该论文聚焦 Web3.0 生态中的恶意智能合约审计问题。背景是：基于大语言模型（LLM）的合约审计方法目前主要依赖提示工程（prompt engineering）或针对特定攻击类型的微调，而对 LLM 内部究竟依靠哪些表征来完成恶意逻辑识别缺乏系统刻画，导致检测过程不可解释、迁移性差、标注成本高。作者提出 ContractLens 框架，目标是在不微调预训练模型的前提下，定位并利用预训练 LLM 中蕴含的“潜在安全知识”，实现可解释的恶意合约检测。方法分三步：第一，使用逐层线性探针（layerwise linear probes）找出能够区分恶意与良性合约的候选层，再依据两类判据筛选关键层——一是该层对移除恶意逻辑的敏感性，二是该层在保持合约行为的表层改写下的稳定性；第二，在这些关键层内部，将激活对比度、恶意逻辑特异性以及探针权重融合为三因子重要性评分，并沿排序后的评分曲线取拐点（knee point）自适应地选出“恶意合约判别单元”（MCDUs）；第三，将所选单元的激活拼接为紧凑表示，仅训练一个轻量分类器进行检测，全程保持预训练模型冻结。实验方面：神经元掩蔽实验显示，掩蔽 MCDUs 导致的检测性能下降显著大于掩蔽随机神经元或激活幅度相当的神经元，说明所选单元确实承载判别性信息；在三个预训练模型上，ContractLens 的平均检测准确率均高于对照方法；进一步评估表明它能泛化到未见过的恶意意图，并且在 MCDUs 固定后，仅用少量标注样本训练的分类器仍能达到较强检测性能。该工作适合 LLM 可解释性、智能合约安全审计与低资源安全检测方向的研究者与工程师阅读。

本文针对勒索软件检测在样本稀缺与新型变种场景下失效的问题，提出了一种混合深度学习框架，把自编码器特征提取器（Autoencoder Feature Extractor, AFE）与模型无关元学习分类器（Model-Agnostic Meta-Learning, MAML）结合起来，用于少样本恶意软件检测。研究背景方面，作者指出勒索软件已成为主要网络安全威胁，攻击事件在关键行业部门中频率与影响持续上升；其典型入侵路径包括钓鱼邮件、恶意下载以及利用软件漏洞获取系统访问权限，进入系统后即加密文件并以加密货币索取解密密钥。传统检测方法在面对新型或稀有样本时往往表现不佳，导致系统防护出现空窗。方法上，框架分为两部分：AFE 负责把原始样本映射为紧凑的潜在特征表示，从而降低噪声与维度、提升后续分类的稳定性；MAML 分类器则以元学习方式学习一组易于快速微调的初始化参数，使其仅凭少量带标签样本即可迅速适应新出现的恶意软件家族。实验在 Ransomware Dataset 2024 上进行，任务为二分类。作者报告在 1-shot 到 50-shot 的多种设置下，模型在准确率、F1 分数与马修斯相关系数（MCC）上均保持较高且稳定的表现，即便在极端样本稀缺条件下仍能维持可靠分类。结论认为，将特征提取与元学习相结合能够提升对恶意软件的韧性，尤其在医疗、制造与公共基础设施等一旦遭受攻击便会产生重大运营与财务中断的领域具有应用潜力。

该论文针对基于机器学习的 Windows 恶意软件检测器所面临的问题空间逃逸攻击（problem-space evasion）开展了统一、大规模的经验评估，目标是弥补当前研究中的碎片化问题。作者指出，尽管已有大量工作证明 ML 恶意软件检测器存在严重弱点，但既有评测在检测模型、数据集与攻击方法上彼此割裂，且往往忽视问题空间攻击的域约束——即生成的样本必须仍然可执行、且保留原有恶意功能，否则评测结果在真实环境中缺乏说服力。为此，论文在“保持可执行性”的条件下，对 9 种最先进的逃逸攻击与 8 个 Windows 恶意软件检测器（其中 7 个开源模型、1 个商业检测器）进行了横向对比，并从攻击有效性、攻击之间的互补性、跨模型可迁移性以及对抗加固（adversarial hardening）四个互补维度刻画鲁棒性。主要发现包括：第一，检测器的脆弱程度强烈依赖于模型的特征表示方式与攻击类型，使用原始字节（raw-byte）表示的检测器对多类问题空间操纵尤为敏感，但不存在在所有攻击下都稳健的检测器家族。第二，攻击有效性并不能仅由变换空间的大小解释：最强的攻击往往只使用更少种类的变换，把扰动集中在少数高影响的操纵上，却能取得显著更高的绕过成功率。第三，攻击之间存在高度互补性——仅用两种互补攻击即可覆盖其余所有被评估攻击所产生的约 99% 的对抗样本，说明少量高质量攻击即可代表整体威胁面。第四，可迁移性呈现出与直接攻击成功率不同的规律：直接成功率较低的攻击反而可能产生高度可迁移的逃逸样本，这对仅以白盒成功率衡量风险的评估方式提出质疑。第五，对抗加固的效果高度依赖具体攻击与模型，鲁棒性提升常常无法跨攻击迁移，甚至可能提高模型对未见攻击的敏感性。论文的贡献在于揭示当前恶意软件鲁棒性评测方法论上的局限，建立一个可复用的综合经验基线，并厘清有效性、可迁移性与防御鲁棒性之间的关系。

该论文研究基于机器学习（ML）的恶意软件检测器在训练数据构建环节面临的一个系统性风险：业界普遍直接采用杀毒引擎（AV）及其聚合服务（如 VirusTotal）给出的判定作为监督标签，隐含假设是 AV 标签可靠且与下游模型所感知的特征空间保持一致。作者指出这一假设在现实中并不成立——对样本进行极少量字节级修改即可显著改变 AV 的判定结果，而下游 ML 检测器所提取的特征表示却几乎不受影响，由此在数据集中产生“标签—特征不一致”样本，既污染训练集，也打开了投毒攻击面。 为此作者提出黑盒投毒框架 Bi-Iocane。该框架无需访问目标检测器内部，先定位对 AV 判定敏感的字节位置，再对这些字节进行改写以诱发标签翻转，从而构造两类中毒样本：一是“逃逸导向投毒”，把恶意样本改写为获得良性标签；二是“诽谤导向投毒”，把与恶意软件关联的字节模式注入正常软件，使其获得恶意标签。这些投毒样本连同其轻微变体被用于下游训练后，会污染训练数据并导致指定目标被错误分类。 实验使用 13 个 AV 引擎模拟标签聚合服务，并搭配 8 个 ML 检测器进行评估。在 30 个恶意目标和 30 个良性目标上，Bi-Iocane 组合针对不同 AV 的具体操作，生成了所有被测 AV 标签均被翻转的恶意→良性、良性→恶意样本；当这些样本及其变体进入训练流程后，所得模型平均误分类 92.08% 的原始干净目标，而每个目标的投毒预算仅约 0.06%。与此同时，被投毒模型在干净测试集上的整体性能基本保持不变，具有较强隐蔽性；六种被测投毒防御措施只能提供有限缓解。作者还通过 VirusTotal 的实测进一步确认了现实世界中的诽谤风险，并揭示 AV 到 ML 的标签供应链中存在的潜在逃逸风险。 对安全从业者而言，该工作把“数据供应链”而非“模型算法”确立为检测系统的关键薄弱环节，说明仅依赖 AV 聚合标签构建训练集可能被系统性污染，且此类污染不易被常规精度指标察觉。

