个百分点；在无法使用 Magika 的场景（如单个 UDP 包中间数据、随机磁盘块）中，MimeLens 仍能分类，且准确率是 libmagic 和 Magika 的两倍以上。代价是延迟：CPU 上比 Magika 慢一到两个数量级，但在消费级 GPU 或批量处理时相当。所有训练好的 checkpoint 已在 Hugging Face 开源。

随着恶意软件（包括变种和新型）数量快速增长，恶意软件的检测与缓解成为一个复杂问题。传统的恶意软件检测方法虽然能识别恶意软件，但无法将其归类到具体的家族，这阻碍了后续的针对性和有效响应。针对这一挑战，本文提出了一种混合方法，用于自动化恶意软件检测与家族分类。该方法首先提取多种相关特征，包括API调用序列以及固定长度和可变长度的n-gram，并结合一种自定义的特征选择方法进行特征融合。在预测模型部分，提出了一种基于投票的算法融合策略，将多个分类器的输出进行集成。实验评估使用微软提供的恶意软件数据集，分别进行了二分类（恶意/良性）和多分类（具体家族）任务。结果表明，该方法在AUC达到0.989，准确率达到99.72%，对数损失仅为0.01，显著优于现有技术水平。该工作为安全运营中自动、准确地进行恶意软件家族分类提供了一种有效途径，有助于提升针对不同类型恶意软件的差异化防御能力。

尽管 macOS 在个人用户和企业系统中的普及度日益增长，但恶意软件研究长期聚焦于 Windows 和 Android，针对 macOS 的检测工作相对不足。操作系统自身的特异性以及 Mach-O 文件格式的独特结构，在未知样本分类中可发挥关键作用。本文首次在文献中提出利用 macOS 二进制文件的领域特定静态特征——包括嵌入式证书、权限（entitlements）、持久化技术及关键系统 API——来训练机器学习恶意软件检测器。研究者构建了一个包含 41,129 个样本（11,413 良性、29,716 恶意）的新数据集，并通过综合实验证明，所提方案达到了 98.50% 的检测率，平均比现有最优方法提升 16%，且经过特征重要性分析确认领域特定特征贡献显著。为进一步评估检测器的时间泛化能力，研究者使用 9,000 个全新 macOS 可执行文件进行真实环境测试，结果显示检测率高达 99.50%，相比当前最优方法提升 50%；当移除领域特定特征时，检测性能下降 15.92%，证实了这些特征对泛化到新型恶意样本至关重要。最后，作者将数据集公开给研究社区。该工作为 macOS 恶意软件检测提供了全新的特征视角，对安全社区具有重要参考价值。

该论文针对机器学习中的数据最小化（Data Minimization, DM）原则进行了系统研究。组织在训练和部署预测模型时，往往收集大量详细的客户数据，一旦发生数据泄露，将导致隐私暴露风险。政策制定者日益要求遵守数据最小化原则，即仅收集任务相关且必要的数据。然而，目前关于如何部署遵守DM的机器学习模型的研究甚少。本文提出了一种基于数据泛化的垂直数据最小化（Vertical DM, vDM）工作流，通过设计确保在模型训练和部署过程中不收集全分辨率客户数据，从而在发生泄露时减少攻击面，保护客户隐私。作者形式化并研究了在泛化过程中同时最大化数据效用和最小化经验隐私风险的问题，通过引入一组多样化的、与政策一致的对抗场景来量化隐私风险。最后，提出了多种基线vDM算法，以及一种特别有效的算法——隐私感知树（Privacy-aware Tree, PAT），该算法在多个设置下优于所有基线。作者计划将代码作为公开库发布，以推动机器学习中DM标准的建立。该工作为实际应用中DM原则的进一步探索和采用奠定了基础。

该论文系统性地总结了机器学习在计算机安全领域应用中的常见陷阱和最佳实践。作者回顾了大量已有研究，识别出在数据收集、特征工程、模型评估、部署维护等环节中反复出现的问题，例如不恰当的数据划分导致信息泄露、忽视概念漂移、使用不合理的评估指标等。论文还提供了具体的对策建议，包括稳健的交叉验证方法、时间感知的评估设计、以及对模型可解释性和对抗鲁棒性的考量。通过多个安全应用案例（如恶意软件检测、入侵检测、钓鱼网站识别），作者展示了错误做法如何导致虚高的性能估计和实际部署失败。最后，论文呼吁社区建立更严格的实验标准和可重复性规范，以提高机器学习安全研究的可信度。