本文研究的是深度学习恶意软件检测器在持续更新流程中面临的训练时后门威胁。当前主流做法是：检测器部署后，会不断把新采集到的样本加入训练集并进行微调，以保证对新型恶意软件的识别能力。这一工程实践虽然提升了检测效果，却也把数据采集与更新流水线变成了攻击面——攻击者若能影响训练数据，就有机会植入后门，使模型在遇到特定触发器时把恶意样本判为良性。然而在真实的众包采集场景中，数据来源方通常会对标签做严格审核，攻击者因此大多被限制在 clean-label（干净标签）设定下：投毒样本必须保持良性标签、且不能破坏原有功能，这使得有效注入后门变得明显更困难。 为解决这一困境，作者提出一种基于特征空间操纵的新攻击视角。不同于以往两条常见思路——设计更强的触发器，或者在良性样本库中挑选那些天然就与恶意软件表示相近的样本——本文主张主动构造良性程序，使其在特征空间中先向恶意软件区域偏移，然后再叠加触发器。这样一来，训练过程中样本的表示与其良性标签之间会形成更强的冲突，模型更容易学到触发器与恶意标签之间的错误关联，从而提升后门强度。 基于该洞察，作者提出 RAMP 方法：在黑盒访问条件下，利用遗传算法优化“反向对抗扰动”，即让表示朝目标类别移动的扰动，再通过保持程序功能的二进制改写手段将其注入到良性样本中，从而满足 clean-label 约束。 实验结果表明，RAMP 相比仅依赖触发器的基线能显著提升攻击成功率，尤其在低投毒比例下增益最为突出，同时不会明显损害模型在干净数据上的准确率；此外，RAMP 与更先进的触发器设计正交，可以叠加使用。论文从防御视角提示：依赖众包数据与持续微调的检测更新流程，其数据来源可信度与表示层异常检测亟需加固。

该论文提出 SAGEGAN，一个仅用良性样本训练的恶意软件异常检测框架，目标是绕开传统基于规则与特征签名的检测流水线在恶意软件快速演化时失效的问题。其核心思路是：把可移植可执行文件（PE）转换为紧凑的三通道图像表示，再通过“风格条件对抗重建”来刻画正常（良性）软件的结构。三通道分别编码：Hilbert 曲线映射的字节值、以良性软件为参照的字节转移意外度（byte-transition surprise），以及相对于良性软件的熵偏差。与常见的单一隐向量瓶颈不同，模型把每张图像编码为逐层的风格张量（layer-wise style tensor），并与一个七阶段调制生成器逐层对齐，从而在多个语义层级上约束重建。为缓解编码得到的良性风格与生成器采样流形之间的错位，作者引入高斯风格先验、基于矩的（均值/方差）先验对齐以及隐空间一致性约束。在可解释性方面，模型提供一条确定性编码通路，把每个可执行文件映射到固定风格张量，从而支持可重复的逐层家族距离分析、梯度敏感性分析、主成分分析与类别行为分析——即不仅能给出异常排名，还能解释某一家族在哪些层级、以何种方式偏离良性流形。实验方面，作者使用自建的 PE 语料（含 214 个恶意家族），高斯变体取得 89.76% 的 ROC-AUC 与 88.19% 的平衡准确率，基因组（genome）风格变体分别为 88.03% 与 84.09%。更重要的是，在不重新拟合模型权重、良性参照统计量与判定阈值的前提下，同一组检查点在 DIKE、Microsoft BIG 2015 与 Lester 等公开恶意软件子集上做了跨数据集评估，说明该逐层风格建模既可用于异常排序，也可用于结构化的后验归因分析。适合从事恶意软件检测、异常检测、对抗机器学习与可解释安全模型的研究者与蓝队检测工程师阅读。

该论文针对 Android 恶意软件大规模筛查场景中「特征提取成本过高」这一瓶颈提出了一种轻量级方案 Name2Pkg。传统深度学习检测方法普遍依赖 APK 内部特征（如权限、API 调用、字节码、资源文件）或运行时行为序列，这些特征虽然判别力强，但解析与特征工程开销大，难以在应用商店上架审核、批量爬取样本初筛等超大规模、低时延的前置环节部署。作者的观察是：正常应用在命名上通常保持一致性——用户可见的应用名（app name）与包名（package name）往往存在语义、拼写或品牌上的对应关系；而恶意样本为规避检测、仿冒品牌或快速批量生成，常在两者之间呈现弱对应甚至明显不一致。基于此，论文将恶意软件筛查形式化为序列异常检测问题，仅使用应用名与包名两个极易获取的字段。方法上采用字符级 sequence-to-sequence 模型，建模「给定应用名条件下包名的条件似然」，并以长度归一化后的负对数似然作为异常分数；关键在于该模型属于 one-class 设定，仅使用良性样本进行训练并校准判定阈值，不依赖任何恶意样本标注，这大幅降低了数据获取与标注成本，也使模型对新型恶意家族具备一定泛化性。实验在 67,129 个真实世界应用的数据集上进行，在留出测试集上取得 ROC-AUC 0.982、恶意软件召回率 0.885（对应实际误报率 0.044）。工程指标方面，模型检查点仅 3.57 MiB，CPU 单样本推理延迟 28.20 ms，说明其可在无 GPU 的普通服务器上完成高吞吐批量筛查。作者将 Name2Pkg 定位为大规模安全系统中的高效预过滤信号，用于在昂贵深度检测之前削减候选样本量。其局限在于仅凭命名一致性无法覆盖命名规范的恶意应用，且不同语言、地区、第三方品牌命名习惯可能影响阈值校准，需要结合后续深度分析形成多级流水线。

该论文研究的是基于控制流图（CFG）的图神经网络（GNN）恶意软件检测器在时间分布偏移下的泛化能力与可解释性稳定性。作者指出，现有工作普遍在一个单一时间窗内采集的语料上做随机划分（random split）评估，训练集与测试集来自同一时期，因此无法回答一个关键问题：模型对晚于训练期出现的样本是否仍然有效。为此，论文设计了严格的时间切分（strict temporal split）协议——所有模型只在较早时期的数据上训练，并且只在更晚时期的数据上评分一次，不做任何调参回看。 数据方面，作者从 1,989 个 Windows 可执行文件（PE）中静态提取控制流图，每个节点携带 37 维特征，构成两个语料：训练语料来自 2024—2025 年，含 459 张图；评测语料来自 2026 年，含 223 张图。在早期语料上共训练了 12 种 GNN 变体，以及一个不使用图拓扑、仅看节点特征的“扁平特征”对照模型（flat-feature control）。 主要发现有四条：（1）消息传递算子（message-passing operator）的选择会显著改变模型对分布偏移的鲁棒性，所有在多重比较校正后仍然显著的成对差异，都指向“聚合型架构”与“基于学习式注意力读出（attentional readout）的架构”之间的分野；（2）模型排序发生反转——扁平对照模型在同分布（in-distribution）测试中表现最好，却在跨时间边界时跌至最差之列，这意味着常规随机划分基准很可能会错误地否决消息传递机制的价值；（3）重校准（recalibration）与集成（ensembling）都无法替代算子选择本身；（4）归因（attribution）位置本身没有明显漂移，但解释的有效性是架构相关的，且在晚期语料上最准确的算子反而最难解释，即准确性与可解释性之间存在张力。最后，作者基于该发现推导出一种新架构，无需搜索即可达到与最优搜索算子相当的性能。作者强调，这种偏移对恶意与良性两类样本同样生效，因此结论应被理解为“对分布偏移的鲁棒性”问题，而非“恶意软件演化”问题。适合从事恶意软件检测、图机器学习鲁棒性评估与模型可解释性研究的读者。

该论文研究的是 Android 恶意软件家族分类模型在真实训练数据条件下的鲁棒性问题。作者指出现有机器学习方法虽在基准数据集上准确率很高，但落地时面临两大障碍：其一，Android 生态中广泛使用的代码混淆会严重干扰自动化标注流程，导致训练集中混入大量噪声标签；其二，家族样本分布天然高度不均衡，头部家族样本充裕而尾部家族样本稀少，使模型在长尾家族上表现很差。已有工作通常只单独处理标签噪声或类别不均衡，忽视了二者的耦合效应——在类别不均衡条件下，少数类中难以学习的样本会显著削弱现有噪声标签纠错机制的效果。为此，论文提出鲁棒分类框架 RoMaC，核心设计包括：采用自训练（self-training）策略对噪声标签进行纠正；在此基础上区分对待头部家族与尾部家族样本，从而抑制类别不均衡对噪声鲁棒学习的负面影响；并进一步将类别重加权机制与多模型集成学习结合，同时提升分类精度与抗噪能力。实验在两个公开数据集合并构建的数据集上进行，当 30% 样本被混淆时，RoMaC 取得整体 Macro-F1 0.803、准确率 0.871，尾部类 Macro-F1 0.672、准确率 0.784；在不同混淆场景与噪声水平下，相较已有方法提升 6% 至 20%。论文面向的研究问题、方法与评测口径，适合恶意软件检测、威胁情报建模及安全机器学习方向的研究者与工程团队阅读。

该论文提出名为 Delphi Scanner 的 Windows PE 文件静态恶意软件检测系统，核心目标是同时兼顾三方面诉求：检测有效性、计算效率与分析可解释性。作者指出，传统静态检测常在三者之间取舍——基于特征签名的方法高效但难以泛化，端到端深度学习模型准确率较高但算力开销大且判定过程近似黑盒，难以向分析师解释"为什么这是恶意文件"。Delphi Scanner 的设计思路是将"判定"与"解释"解耦：分类侧使用卷积神经网络（CNN）对 Windows API 调用序列建模，把 PE 文件的 API 序列视为一种类似文本的序列结构，通过卷积核捕获局部调用模式与组合特征，最终输出该样本是否恶意的分类结果；解释侧则是一个独立的、基于规则的解释层，将底层 API 归类映射到高层恶意能力（如持久化、进程注入、凭据窃取等语义类别），使分析人员能够看到模型判定背后对应的行为语义，而无需深入模型内部权重。作者在超过 19 万个 Windows PE 文件上进行了评估，取得 95.35% 的分类准确率，模型体积仅约 1.53 MB，说明其可在本地部署场景下低开销运行。鲁棒性方面，作者使用三类额外数据与测试进行验证：来自 MalwareBazaar 的 5,647 个分布外样本、成对提供的加壳与脱壳可执行文件，以及三种对抗性操纵策略。实验结果表明系统在训练分布之外仍具备泛化能力，并对保持功能不变的规避技术（如加壳、等价改写等）具有较好的抵抗性。论文结论认为，基于 API 序列的静态分析为本地化恶意软件初筛（triage）提供了一条实用、可解释且高效的路径，适合作为安全运营中大规模样本快速分诊的前置过滤环节。

工业界的 Windows 恶意软件检测系统通常被描述为由多种异构组件构成的复合 AI 系统，其中包括基于规则的检测机制以及基于机器学习的静态与动态分析模块。然而，由于工业界保密和公开信息有限，这些系统的内部架构往往只能被推测，导致难以对其检测准确率、计算开销和对抗鲁棒性进行系统性评估。相比之下，学术研究提供了可重复、透明的评估方法，却通常只针对孤立的检测组件进行考察，与真实复杂系统存在较大差距。为弥合这一鸿沟，本文受先进工业级 Windows 恶意软件检测架构的启发，提出了一种新的评估方法，用于显式平衡检测性能、计算需求与鲁棒性之间的权衡，并引入了系统级威胁模型，以刻画攻击者如何利用不同程度的知识来逃避整个复合 AI 系统，而非仅绕过单个检测器。基于真实数据的实验表明，复合 AI 系统的训练时间可被缩短、响应能力得以提升，而检测性能仅出现微弱损失。利用所提出的威胁建模，研究者发现知识越丰富的攻击者能够构造出更有效的对抗样本，这些样本会揭示系统的优势与弱点、降低其响应速度，并暴露出效率与鲁棒性之间的直接权衡。最后，作者将这些权衡转化为可执行的结论与部署指南，以帮助安全从业者根据自身的运维约束选择最合适的检测系统。本文的核心贡献在于提出了一个能够同时兼顾性能、效率与安全性的系统级评估框架，为学术研究与工业实践之间的鸿沟提供了连接桥梁。

本文研究网络流量中的恶意软件检测问题。当前基于机器学习特别是神经网络的方法虽然高效，但存在两个结构性缺陷：其一，模型纯粹由数据驱动，忽略了网络安全领域已有的战术、技术与过程（TTP）知识库，导致模型无法将检测到的恶意行为与具体攻击手法关联；其二，即便部分模型尝试利用TTP信息，仍只能粗粒度地判断‘是否恶意’，而无法准确指出哪一个或哪些TTP被恶意使用，解释性和可操作性不足。针对上述问题，作者提出一种新的检测范式：首先为每个训练样本显式标注其使用的TTP集合，然后将这些TTP信息作为辅助特征输入神经网络；同时，训练目标不再仅输出整体恶意标签，而是要求模型逐TTP判断‘该TTP是否被恶意利用’，从而实现细粒度的恶意行为识别。实验部分与三种基线模型进行比较：一种完全不使用TTP信息，一种输入TTP但只做整体恶意分类，另一种既不输入也不输出TTP细节。在多个公共流量数据集上的结果显示，所提方法在整体检测精度上一致超过基线，尤其在恶意软件使用罕见TTP时优势显著，因为传统模型难以从有限的训练频率中学习此类模式。此外，该方法支持按TTP维度进行模型调优，即可针对某类关键攻击手法动态调整判决权重，进一步提升恶意TTP识别能力。研究还表明，该方法在训练数据不足或面对对抗样本扰动时仍保持较优的鲁棒性，明显优于对照组。本文的贡献在于系统性地将领域知识（TTP）嵌入神经网络训练的全过程，并推动恶意软件检测从黑盒整体判断走向可解释、可细粒度归因的白色判断，为后续融入安全运营工作流提供了理论依据和实验基础。适合对安全机器学习、入侵检测和可解释AI感兴趣的蓝队研究人员或安全工程师阅读。

恶意软件检测技术通过对恶意软件语义进行深度分析获得了巨大成功。在已有检测技术中，基于函数调用图（FCG）的方法因为能直观刻画恶意软件的功能特性而表现出良好的检测性能。与此同时，近年来的对抗性攻击研究不仅通过只扰动特征向量来迷惑分类器（即特征空间攻击），也开始注重如何生成真实可逃避检测的恶意样本（即问题空间攻击）。然而，现有的问题空间攻击往往存在特征空间与问题空间之间转化不一致的缺陷，即修改后的特征表示无法在真实程序结构中同步得到合理对应，导致攻击效果受限。针对该问题，本篇论文（标题为“Structural Attack against Graph Based Android Malware Detection”）提出了一种针对基于图的Android恶意软件检测的结构性攻击思路，核心思想可能在函数调用图等图结构层面引入可控扰动，使图结构的改变与恶意功能的保持保持一致，从而生成能够绕过基于图神经网络的检测器的恶意样本。但需要说明，由于本信息仅来源于论文摘要，摘要中并未给出具体的攻击实现细节、防御对策或实验数据，因此上述关于“提出方法”的表述是基于标题与问题背景的合理推断。读者若需掌握具体技术路线，应进一步阅读论文全文。