该论文针对网络安全中加密数据片段识别的关键问题展开研究，特别是在勒索软件检测、数字取证和大规模数据分析等场景下，准确区分加密与压缩数据片段至关重要。然而，短片段缺乏结构信息且统计冗余度低，传统基于字节级分布的统计方法效果有限。近期机器学习方法通过从原始字节中学习微妙模式提升了性能，但大多依赖单模态表示，假设单一视角足以完成分类。论文指出，在仅获得512-2048字节小片段的低信息场景下，该假设成为根本性局限。为此，作者提出Triumvir，一种多模态、不确定性感知的集成架构，融合了原始字节片段的统计、序列和空间三种表示。通过广泛的实验分析，Triumvir在二分类任务中持续超越最先进方法，增益高达+4.5个百分点；在多分类任务中增益达+6.4个百分点。消融研究证实，结合多种模态至关重要，相比部分配置可获得最高+5个百分点的提升。该工作为低信息环境下加密流量分类提供了新思路，适合网络安全研究人员和从业者阅读。

该论文聚焦于物联网(IoT)网络入侵检测中的类别不平衡问题。侧信道功率数据集中正常样本与攻击样本的比例可达75,964比1，严重影响了机器学习模型的检测性能。此前Dominguez等人提出了基于功率的入侵检测概念验证，但未处理类别不平衡，也未在平衡训练集上评估分类器性能。本研究针对这些问题进行了改进：首先，对从原始数据集提取的九个可能数据集应用合成少数类过采样技术(SMOTE)，使得每个数据集的精确不平衡比达到1.1；然后，在SMOTE平衡后的6小时数据集上，在相同条件下训练了八种算法：随机森林(RF)、直方图梯度提升(HistGradientBoosting)、LightGBM、极限随机树(Extra Trees)、XGBoost、K近邻(KNN)、多层感知器(MLP)和决策树(DT)。实验结果表明，随机森林的微平均F1分数达到0.9989，宏平均F1为0.9794，超越了此前基准论文中时间序列森林算法的最佳微F1结果(0.9983)。极限随机树在保持相同性能的同时，训练速度快了10倍。通过明确引入宏平均F1指标（区别于基准论文的评估），揭示了聚合性能指标遗漏的重要类别级信息。基于混淆矩阵计算的每类召回率、F1热图和ROC曲线显示，仅当使用SMOTE平衡时，少数攻击类别（尤其是混合M+L感染）才能被可靠检测。特征重要性分析表明，功率窗口中的最后时间步（共60步）是最重要的预测信号。本文的研究为基于侧信道的IoT入侵检测提供了更全面的评估框架，强调了数据平衡和细粒度性能指标的重要性。

本文首次对全同态加密（FHE）下的机器学习训练进行了理论收敛性分析，并提出了一种结合差分隐私（DP）的训练算法，专为加密计算设计。该方法通过使用激活函数和损失函数的多项式近似（FHE兼容所必需）来证明近似梯度下降的收敛性，从而改进了标准差分隐私梯度下降（DP-GD）的计算效率，同时实现可比的效用。为了在下游任务中保护隐私，该算法在不依赖昂贵的每个样本梯度裁剪的情况下集成了差分隐私，实现了可扩展的加密学习。此外，本文还提供了数据无关的超参数选择和多项式近似的理论指导策略，这些成果可独立应用。总体而言，这些贡献推进了在敏感数据上实现高效、私有且安全的机器学习的可行性。

该论文提出了一个对抗性恶意软件数据集，基于公开的RawMal-TF真实恶意软件二进制文件集合。作者使用一套对抗性恶意软件生成器，构建了两个对抗性PE文件数据集：一个包含44,347个按家族标记的样本，另一个包含33,596个按类型标记的样本。这两个数据集针对EMBER分类器分别实现了98.35%和92.20%的逃逸率。每个对抗二进制文件都附有详细元数据，包括EMBER评分和VirusTotal分类结果。此外，论文通过一系列训练实验展示了恶意软件分类管道对数据投毒攻击的脆弱性：在家族标记数据集中仅注入0.5%的完全错误标记的对抗样本，就使得针对重新训练分类器的逃逸率从26.1%增加到92.8%。该数据集已公开发布，旨在促进对抗性恶意软件、投毒攻击以及基于机器学习的恶意软件检测系统鲁棒性的未来研究。

本文针对基于机器学习的网络入侵检测系统（ML-NIDS）的对抗鲁棒性研究提出关键反思。现有大量工作通过向预收集的数据点（如路由器捕获的数据包或ML-NIDS分析的网络流）施加微小扰动来评估ML-NIDS的安全性，但作者指出，真实攻击者只能控制网络中少数无特权的主机，其扰动施加范围受限于主机层面（即“host-space”）。通过系统文献综述（n=316），作者发现先前研究大多忽略了这一约束，其扰动操作可能超出攻击者实际能力。为填补这一空白，本文正式定义了“主机空间对抗扰动”，即攻击者仅通过修改自身可控主机上的行为（如改变SSH暴力破解命令字符串中的一个字符）来产生对抗样本。实验基于公开基准和真实网络，结果表明：能够检测特定命令字符串SSH暴力尝试的ML-NIDS，当攻击者将该字符串仅修改一个字符后，完全无法检测任何后续尝试。作者进一步分析了这种问题空间（主机）微小变化如何导致特征空间的灾难性影响，并总结了评估主机空间扰动的实践教训。本文呼吁重新评估ML-NIDS的安全性，强调应从攻击者可操作的真实主机视角进行鲁棒性测试。