论文《PhantomCall: Evading ML Malware Detectors via Function Call Graph Perturbation》研究了面向Windows PE恶意软件机器学习检测器的对抗攻击。现有攻击通常针对原始字节、PE头或函数内部控制流图（CFG），但尚未将函数调用图（FCG）作为攻击面。FCG是图基恶意软件检测器的重要特征。作者提出PhantomCall，这是一种黑盒攻击方法，通过向目标调用点注入完全可执行的虚拟函数来扰动FCG，从而在CFG与FCG中新增节点和边，同时保持程序语义。该方法结合了分类器引导搜索和可调节的注入参数，能够应对三种架构迥异的分类器。实验基于2025年收集的Windows恶意软件语料库，针对MalConv（原始字节CNN）、MalGraph（图基GNN）以及SAFE+GNN（在2024年语料库上从头训练的纯FCG GNN）进行评估，并在两种FPR阈值下测试。结果显示，最佳PhantomCall变体在所有配置下的攻击成功率达85%至100%，在MalGraph上比此前最优方法最多高出14.78个百分点，在SAFE+GNN上最多高出95.5个百分点，同时平均生成逃逸变体的速度比此前方法快达2.9倍。对于MalConv和MalGraph，大多数逃逸仅需修改单个调用点；此外，在全部配置中，86%至97%的评估逃逸变体在基于沙箱的语义测试中保留了原始恶意行为。该研究首次系统地证明了FCG扰动可作为一种高效的对抗攻击表面，对依赖图神经网络的恶意软件检测器构成显著威胁。

该论文提出了一种名为 Mal-LLM 的恶意源代码检测框架，旨在应对软件供应链中嵌入恶意代码的安全挑战。现有检测方法包括基于签名、行为分析和传统机器学习模型，但这些方法普遍缺乏结果的可解释性，难以向安全分析人员清晰解释为何某段代码被判为恶意。Mal-LLM 结合了传统机器学习模型的成本优势和大型语言模型（LLM）的语义理解与可解释性。其工作流程分为两个阶段：首先，传统机器学习模型对软件供应链中海量的源代码进行初步筛选，快速缩小可疑范围；然后，LLM 利用定制化的提示模板（包含角色扮演和思维链技术）对筛选出的可疑代码进行深入分析与解释，生成人类可读的判定理由。论文通过大量实验验证了框架的可行性，重点考察了LLM在框架中输出的模糊性与冗余性、'经验'和'恶意'等提示词对判定结果的影响，并探讨了从企业视角降低LLM使用成本的策略。该研究为恶意代码检测提供了兼顾效率与可解释性的新思路，适合安全研究人员、SOC分析师以及软件供应链安全工程师阅读。

该论文针对基于机器学习的恶意软件检测器在实际对抗环境中的鲁棒性评估问题展开研究。现有对抗攻击研究通常假设攻击者能够访问训练数据、特征空间或置信度分数等特权信息，这与真实世界的攻击者能力不符。为此，作者提出了一个名为 Replicant 的深度强化学习框架，用于在严格的标签-only 黑盒威胁模型下学习恶意软件逃避检测的策略。Replicant 能够学习一种可复用的策略，指导如何修改恶意软件样本以及何时向目标检测器发起查询，并且该策略可以跨样本、跨检测器、跨特征空间迁移。实验在七个 Android 恶意软件检测器和三个特征空间上进行，结果显示 Replicant 在攻击成功率和查询效率上均优于现有方法，平均攻击成功率达到 78.8%，相对提升幅度为 20.9% 到 39.2%。此外，将 Replicant 用于对抗训练时，能够产生具有更强泛化鲁棒性的检测器，优于当前最先进的对抗训练方法。论文的核心贡献在于证明了学习逃避任务不仅能带来更强的攻击性能，更重要的是能为加固恶意软件检测器提供更好的信号。该研究适合机器学习安全、对抗样本、恶意软件检测以及蓝队防御策略研究人员阅读。

本文提出了一种名为 Moirae 的多模态智能体协作框架，用于动态 Android 恶意软件检测。针对现有机器学习检测器容易受到概念漂移影响的问题（因为依赖随时间变化的实现特定特征），以及当前基于大语言模型（LLM）的检测器通常仅依赖代码或单维度证据、易受混淆和难以全面分析行为的问题，Moirae 通过动态收集多模态运行时证据，并采用基于 ReAct 的专门智能体来分析视觉、UI 状态转换及运行时 API 行为等互补视图。检测流程首先识别视觉欺骗线索，然后建模 UI 状态转换，最后集成运行时 API 行为，从而融合用户可见界面和隐藏后端操作的多维度证据。在时间和分布上不可见的数据集上，Moirae 无需微调即可达到 90.06% 的准确率，优于现有基线，并展现出卓越的零样本泛化能力，能够有效抵御 Android 恶意软件概念漂移。该研究为结合多模态行为分析和智能体协作的移动安全检测提供了新思路。

本文针对恶意流量识别中模型需要不断适应新型恶意软件变体、但传统重新训练成本高昂且易发生灾难性遗忘的问题，研究了小样本类增量学习（FSCIL）这一特定设置。在该设置下，模型需要在仅拥有少量标注样本的情况下学习新增的恶意软件类别，同时不遗忘已学知识。作者提出了一种混合框架：首先使用基于恶意流量数据包的领域特定预训练来初始化自监督学习（SSL）骨干网络；在基础会话训练阶段，通过低秩适配（LoRA）模块在冻结骨干网络的同时高效调整模型，从而保持已学表征的稳定性；对于后续的增量会话，则采用基于原型的分类头，从少量样本中构建稳健的决策边界。实验在多个数据集上进行，结果表明该方法在多个恶意软件FSCIL基线任务上均取得最优性能，达到了当前最先进水平。本文的核心贡献在于将FSCIL引入恶意软件分类场景，并验证了SSL预训练、LoRA参数高效微调与原型分类相结合的可行性，为持续学习型入侵检测系统提供了新思路。适合关注机器学习安全、持续学习与恶意流量检测的研究人员和蓝队工程师阅读。

YARA规则易于分发，但用于验证正匹配的恶意软件样本却难以共享，给存储、持续集成、灾难恢复演练和可复现的扫描器验证带来麻烦。构造替代固定件（fixture）并不仅仅是嵌入字面量：YARA条件可能组合多种结构，如备选分支、计数、偏移、整数读取以及可执行容器约束，同时生成的文件不应再现恶意行为。正向验证是存在性的：只需要一个属于规则匹配集的文件，而非重建原始样本。为此，论文提出Aray，一个确定性优先的YARA解释器与正固定件合成器。其核心思想是：模型（可能为大语言模型）仅允许提出建设性的规范化或类型化提取回退，绝不接触后端代码或二进制结构；常规代码负责验证规范化后的规则、推导字符串和整数见证、执行提取、路由、碰撞检查的布局，并进行ELF、PE或通用序列化。仅残余的规范化语义到达一个有界的模型评判器。作者在416条公共规则条目上评估Aray：无模型辅助时规范化接受182条，经模型规范化后接受234条；可构造性预检接纳406条，所有被接纳的固定件均匹配其上游原始规则。总体成功率为406/416（97.6%），而在可构造规则中为406/406，存在十个预期的预检处置，没有扫描器不匹配或构建失败。一个不可达端点证实实现过程中模型调用次数为零。原始规则预言机依据源规则验证生成的固定件；对所有可能文件证明蕴含关系是一个更独立的强目标。两次锚定正则表达式的失败在最终运行前已被修复，因此这些是修复后系统的结果，而非预留样本的估计。该工作为YARA规则验证提供了自动化、可扩展的良性样本生成路径。