该论文针对无线加密流量中移动应用指纹识别（AF）攻击面临的四大挑战：隐藏目的地、不可见边界、应用多路复用和开放世界识别，提出了一种新型攻击方法PACKETPRINT。现有AF攻击无法同时解决这些问题，而PACKETPRINT通过结合序列化XGBoost模型和层次化词袋模型，从加密无线流量中准确识别与目标应用相关的用户活动。序列化XGBoost用于捕获流量包的时间序列特征，层次化词袋模型则处理应用内多路复用和开放世界分类。论文在多个挑战性场景下进行了评估，包括开放世界设置、丢包和网络拥塞、不同应用同时使用以及跨数据集识别。实验结果表明：开放世界应用识别的平均F1分数达到0.884，应用内用户动作识别的平均F1分数为0.959。研究揭示了无线流量中应用指纹识别的严重隐私威胁，为防御方理解此类攻击提供了技术细节。

该论文针对流式网络入侵检测系统在实际部署中面临的阈值选择难题，提出了一套名为 CALIBURN 的流式告警管道。传统方法通常将告警阈值作为事后调优参数，无法在部署前根据运营需求（如误报成本、漏报成本和告警预算）明确指定。CALIBURN 由五个组件组成：截断贝叶斯在线变化点检测器、等渗校准层（将变化点后验映射为经验条件攻击概率）、基于混淆成本的决策阈值、保形风险控制（CRC）包装器（将告警预算转换为有效阈值）以及多窗口燃烧率告警层（借鉴站点可靠性工程实践）。论文并非宣称全面优势，而是进行‘体制灵敏度研究’，在三种攻击流行率数据集上评估：LITNET-2020（5.2%）、CICIDS2017（22.06%）和 UNSW-NB15（64%）。在稀缺攻击体制下，CALIBURN 在 LITNET-2020 上达到 AUC-PR 0.943，比最佳流式基线高 2.21 倍，比最佳批量参考高 4.12 倍；等渗校准使 Brier 分数降低 30%。在中等流行率体制下，CALIBURN 仍是 CICIDS2017 上最强的流式方法，但被批量密度方法超越。在高流行率体制下，所有流式方法均趋近于流行率下限。论文还识别了两种不同的 CRC 崩溃机制（在小 alpha 时导致告警规则退化），并提供了操作指南。

该论文首次系统研究了随机梯度下降（SGD）训练过程中的不可伪造性问题。SGD 是机器学习中的核心训练算法，许多安全应用依赖于判断某个步骤的模型参数是否可以通过多个不同的数据集得到（即可伪造性）。作者提出了一组高效可检查的条件，在训练过程中的具体检查点上验证这些条件是否满足，从而证明该检查点的参数在当前步骤是"不可伪造"的，即唯一对应于某组特定数据样本。实验表明，这些条件相当宽松，在作者采样的所有检查点上均自然满足。值得注意的是，该结果与先前工作的结论形成鲜明对比：先前研究曾认为某些检查点是可伪造的，但作者采用相同方法和实验设置重新验证后发现，由于定义中的细微未明确差异，这些检查点实际上被证明是不可伪造的。作者进一步通过实验证实，微小的定义偏差会在训练过程中放大，导致最终训练出的模型存在显著可观测的差异。该工作强调了在可伪造性定义及相关安全论证中代数精确性的关键作用，为机器学习模型训练过程的完整性验证提供了理论基础。

本文提出了一种面向无卡人工智能银行系统的综合安全框架，旨在解决传统银行业务在数字化转型中面临的网络安全与欺诈风险挑战。该框架的核心创新点包括：1）利用AI驱动的数据加密技术生成自动虚拟卡，确保交易过程中敏感信息的最小化暴露；2）部署基于AI的授权机制，对每一笔交易进行实时身份验证，并通过特征提取与异常行为检测主动识别潜在欺诈；3）集成机器学习算法（如分类模型）构建多层防护体系，提升对未知欺诈模式的检测能力。作者通过理论分析论证了框架在保障通信安全（银行、持卡人、第三方之间的加密信道）、降低信息泄露风险以及减少误报率方面的有效性。实验部分（abstract未详细说明）预期验证该框架在模拟数据集上的欺诈检测准确率和系统吞吐量。本文适合金融安全研究员、银行系统架构师以及AI安全从业者阅读，为构建下一代无卡银行安全体系提供了系统性参考。

安全运营中心（SOC）面临持续的警报疲劳问题：在低患病率的事件流中，即使很低的误报率也会产生大量的调查负担，而聚合的F1分数往往掩盖了分析人员的实际工作负荷。本文提出PACT（Pareto-aware Controller for Triggered Active Learning），一种用于触发式主动学习的帕累托感知控制器。PACT包裹一个已经部署的冻结XGBoost-Focal筛查器，增加了一个自适应窗口分数偏移触发机制和一个混合采集规则，结合了阈值相对不确定性和高分数采样。在两个公开的低患病率基准数据集AIT-ADS和BOTSv1上，PACT在自适应方法中实现了最低的良性归一化误报负担。与冻结基线相比，PACT分别降低了43%和21%的负担，同时相比周期性均匀随机更新，减少了3.8倍和5.2倍的分析师查询次数。配对触发消融实验控制了触发时机，表明采集机制带来的收益超过了单纯的时机控制，但在自由运行触发下以约10个百分点的正窗口召回率为代价。仅使用冻结阈值的基线虽然进一步降低了误报，但导致BOTSv1的召回率下降了55个百分点。在所评估的工作负载假设下，纯粹的误报最小化以不可接受的召回率换取了较低的负担。

本文提出了一种利用代码自身检测功能相似但不一致代码的新方法。研究背景是软件开发中常出现功能相似但实现不一致的代码片段，可能导致难以发现的bug。核心问题是如何自动识别这类语义等价但语法有差异的代码对。方法上，作者设计了一个基于程序分析和机器学习的框架，通过提取代码的语义特征并比较其行为一致性，来发现潜在缺陷。实验在多个开源项目上进行，证明了该方法能有效检测出传统工具遗漏的bug。主要贡献包括提出新思路、构建原型系统以及公开评估数据集。适合代码审计工具开发者、软件质量工程师和编译器研究者阅读。

本文针对I2P匿名网络可能被恶意攻击者用于数据外泄的问题，提出了一种两阶段机器学习检测方法。I2P通过大蒜路由和分布式网络架构提供强匿名性，但这也使得企业网络中的恶意数据传输难以被传统安全措施发现。现有研究主要关注协议级流量识别，缺乏行为威胁评估。作者利用SafeSurf Darknet 2025数据集（包含184,548条网络流），首先在第一阶段使用随机森林分类器区分I2P流量与正常网络流量，达到了99.96%的准确率，在32,318条正常流中仅产生2个误报。第二阶段，对识别为I2P的流量进行行为分析，使用XGBoost分类器区分数据外泄与合法活动，准确率为91.11%。实验表明，基于树的集成方法显著优于深度神经网络和支持向量机。特征重要性分析显示，最具区分能力的特征包括数据包时序和流持续时间。该研究证明，在实际网络环境中可以实现准确的I2P流量检测和威胁优先级排序，从而使安全团队能够将资源集中于高风险事件，而非监控所有加密流量。

本文针对预训练机器学习模型在微调过程中可能记忆敏感数据的问题，提出了一种基于指数机制的随机算法，以实现差分隐私保护。核心思路是构造一个简单的效用函数，该函数结合了预训练模型的局部二次近似与新数据集的信息，使得指数机制能够从多元正态分布中闭式精确采样。作者建立了理论上的隐私保证、灵敏度界和准确性估计，并通过引入随机投影策略使方法可扩展至高维模型。在MNIST基准和MIMIC临床数据集上的数值实验表明，该方法与现有差分隐私微调技术相比具有竞争性能。该研究主要贡献在于提出了一个兼具理论严谨性和实用性的隐私保护微调框架，适合关注机器学习隐私保护的研究者和工程师阅读。

本文对移动应用中的机器学习模型保护现状进行了首次大规模实证研究。随着端侧机器学习（on-device ML）在移动应用中的普及，模型作为核心知识产权被部署在数十亿不受信任的设备上，面临被窃取的风险。研究旨在回答三个关键问题：模型保护在应用中的使用程度如何？现有保护技术的鲁棒性如何？模型泄露可能造成什么影响？研究者构建了一个简单的应用分析流水线，从美国和中国应用市场收集了46,753个热门应用，识别出1,468个包含机器学习模型的应用，覆盖所有热门应用类别。令人震惊的是，41%的机器学习应用完全没有保护其模型，可直接从应用包中提取。即使那些使用了保护或加密的应用，也有66%可以通过简单的动态分析技术提取出模型。提取的模型大多是商业产品，用于人脸识别、活体检测、身份证/银行卡识别以及恶意软件检测。研究者量化估计了模型泄露的潜在财务和安全影响，对不同利益相关者可能造成数百万美元的损失。研究表明，端侧模型目前面临极高的泄露风险，攻击者具有强烈的窃取动机。基于大规模研究，作者报告了对此新兴安全问题的见解，并讨论了技术挑战，希望启发未来对移动设备上健壮且实用的模型保护的研究。