传统的恶意软件检测系统通常依赖单一的样本表示（即模态），难以有效识别新型威胁，且某些模态提取过程依赖反汇编成功率，导致模型在多变样本上的判别能力不足。已有工作尝试融合多种模态或增强表示，但多为双模态或改进单个表示。为此，本文提出 Malformer，一个四模态 Windows 可执行文件恶意软件检测模型，融合了文本（原始字节/符号等）、图像（二进制可视化）、图（控制流等）和音频（指令音频化）四种表示。模型架构采用两个 RoBERTa 编码器处理文本类模态，一个修改后的 Vision Transformer 处理图像数据，WavLM 处理音频数据，并通过自适应损失加权机制有效融合各模态的特征表示，避免手工调参。在包含 201,549 个二进制样本的数据集上评估，Malformer 实现了 98.3% 的准确率和 0.9833 的 F1 分数，相比单模态基线和双模态检测器分别提升了 4.6 至 17.6 个百分点。实验表明，多模态融合能够显著增强 Windows 恶意软件检测的泛化能力和鲁棒性，为应对日益增长的恶意软件规模提供了有前景的检测框架。该工作适用于安全研究人员、检测工程人员及对机器学习与恶意软件分析交叉领域感兴趣的读者。

本文研究针对静态恶意软件检测器的黑盒对抗攻击问题。近年来，基于机器学习和深度学习的静态恶意软件检测器在识别未知恶意软件变体方面表现出色，因此被广泛采用以降低动态分析和人工签名识别的成本。然而，研究表明这类检测器容易受到对抗性恶意软件攻击的影响，即攻击者巧妙地修改已知恶意软件可执行文件，使其被误判为良性文件。现有的大多数对抗性恶意软件样本生成（AMG）方法依赖于检测器的架构或参数等先验知识，这在实践中通常不可获得；此外，这些方法大多局限于追加式修改，即仅向文件末尾追加内容而不改变原始内容，限制了攻击的灵活性和有效性。针对这些局限，本文提出了一种基于强化学习的新方法AMG-VAC，将变分Actor-Critic（VAC）算法扩展到非连续动作空间，以处理恶意软件修改中固有的离散操作。作者在两个知名的基于机器学习的恶意软件检测器上评估了该方法的逃逸性能，实验结果表明，AMG-VAC在统计显著意义上优于现有的非强化学习和基于强化学习的AMG方法。此外，生成的对抗性动作序列有助于揭示检测器存在的漏洞，为改进检测器的鲁棒性提供了方向。本文的研究贡献在于提出了一种无需内部知识即可生成对抗样本的黑盒方法，并展示了强化学习在离散动作空间中解决该问题的有效性，适合对对抗性机器学习、恶意软件检测和强化学习应用感兴趣的研究人员阅读。

该研究专注于恶意软件检测领域中的二进制到图像转换技术，并引入可解释人工智能（XAI）工具来提升模型的可解释性。作者使用 Gradient-weighted Class Activation Maps (Grad-CAM) 作为解释工具，分析了由恶意软件样本生成的八种不同图像表示类型。研究目标包括：通过定量指标评估 Grad-CAM 热图的忠实度（faithfulness）和稳定性（stability），并将其与另一种解释方法 HiResCAM 进行对比；同时验证 Grad-CAM 特征能否用于恶意软件分类。实验表明，利用 MobileNetV2 卷积神经网络从 Grad-CAM 图像中提取特征，再使用随机森林分类器，可以在包含 17 个恶意软件家族的数据集上达到 0.777 的测试准确率，超过了该数据集之前 0.750 的基准结果。此外，研究还发现一个关键现象：在所选用的八种图像变换中，分类准确率与解释的忠实度并不一致，即能够产生最忠实解释的图像变换方法，其分类准确率仅处于中等水平。这一发现对恶意软件检测模型的设计与评估具有重要意义，提示在追求高准确率的同时需要兼顾可解释性。该工作为后续将 XAI 引入恶意软件分析提供了定量分析和实证基础。

随着智能设备（如智能手机和平板电脑）的普及，移动应用生态蓬勃发展，但恶意软件也日益猖獗。尽管官方应用商店要求应用在上架前通过恶意软件筛查，许多恶意应用仍能通过隐藏复杂变种绕过检测，且其恶意行为往往仅在运行时触发，传统的静态分析难以识别，导致恶意软件可能在安装后才被察觉，进而对用户和设备造成不可逆的损害。针对这一问题，本文提出了一种名为 ShielDroid 的实时 Android 恶意软件检测框架，采用混合动态分析技术，通过分析应用运行时的行为来准确识别和分类复杂恶意软件。研究流程包括：首先对收集的数据集进行预处理和过滤，然后使用多种机器学习算法对应用进行分类，并对不同分类技术在检测准确率和执行时间方面进行了综合性能评估。实验结果表明，将随机森林（Random Forest）与多层感知机（Multilayer Perceptron）结合的混合模型取得了最佳综合性能，准确率达到 97.5%，执行时间为 22.945 秒。该框架能够提升移动设备安全防护能力，通过及时检测恶意应用降低网络攻击风险。本文的主要贡献在于提出了一个结合传统机器学习与深度学习的混合动态检测方案，并在实际数据集上验证了其有效性，为移动端恶意软件检测提供了新的思路。适合移动安全研究人员、SOC 分析师及移动应用安全工程师阅读。

随着开源软件（OSS）的广泛采用，恶意代码投毒攻击已成为针对公共包注册表和开源平台的重要安全威胁。攻击者通过向合法仓库中注入恶意代码，可在下游用户不知情的情况下窃取数据、植入后门或破坏供应链。现有的恶意代码检测方法主要分为基于启发式规则、基于机器学习以及基于大语言模型（LLM）三类，但普遍存在语言特定设计、跨语言泛化能力差、分析成本高昂等问题，难以适应大规模多语言仓库的检测需求。为应对上述挑战，本文提出 MalTotal，一个可扩展、具备成本效益且语言无关的恶意代码投毒检测框架。MalTotal 的核心方法包括：利用 LLM 辅助语义推理识别代码中的敏感 API，通过混合语义切片（hybrid semantic slicing）技术对代码进行细粒度分析，并结合重构恶意行为上下文（reconstruct malicious behavior contexts）来判定代码是否具有恶意意图，同时显著降低分析开销。作者在 5 种主流编程语言的多组数据集上进行了评估，结果表明 MalTotal 平均 F1 分数达到 93.1%，优于 8 个现有基线方法；其混合切片技术减少了 94.0% 的 LLM token 消耗，将针对 2168 个仓库的分析成本从 86.25 美元降至 5.19 美元。此外，作者对 120K 个 GitHub 仓库（包含超过 730 万个文件）进行了大规模扫描，以总计 338 美元的成本发现了 564 个此前未知的恶意仓库，证明了该方法在真实场景中的有效性、可扩展性和成本可控性。该研究对于增强开源供应链安全防护、推动大语言模型在恶意代码检测领域的落地具有重要参考价值，适合安全研究员、SOC 分析师以及开源社区维护者阅读。

该论文针对传统基于签名的防病毒软件难以检测新型恶意软件的问题，提出了一种基于机器学习（ML）的恶意软件检测框架。研究选取了基准恶意软件数据集，对多种主流的分类算法——包括人工神经网络（ANN）、支持向量机（SVM）、XGBoost和Extra Trees分类器——进行了系统的评估与比较。实验结果显示，XGBoost表现最优，达到了98.62%的准确率，显著优于其他模型。为了验证方法的实际可应用性，作者还利用Flask框架开发了一个实时的客户端-服务器恶意软件检测系统，能够对可执行文件进行恶意或良性的高效分类。研究结论表明，先进的机器学习技术能够有效提升恶意软件检测能力，为构建智能、可扩展的网络安全解决方案提供了有力支持。本文适合对基于ML的恶意软件检测方法感兴趣的研究人员、安全工程师和SOC分析人员阅读，有助于了解不同算法的性能对比及实际部署方案。

本文研究基于硬件性能计数器（HPC）的恶意软件检测方法。HPC 是处理器运行时采集的低层微架构活动数据，可反映应用行为。传统杀毒软件依赖特征匹配，难以应对未知威胁；硬件辅助检测作为补充，可增强系统安全。然而，HPC 检测面临挑战：处理器每个时钟周期最多只能同时测量 2 到 8 个性能事件，而完整刻画应用行为通常需要更多事件，导致检测效率低下。为此，作者提出利用集成学习技术优化 HPC 选择与分类器组合，以较少的 HPC 数量达到甚至超过传统多 HPC 方案的检测性能。实验基于 18 种机器学习模型和两种集成学习方法，构建了共 144 种配置。结果表明，采用集成学习仅用 2 个 HPC 即可比使用 8 个 HPC 的标准分类器提升最多 10% 的检测性能；同时，仅需 4 个 HPC 就能匹配使用 16 个 HPC 的标准 ML 检测器性能，从而大幅降低硬件测量开销，使运行时恶意软件检测成为可能。该研究为高效、低开销的硬件级恶意软件检测提供了新思路，并验证了集成学习在减少性能事件数量方面的有效性。

本文研究的是生产环境中的恶意软件检测系统在面对可迁移对抗性攻击时的鲁棒性。随着深度学习模型被广泛集成到大型生产系统中，其个体缺陷可能被利用，进而引发系统层面的安全漏洞。作者以 Gmail 的恶意软件检测流水线为案例，该流水线依赖一个名为 Magika 的机器学习模型来识别文件类型，并据此将潜在恶意软件路由至不同的专用检测器以提升准确率和性能。Magika 已开源，使得攻击者可以针对其构造对抗样本：通过仅修改恶意软件样本中的 13 个字节，作者在 90% 的情况下成功欺骗 Magika，导致恶意软件被错误路由至不匹配的检测器，从而绕过 Gmail 的检测机制。随后，作者提出了相应的防御策略，使得在防御后的生产模型中，即使是资源充足的攻击者也需要 50 字节才能达到仅 20% 的攻击成功率。该防御已与 Google 工程师合作部署至 Gmail 分类器的生产环境中。本文的核心贡献包括：揭示生产系统中 ML 组件的脆弱性传导机制、提出具体可操作的对抗样本构造方法（但摘要未提供技术细节）、设计并部署了有效的缓解措施。适合安全研究员、ML 系统开发者以及关注对抗鲁棒性的安全工程师阅读。

随着组织数字化转型的深入，网络安全风险日益突出，恶意软件已成为一种普遍且破坏性极强的威胁。现有基于字节的机器学习检测方法虽然广泛应用，但容易受到攻击者通过操纵原始字节实施规避行为的影响。相比之下，基于图的方法通过将软件表示为捕获执行行为的程序图，受此类操控影响较小，但现有图方法未能显式识别共同实现有意义程序行为的基本块聚簇，也未能学习足够具有表达力的程序图表示以实现精确检测。针对上述问题，本文提出 MalGuard——一种面向组织恶意软件风险管理的图基恶意软件检测方法。MalGuard 包含两项方法论创新：一是操作角色识别方法，将基本块的凝聚组识别为操作角色，使检测器能够捕获从孤立基本块中不可见的程序行为；二是程序图表示学习方法，通过建模操作角色之间的交互来学习富有表达力的程序图表示，保留稀疏的恶意信号并捕获层次化图结构。大量实验表明，MalGuard 在检测性能上优于现有方法，并降低了未检出恶意软件带来的预期成本。本文属于信息系统（IS）领域的恶意软件检测研究，适合关注图神经网络与恶意软件检测交叉方向的研究人员、安全分析师以及负责组织风险管理的从业者阅读。

该论文指出现有基于AI的Windows恶意软件检测器缺乏系统性的评估方法，导致无法确定哪种模型适合实际部署。现有评估存在四个主要缺陷：1）训练和测试数据不统一；2）未考虑时间维度，无法检验模型随时间推移的性能衰减；3）缺少对抗攻击下的安全性评估，尤其是内容注入攻击；4）忽略计算开销，可能导致终端上推理速度缓慢。为弥补这些不足，作者提出了EXE-Bench，一个综合性的基准测试框架。EXE-Bench从性能、时间鲁棒性、对抗鲁棒性和计算开销四个维度评估检测器，并将这些指标聚合为单一分数，从而实现模型间的直接公平比较。通过实验，论文强调仅仅在部署后进行性能评估是不够的，无法全面反映模型表现。关键发现是：基于特征工程注入领域知识的传统方法（如手工特征）在抵抗时间变化和对抗攻击方面依然极其有效，而大多数深度神经网络仅在部署初期表现优异，长期和对抗环境下性能下降严重。该研究为安全社区选择实际可用的AI恶意软件检测器提供了重要参考。

该论文针对Android恶意软件检测问题，指出现有方法基于表面信号（如学习特征或代码片段）进行检测，容易产生误报和漏报，因为偏离代理信号并不等同于恶意。作者提出行为导向的检测方法，并实现系统Praxis。Praxis采用假设-确认-判断流水线：首先从粗粒度静态信号假设候选行为，然后通过程序分析验证代码证据来确认行为，最后在上下文中判断确认的行为是否真正恶意（考虑用户意识、应用功能上下文以及它们如何组合成攻击）。对于恶意应用，Praxis返回判决和支持的行为。实验在三个挑战性场景下与七种基线方法对比，整体F1达到87.4%，比基线提高18.6-34.8个百分点；在高权限良性应用上，误报率降至13.0%，比基线降低41.1-67.0个百分点；在细粒度恶意行为恢复上，F1达到87.3%，比先前行为级方法提高56.5-73.4个百分点。消融实验证明各阶段均有贡献。

开源软件易受针对传递依赖的供应链攻击，尤其恶意代码注入NPM包。现有检测器常存在以下不足：对混淆行为的建模不充分，忽视JavaScript的面向对象特性，静态与动态分析协调不佳，以及行为抽象过程中丢失语义信息。为此，本文提出ProfMalPlus，一种恶意NPM包检测器，它将对象敏感行为图与基于LLM的注释代码切片协同推理相结合。该方法首先识别安装命令和入口文件，然后构建捕获敏感API、第三方调用和未解析调用的行为图。从这些图中提取安全相关的代码切片，并添加内联静态分析证据。本地评判Agent独立评估每个切片，通过自一致性机制合并重复判断以降低LLM方差；全局评判Agent综合所有报告形成条目级判定。对于未确定案例，路由器选择第三方增强（添加注册表派生的模块和方法语义）或动态增强（在沙箱中执行包以解析运行时依赖行为）。增强后的证据被反馈用于重新评估。最后，定位Agent报告恶意代码片段及解释。ProfMalPlus在F1分数上达到98.1%，比现有最先进检测器高出3.5%至52.6%，并发现了597个先前未知的恶意包，这些包均已被确认并从NPM移除。该研究对防御供应链攻击具有重要参考价值。