该论文针对钓鱼攻击检测问题，系统评估了多种机器学习算法在不同来源的异构数据集上的表现。研究使用了公开的UCI数据集、通过EvilGinx和Zphisher等工具生成的模拟数据集以及AI生成的数据集。实验中比较了经典模型（Logistic Regression）、集成模型（CatBoost）、神经网络（CNN）和基于Transformer的模型（DistilBERT），其中DistilBERT达到了最高准确率99.78%。为增强模型可解释性，论文引入了信息增益、SHAP和LIME等可解释AI（XAI）技术，分析影响分类结果的关键特征。此外，论文设计并实现了一个基于MCP（Master Control Program？根据上下文推测为某种部署框架）的钓鱼URL检测系统，支持实时URL分析、特征提取、基于置信度的分类以及AI辅助的安全解释。实验结果表明，集成模型和Transformer模型在钓鱼检测任务上表现优异，同时XAI技术有助于理解模型决策，提升信任度。该研究为构建可解释且高效的钓鱼检测系统提供了实证基础。

这篇论文重新审视了差分隐私随机梯度下降（DP-SGD）的安全分析。DP-SGD广泛应用于机器学习中保护训练数据，其隐私保证通常通过一个安全游戏来分析，攻击者试图从机制输出中推断目标记录是否在训练集中，隐私泄露由隐私曲线（假阳性率作为假阴性率的函数）表征。论文发现现有形式化分析与常见DP-SGD实现之间存在不匹配：现有分析通常将DP-SGD及其变体建模为子采样高斯机制（SGM），即对泊松采样的批次计算裁剪梯度和并添加高斯噪声。然而，许多实际实现中额外进行了归一化步骤：将含噪梯度之和除以预期批次大小或实际采样批次大小。这些机制应分别形式化为期望平均SGM（EASGM）和批次平均SGM（ASGM）。论文重新分析了EASGM和ASGM下的隐私保证，理论结果表明这些保证可能弱于标准SGM保证，意味着在某些情况下真实隐私泄露可能超过报告的保证。此外，论文审计了四个最先进的DP-SGD实现，包括Meta的Opacus库，并观察到超出SGM保证的经验泄露。最后，对Opacus v0.9.0至v1.5.4版本进行审计，并为最新实现推导了修正后的隐私保证。

该论文提出了一种基于对抗性排序的密码猜测框架 RankGuess，将密码猜测问题建模为马尔可夫决策过程（MDP）。作者将密码创建过程视为序列决策轨迹，假设攻击者训练一个智能体，其当前状态为已生成的密码序列，动作为生成下一个字符，由排序器给出的评估分数作为奖励信号。通过对抗性排序技术，RankGuess 能够适用于多种猜测场景：拖网式猜测、基于个人可识别信息（PII）的目标猜测以及条件密码猜测。实验使用了12个大型密码数据集和6个PII数据集，结果表明：RankGuess在所有场景下均超越当前最先进的模型，在基于GAN的方法上平均提升34.80%；在已知受害者PII的目标猜测中，RankGuess-PII在10^12次猜测内可猜中58.21%~91.95%的常见用户，比最先进方法提升6.32%~17.09%；在部分密码已知（如 d****1*02*）的条件猜测中，RankGuess-Mask在10^7次猜测内将破解成功率提升7.70%~14.85%。该工作为密码猜测领域提供了新的技术路径。

该论文提出 MetaMoE，一个隐私保护的混合专家（MoE）模型统一框架。在现实场景中，训练数据通常分布在多个客户端且无法共享，导致无法直接训练统一的 MoE 模型。MetaMoE 利用公开的代理数据作为私有数据的替代，通过多样性感知的代理选择方法，从公开数据中挑选与各客户端领域相关且多样化的样本，以有效逼近私有数据分布并监督路由器的学习。这些代理还用于对齐专家训练，改善统一时的专家协调，同时上下文感知的路由器增强了跨异构输入的专家选择。在计算机视觉和自然语言处理基准上的实验表明，MetaMoE 持续优于现有的隐私保护 MoE 统一方法。该工作为隐私约束下的 MoE 模型训练提供了新思路，适用于联邦学习、分布式专家系统等场景。

本文研究了差分隐私中个性化隐私预算的局限性。在差分隐私中，隐私预算ε的选择至关重要，它需要在满足隐私要求的同时最大化数据效用。一种常见的思路是为不同用户（或数据点）分配不同的隐私预算，即个性化隐私预算。然而，本文通过理论分析证明，个性化隐私预算的收益在均值估计任务中是有限的。具体而言，影响效用的主导因素并非完全个性化，而是选择合适的有效隐私预算。作者提出了一种简单的阈值化操作：将所有隐私预算低于某个阈值的用户视为非隐私数据，或统一分配一个公共预算。与这种阈值化基线相比，完全个性化机制带来的改进最多只能达到常数因子级别。论文精确量化了在混合公共和私有数据集、以及具有两层隐私要求的私有数据集场景中，个性化机制相对于阈值化基线的常数因子改进。此外，对于任意的隐私要求分布，作者建立了个性化机制可能达到的最大收益的上界，并识别了收益最大的参数区间。该研究否定了“个性化预算能大幅提升效用”的普遍直觉，为差分隐私系统的设计者提供了重要的理论指导，即通过简单的阈值化即可接近最优效用，无需复杂的个性化机制。

本文针对物联网（IoT）设备，特别是微控制器，由于其处理能力、内存容量和能源限制，面临安全挑战。研究提出一种轻量级的机器学习入侵检测模型，部署在资源受限的设备上进行实时检测。实验评估了两种方法：决策树（Decision Tree）达到99%的检测准确率，但计算资源需求较高；神经网络（Neural Network）准确率为96%，但内存效率更优。模型能够有效识别拒绝服务（DoS）和中间人（MitM）攻击，这些是IoT设备面临的主要威胁。研究重点在于平衡检测性能与资源消耗，使得模型适合部署在微控制器上，实现实时监控与防御，保护数据传输安全。作者通过实际测试验证了模型在受限环境下的可行性和有效性。

该论文提出了一种基于机器学习的方法，用于自动将新发现的漏洞映射到 MITRE ATT&CK 框架中的对抗战术。背景在于，网络防御者需要识别并修复漏洞，但漏洞数量激增且修复资源有限，因此有必要根据漏洞可能被利用的战术来优先处理。作者将漏洞映射问题建模为多标签分类任务，每个漏洞可关联多个战术类别。他们评估了八种机器学习算法，包括 BinaryRelevance、LabelPowerset、ClassifierChains、MLKNN、BRKNN、RAkELd、NLSP 和神经网络，并在实验中使用特征工程从漏洞描述中提取特征。实验结果表明，基于随机森林的 ClassifierChains 方法表现最佳。该方法可帮助自动化地将漏洞与攻击战术关联，从而支持安全团队优先修复高风险漏洞，并更有效地响应攻击企图。论文的主要贡献在于提出并验证了一种自动化的漏洞-战术映射方法，有助于提升安全运营效率。

该论文提出了一种从网络攻击内存镜像中预测恶意软件能力的新方法。研究背景在于，传统恶意软件分析通常需要动态执行或静态反编译，而内存镜像中包含了恶意软件执行时的完整状态，但直接从中提取高级语义能力（如持久化、逃避检测、横向移动等）较为困难。作者设计了一个基于机器学习的框架，首先从内存镜像中提取底层特征（如API调用序列、内存操作模式、注册表修改等），然后通过特征工程和分类模型将这些特征映射到恶意软件的高阶能力标签（如C2通信、数据窃取、权限提升等）。实验使用了大量真实恶意软件样本和模拟攻击生成的内存镜像数据集，验证了模型能够以较高的准确率（>85%）预测恶意软件的能力类别。该方法有助于安全分析师在无需运行样本的情况下快速评估恶意软件的威胁等级，提升应急响应效率。主要贡献包括：1）定义了从内存镜像到恶意软件能力的映射框架；2）公开了标注数据集；3）实验证明了预测的有效性。

DNS作为互联网最基础的组件之一，由于流量模式多样且通常不被网络管理员封锁，常被攻击者用于建立隐蔽通信通道（即DNS隧道），以实施命令与控制（C2）或企业未授权的VPN服务。现有检测方法大多依赖DNS查询序列的统计特征，本质上无法保证零数据泄露，且可通过将窃取数据分散到多个根域名来绕过。为此，本文提出TunTight，首个能够实现路径内单查询（in-path per-query）DNS隧道防御的系统。核心洞察是DNS隧道域在其权威名称服务器、域名使用模式和域名结构上具有独特特征。基于这些特征，作者定义并提取了一组特征，输入机器学习模型进行实时检测。为验证有效性，该系统被集成到一家大型安全厂商的企业防火墙产品的云后端中，在实际部署两个月期间，TunTight在首次查询时就成功检测到349个已确认隧道，误报和漏报极低。此外，作者还进行了首次大规模DNS隧道活动野外研究，发现企业网络中的大多数DNS隧道流量来自公共隧道工具和企业未授权VPN服务。本文的技术贡献在于：1）提出了一种全新的单查询级别防御思路，克服了统计方法依赖多查询序列的局限；2）通过实际产品部署证明了方法在真实环境中的高效性和低误报率；3）揭示了企业DNS隧道的真实生态。适合安全防御工程师、DNS安全研究人员及 SOC 分析师阅读。