本文研究了大语言模型（LLM）内部如何识别恶意代码的机制。尽管LLM在代码补全、漏洞检测等软件工程任务中表现优异，但其识别恶意或漏洞代码的内部工作机制仍不透明。作者采用机械可解释性方法，对三个指令微调的LLM（Llama3.1-8B-Instruct、Mistral-v0.3-7B-Instruct和Qwen2.5-7B-Instruct）进行了分析，利用PyPI Malregistry中的1500个恶意包和1500个良性包进行探测。实验首先通过线性探针定位前馈网络（FFN）中与恶意代码检测相关的神经元，然后通过因果干预（放大或抑制这些神经元）验证其作用。结果表明，放大促进恶意检测的神经元并抑制抑制性神经元可以提高分类准确率，而反向操作则会导致预测向单一类别崩溃，但该效果强烈依赖于具体模型。不同模型的护栏检测机制存在差异，其恶意代码检测行为在FFN层中的编码方式各不相同。该研究揭示了LLM编码恶意编程概念的方式，为神经元层级编辑、选择性遗忘和安全对齐等更可靠的防御机制奠定了基础。适合对LLM安全、可解释性和代码安全感兴趣的研究者阅读。

本文提出了一种新颖的恶意软件二进制文件到图像的转换技术HilEnT，旨在解决传统基于签名的检测方法难以应对未知或变种恶意软件的问题。该方法首先将恶意软件二进制文件通过希尔伯特曲线进行空间填充变换，保留二进制数据的局部相关性；同时结合恶意文件与良性及恶意类别之间的熵特征比较，生成三幅灰度图像。这三幅灰度图像随后被组合成一幅三通道彩色图像，作为机器学习模型的输入，用于恶意软件检测。研究者在四种数据集（Dike、Michael Lester Dataset、Microsoft BIG 2015以及自收集数据集）上进行了有监督的二分类和多分类实验，验证了HilEnT的有效性。为了评估该方法在样本数量有限场景下的鲁棒性，还进行了小样本学习实验。此外，他们探索了通过HOG（方向梯度直方图）与PCA（主成分分析）结合进行特征降维，以提升时间性能。实验结果表明，HilEnT在多个数据集上取得了最先进的检测效果。本文的主要贡献在于提出了一种新的二进制到图像转换范式，融合了空间填充曲线和熵特征，为恶意软件检测提供了新的思路。适合机器学习安全、恶意软件分析方向的研究人员阅读。

该论文针对LLM编码代理（coding agent）中第三方技能（skill）带来的软件供应链攻击面展开研究。代理技能从公共市场获取，并拥有与代理相同的权限，恶意技能可能窃取凭证、泄露源代码或安装后门。现有防御主要采用基于模式匹配或LLM作为评审的静态扫描器，但论文质疑其对自适应逃逸的鲁棒性。作者首先提出SkillCloak，一个保留载荷语义的逃逸框架，通过两种互补策略：结构混淆（将可见载荷指标重写为语义等价形式）和自我提取技能打包（SFS Packing，将恶意组件隐藏于安装时视图之外，在执行时恢复）。在8个扫描器和1613个野外恶意技能上的实验表明，SFS Packing以超过90%的逃逸率绕过所有扫描器，结构混淆在大多数静态扫描器上逃逸率超过80%，在混合扫描器上达到96%，证明基于外观的审计不足。受此启发，作者提出SkillDetonate，一个行为中心的运行时审计器，在沙箱中执行技能并通过操作系统边界的信息流证据（而非安装时外观）检测恶意效果。它结合按需闭包提升（观察执行期间具体化的指令）和基于标记的污点分析（跟踪代理上下文、文件、进程和网络操作中的敏感数据流）。结果显示SkillDetonate以2%的误报率检测97%的攻击，在真实恶意技能上维持87%的检测率。该研究揭示了当前技能安全机制的脆弱性，并提供了可扩展的运行时检测方案。

该论文提出了一种名为“hamm-grams”的新型特征，用于恶意软件检测中的静态分析。传统的n-gram特征虽然被广泛使用，但存在鲁棒性不足的问题，容易因代码微小变化而失效。作者将hamm-grams定义为具有固定长度和单字符通配符的特殊正则表达式，能够在保持匹配灵活性的同时保留模式结构。核心贡献是设计了一种高效的挖掘算法，利用新的局部敏感哈希（LSH）函数，使得汉明距离较小的字节序列容易发生哈希碰撞，并在哈希桶内通过聚类确定通配符位置。该算法能够从大量可执行文件中快速找到常见的hamm-grams。实验部分在恶意软件分类和检测任务上验证了hamm-grams的优势，与传统n-gram相比，特征更具鲁棒性，分类性能得到提升。本文适合对恶意软件静态特征工程、机器学习鲁棒性感兴趣的读者。

本文关注机器学习驱动的安卓恶意软件检测器在问题空间（problem space）中的对抗性攻击。现有攻击方法存在诸多不足：大多数技术通过软件移植注入完整良性模块，引入大量副作用特征，且常导致构建失败；细粒度方法仅注入少量组件，效果有限；使用混淆的方法依赖脆弱的字节码重写，生成的APK虽然在语法上有效，但语义上不可用。此外，先前研究仅通过安装和基本执行的冒烟测试评估攻击成功率，忽略了修改后的APK是否仍保持原始功能。为解决这些问题，作者提出DROIDBREAKER框架，它是一个实用且功能完整的问题空间攻击框架，提供以下能力：(i) 仅操纵对目标模型最具影响力的APK组件，实现查询高效的白盒和黑盒攻击；(ii) 一组细粒度、构建安全（build-safe）的操作（包括注入和混淆API调用、应用模块、权限和URL），副作用最小；(iii) 语义保持的功能测试，通过比较原始APK与修改后APK的执行日志和API级轨迹来强制执行运行时等价性。在最新版安卓应用数据集上的实验表明，DROIDBREAKER在白盒和黑盒设置下均能以少量查询实现高逃避率，并显著降低VirusTotal上商业恶意软件扫描器的检测率。该工作揭示了当前安卓恶意软件检测器在面对刻意构造的对抗性样本时的脆弱性。

本文提出 LAMD（Context-Driven Android Malware Detection and Classification with LLMs），一个利用大语言模型（LLM）进行上下文驱动的安卓恶意软件检测与分类框架。针对现有检测方法难以应对演化攻击、数据集偏差和可解释性不足的问题，以及直接应用 LLM 时面临的上下文窗口限制（安卓应用包含大量支持代码，上下文超长）和结构复杂性（顺序推理难以处理代码间依赖）两大挑战，LAMD 设计了两阶段处理：首先，通过关键上下文提取（Key Context Extraction）隔离安全关键代码区域并构建程序结构；然后，采用层级代码推理（Tier-wise Code Reasoning）从低级指令到高级语义渐进分析应用行为，最终给出预测和解释。此外，框架在第一层级配备了事实验证一致性机制，以缓解 LLM 的幻觉问题。实验表明，LAMD 在真实场景中的性能优于传统检测器，为动态威胁环境下的 LLM 驱动恶意软件分析提供了可行基础。