本文提出一种基于机器学习的攻击方法 SalsaPicante，针对带有稀疏二进制秘密的学习与错误（LWE）问题。LWE 是后量子密码（PQC）系统的基础难题，NIST 标准化的密钥交换机制（KEM）基于模 LWE，而现有同态加密（HE）库多基于环 LWE。出于效率考虑，PQC HE 方案常采用稀疏二进制秘密（即秘密向量中非零元素很少），但这可能削弱安全性。先前的工作 SALSA 展示了在低维度（n ≤ 128）和低汉明重量（h ≤ 4）下对稀疏二进制 LWE 的机器学习攻击，但它需要窃听数百万个 LWE 样本，并且在更高的汉明重量或维度下失败。SalsaPicante 通过改进攻击策略，能够在更实际的参数下（如更高维度和更高汉明重量）成功恢复秘密，同时减少所需样本数量。实验证明该方法对中等规模参数有效，揭示了稀疏二进制秘密在 PQC 实现中的潜在风险。本文适合密码学研究人员、后量子安全实现者及同态加密系统开发者阅读。

本文提出了一种名为Hopper的横向移动检测系统。在企业网络攻击中，攻击者常在初始入侵后通过横向移动访问更多内部机器。Hopper利用企业常见的登录日志，构建内部机器之间的登录活动图，然后识别异常的登录序列。为了理解每个登录的上下文，Hopper使用推理算法识别每个登录所属的移动路径以及执行路径登录的因果用户。结合推理算法、检测规则和新的异常评分算法，Hopper能够高亮最可能反映横向移动的登录路径。在包含超过7.8亿次内部登录的15个月企业数据集上，Hopper在300多个真实攻击场景（包括一次红队攻击）中达到了94.5%的检测率，平均每天产生少于9个警报。相比之下，为了检测相同数量的攻击，先前最先进的系统需要产生近8倍的误报。

本文是一篇系统化知识（SoK）论文，聚焦于机器学习系统中数据集版权的审计问题。随着ML模型规模增大，训练数据需求激增，但未经授权的数据使用（如在线艺术作品或人脸图像）引发了严重的侵权与滥用问题。为应对此挑战，研究者提出了多种审计方法，但现有方案在审计假设和能力上差异显著，且鲁棒性评估往往仅覆盖ML流水线的部分环节，难以反映真实世界应用中的表现。本文从实际部署视角出发，系统梳理了数据集版权审计研究，将其分为两大类：侵入式方法（需修改原始数据集）和非侵入式方法（无需修改数据集）。侵入式方法细分为多种水印注入选项，非侵入式方法则利用不同的指纹技术。论文提供了详细的参考表格，总结了关键点，并指出了当前文献中未解决的问题。最后，结合ML系统流水线并分析先前研究，强调了使审计工具更适用于真实版权保护需求的未来方向。本文有助于安全从业者理解现有审计方法的优劣与适用场景。

本文针对机器学习领域的安全计算技术选型问题，对两种主流密码学方法——安全多方计算（SMPC）和全同态加密（FHE）进行了理论和实践的对比分析。首先，文章从理论上总结了SMPC和FHE两种安全计算范式的原理、优缺点及相关的开源软件实现。其次，作者对识别出的主要机器学习操作和模型对应的软件框架进行了广泛的基准测试。实验结果表明，在当前技术状态下，FHE在回归任务上性能优于SMPC；在基于GPU或混合模型的简单密集神经网络中，FHE也可能更快。相反，SMPC在复杂模型（如CNN）上表现出更优的性能。文章为机器学习安全计算技术的技术无关基准测试铺平了道路，为计划采用这些技术的实践者提供了指导。

该论文研究了攻击性AI在音乐流媒体平台上的应用，特别是通过用户公开的播放列表推断敏感个人身份信息（PII）。作者首先指出，随着AI的普及，攻击性AI（Offensive AI）已成为一种新兴威胁，能够在网络杀伤链的各个阶段被恶意利用。其中，用户属性推断攻击是一种关键表现：AI从看似无害的公开数据中推断出敏感的PII。音乐流媒体生态系统中的用户经常发布公开播放列表，这为攻击者提供了可乘之机。为了量化这一威胁，作者开发了musicPIIrate工具。该工具利用深度学习架构，不仅处理独立的数据表示，还利用用户播放列表集合中嵌入的结构信息。设计上，作者探索了基于集合的方法（如Deep Sets）和建模播放列表间关系的方法（如图神经网络），并将两者结合以利用不同视角。该方法解决了无序、变长集合数据的特征提取问题，从而实现了准确的PII预测。实验评估表明，musicPIIrate在推断准确性上达到了最先进水平，成功推断出多种属性，包括人口统计信息（年龄、国家、性别）、生活习惯（饮酒、吸烟、运动）以及人格特质（OCEAN评分）。在15个属性推断任务中，musicPIIrate在9个任务上超越了现有基线方法。针对这一漏洞，作者提出了JamShield防御框架，通过向账户中注入虚假播放列表来稀释携带PII的信号。分析表明，JamShield是一种有前景的防御手段，平均能将推断F1分数降低10%。该工作为基于播放列表的PII推断建立了攻击性AI基准，并引入了初步的防御方案。该论文适合隐私研究人员、安全分析师以及音乐流媒体平台的安全团队阅读。

本文提出了一种新型的成员推理攻击方法——级联代理成员推理攻击（Cascading and Proxy Membership Inference Attacks）。成员推理攻击旨在判断特定数据点是否被用于训练目标机器学习模型，对模型训练的隐私构成严重威胁。现有的攻击方法通常需要访问目标模型的输出或梯度，或者依赖影子模型进行黑盒攻击，但在黑盒场景下效率较低。本文提出的级联代理攻击方法通过构建多个代理模型来模拟目标模型的行为，并利用级联结构逐步提升攻击精度。具体而言，该方法首先训练一个初始代理模型，然后基于该模型对目标模型的输出进行预测，再使用这些预测作为标签训练下一级代理模型，从而逐步逼近目标模型的决策边界。实验在多个标准数据集（如CIFAR-10、ImageNet）和多种模型架构（如ResNet、CNN）上进行，结果表明该方法在攻击成功率上显著优于传统的单代理模型攻击和基于影子模型的攻击，尤其在目标模型参数不可见或仅提供有限输出信息的情况下。此外，该方法还展示了良好的可迁移性，即在一个数据集上训练的代理模型可以有效攻击其他相似数据集上的目标模型。本文的主要贡献包括：1）提出级联代理攻击的通用框架，可适用于黑盒和白盒场景；2）设计高效的训练策略，减少对目标模型查询次数；3）通过大量实验验证了方法的有效性和鲁棒性。该研究揭示了机器学习模型在隐私保护方面的潜在风险，提醒开发者在部署模型时应考虑更严格的防御措施，如差分隐私训练或输出扰动。

该论文深入研究了函数内联（function inlining）对基于机器学习的二进制分析安全任务的影响。函数内联是编译器优化中常见的技术，但极端内联可能显著改变二进制代码的统计特征，从而影响依赖这些特征的机器学习模型的性能。作者针对五个关键安全任务进行了系统评估：二进制相似性检测（T1）、函数名预测（T2）、恶意软件检测（T3）、恶意软件家族预测（T4）和漏洞检测（T5）。他们构建了包含不同编译配置和极端内联行为的二进制数据集，并复用了TikNib等特征提取管道。实验结果表明，极端内联会导致ML模型的准确率大幅下降，特别是在依赖函数边界和调用图结构的任务中。论文提供了完整的代码、数据集和脚本，以便复现实验。该研究揭示了当前ML驱动的二进制分析工具在面对编译器优化时的脆弱性，为提升其鲁棒性提供了重要见解。

该研究系统评估了监督机器学习模型在网络入侵检测中的泛化能力，聚焦于同数据集与跨数据集设置下的性能差异。实验采用UNSW-NB15和TON_IoT两个广泛使用的入侵检测数据集，对比了随机森林（RF）、逻辑回归（LR）和朴素贝叶斯（NB）三种模型。在同数据集测试中，RF表现最佳，在UNSW-NB15上达到95.08%准确率，在TON_IoT上达到99.79%。然而，在跨数据集测试中——即在一个数据集上训练并在另一个数据集上测试——所有模型的准确率均骤降至40%以下，揭示了严重的泛化差距。研究进一步将这一挑战与情感计算和人本AI领域进行类比，指出行为信号分析、异常检测、域偏移和上下文敏感建模等共同问题。结论强调，当前基于机器学习的入侵检测系统过度依赖单一数据集的基准性能，缺乏对真实世界中网络环境变化（如新攻击模式、流量分布变化）的适应性，亟需开发具备强泛化能力的自适应安全模型。该论文对安全研究人员和工程师理解机器学习模型在入侵检测中的局限性具有重要指导价值。

本文针对基于机器学习的Android恶意软件检测（AMD）方法，提出了一种名为AdvDroidZero的高效查询式攻击框架。当前对该类方法的对抗样本攻击大多依赖较强假设，如攻击者知晓特征空间、模型参数或训练数据集等知识，这在现实攻击场景中往往不成立。AdvDroidZero在零知识设置下运作，即攻击者无需提前了解目标模型的内部细节，仅通过黑盒查询即可生成对抗样本。该框架通过设计高效的查询策略和针对性扰动生成方法，显著降低了攻击所需的查询次数，同时保持了高攻击成功率。在多个主流基于机器学习的AMD方法（包括最新技术）以及真实世界反病毒产品上的广泛评估表明，AdvDroidZero能够有效规避检测，揭示了当前检测方法的脆弱性。论文分析了攻击成本与效果，并讨论了可能的防御方向。本研究对安全社区理解对抗性机器学习威胁具有重要意义，尤其针对移动安全领域的现实攻击场景。

提出一种使用决策树规则集的结构化方法，通过特征重要性、预测一致性等指标量化恶意软件分类中的概念漂移，并在EMBER2024数据集上验证了固定两月窗口和特征级Pearson相关的有效性。