恶意软件检测是网络安全的核心挑战之一。传统基于静态特征（如签名、熵）的方法容易受到加壳（packing）技术的干扰，而基于可视化的方法将二进制字节映射为灰度图像，利用视觉分类器进行检测，具有抗规避和无需反汇编的优势。然而，可执行文件加壳会生成高熵图像，破坏模型依赖的结构模式，且加壳在良性软件中也普遍存在（如压缩或版权保护），因此仅靠加壳状态无法可靠区分恶意性。现有方法未能在统一的监督框架下解决这一问题。为此，本文提出 ViPER（Vision-based Packing-Aware Encoder for Robust Malware Detection），一种基于视觉的、具有打包感知能力的鲁棒恶意软件检测模型。ViPER 采用 LoRA 微调的 ViT-B/14 骨干网络，并设计双头架构，同时学习恶意软件分类和打包检测任务。打包感知门控机制根据推断的打包状态调节恶意软件分类的决策边界，从而对加壳和未加壳样本采用不同的决策规则。针对训练中打包标签分布不均的问题，使用频率加权损失和联合类-打包层的分层采样。实验在 200,000 张 Windows PE 字节图图像上进行，ViPER 的平衡准确率达到 0.8521，ROC-AUC 为 0.9260，AUPR 为 0.9279，在所有主要指标上均优于现有基线，且打包检测 AUC 达到 0.9949。该研究表明，显式建模打包状态能够显著提升基于视觉的恶意软件检测的鲁棒性。

本文针对AI驱动的恶意软件检测器面临的多种挑战（包括投毒攻击、逃避攻击和概念漂移）提出了一种统一的解决方案。作者指出这些挑战的一个根本原因是数据稀疏性，即某些特征值在数据集中出现的频率极低。为解决稀疏性问题，论文设计了新的压缩技术来缓解稀疏性，并提出了一种密度提升训练方法来持续填充稀疏区域。该方法被应用于PE、Android和PDF恶意软件数据集（如EMBER、SOREL-20M、DREBIN和Contagio）进行实验。结果表明，该方法不仅增强了模型对抗各种攻击的鲁棒性，还提升了检测性能和时间可持续性。例如，在EMBER数据集上，后门攻击成功率从99.99%降至23.71%，F1分数从99.301%升至99.488%；在SOREL-20M数据集上，可持续性指标AUT从92.850%提升至95.135%。该方法与现有防御技术互补，并在多个数据集上验证了其一致性。

本文提出一个名为FDM（决策框架）的框架，用于构建基于机器学习的恶意软件检测系统。选择机器学习配置是一个多准则优化问题，需要考虑模型选择、特征工程、更新机制等多种因素，且不同部署场景的约束各异。FDM通过加权配置兼容性得分（WCCS）将五个操作参数（平台约束、资源预算、响应延迟、更新频率、检测灵敏度）映射到九个配置维度的排序推荐，从而形式化选择过程。为了验证框架，作者在三个数据集上进行了四个实验：私有Windows API数据集、公开Malimg图像基准和Android静态API数据集。关键结果包括：(i) 在二分类中，XGBoost实现了最佳准确率与资源比（测试准确率97.46%，内存<70MB），优于LSTM/BiLSTM（消耗高达2.8GB）；(ii) 多分类中，经典模型（XGBoost 79.03%）优于循环深度模型（BiLSTM 72.27%），与二分类结果相反；(iii) 使用EfficientNetB0的类增量学习在11个增量步骤中保持了99.13%的准确率，仅下降0.65个百分点；(iv) 迁移学习使图像型恶意软件数据训练时间平均减少2.14倍，且准确率无显著损失；(v) 自编码器预处理实现了14倍的训练加速，仅损失0.86个百分点的准确率。这些发现证实最佳ML配置依赖于上下文，验证了FDM的核心前提，并展示了其对安全从业者的实用价值。

恶意软件检测是网络安全领域的关键挑战，因为恶意软件具有复杂结构和行为。现有的检测方法中，通过函数调用图（FCG）分析恶意软件的结构和行为模式是一种可靠的方法，但缺乏足够大且高质量的数据集来支撑对众多恶意软件家族的有效分类。本文提出了AMD-FCG，一个增强的函数调用图数据集，其中集成了恶意软件的拓扑特征。该数据集包含多种恶意软件样本和良性应用程序的FCG，旨在为安全专业人员提供无需动态分析和大量预处理的高效检测流程。AMD-FCG框架简化了工作流程，可支持开发和部署更创新、高效的恶意软件检测系统。实验部分（根据摘要推断）可能验证了数据集在分类准确性和鲁棒性上的优势。该研究贡献了一个标准化基准数据集，有助于推动基于图的恶意软件检测研究。

恶意软件检测目前仍然主要依赖于被动反应：机器学习模型在已知样本上训练，但随着威胁演化，模型性能会下降。理解恶意软件家族之间的进化关系可以促进主动防御，但传统的逆向工程可能需要数月甚至数年才能揭示这种谱系关系。本文提出 MalTree 框架，该框架受生物信息学启发，大规模应用系统发育技术（UPGMA 和 Neighbor-Joining），利用结构、行为和图像特征自动建模恶意软件进化。作者引入了基于 VirusTotal 时间戳的时间验证，以评估推断出的进化树是否反映真实的出现顺序。MalTree 达到了 87% 的时间一致性，表明推断的进化关系与真实世界的时间线高度吻合。分析显示，某些家族的变异速度比其他家族快 10 倍以上，这表明检测策略应根据家族特定的进化速度进行定制。案例研究（包括 Mirai 僵尸网络）证实，从系统发育树推断出的关系与已有威胁情报记录一致。该框架为将恶意软件分析从基于样本的分类转向谱系感知的进化建模奠定了基础。

该论文提出了一种从设计上保护隐私的Android恶意软件检测流水线。现有检测方法普遍需要收集设备标识符、网络痕迹、运行时数据等敏感用户信息，尽管后续可采用匿名化、加密或联邦学习等技术保护隐私，但仍然要求用户高度信任拥有特权访问权限的系统。作者认为，这种信任依赖应该被消除而非管理。论文首先形式化了一套隐私设计（privacy-by-design）的检测需求，然后逐一实现。流水线首先执行静态分析，从APK中提取特征（遵循Drebin表示），经向量化后送入SVM分类器。分类器配备双拒绝阈值规则：若置信度足够则直接输出决策，否则将样本推迟到沙箱环境的动态分析阶段。这样，真实的用户信息永远不会进入分析循环。实验使用2024至2025年的时间序列分割数据集，结果表明：仅靠第一阶段静态分析即可达到0.87的F1分数，仅6.7%的测试样本需要进入第二阶段的动态分析。动态沙箱分析在不提取任何敏感数据的情况下，也能高置信度地识别恶意软件。这些结果证明，在不牺牲用户隐私的前提下，可以实现强劲的检测性能。该研究适合关注隐私保护、移动安全、以及对抗隐私与性能权衡的安全研究人员阅读。

尽管 macOS 在个人用户和企业系统中的普及度日益增长，但恶意软件研究长期聚焦于 Windows 和 Android，针对 macOS 的检测工作相对不足。操作系统自身的特异性以及 Mach-O 文件格式的独特结构，在未知样本分类中可发挥关键作用。本文首次在文献中提出利用 macOS 二进制文件的领域特定静态特征——包括嵌入式证书、权限（entitlements）、持久化技术及关键系统 API——来训练机器学习恶意软件检测器。研究者构建了一个包含 41,129 个样本（11,413 良性、29,716 恶意）的新数据集，并通过综合实验证明，所提方案达到了 98.50% 的检测率，平均比现有最优方法提升 16%，且经过特征重要性分析确认领域特定特征贡献显著。为进一步评估检测器的时间泛化能力，研究者使用 9,000 个全新 macOS 可执行文件进行真实环境测试，结果显示检测率高达 99.50%，相比当前最优方法提升 50%；当移除领域特定特征时，检测性能下降 15.92%，证实了这些特征对泛化到新型恶意样本至关重要。最后，作者将数据集公开给研究社区。该工作为 macOS 恶意软件检测提供了全新的特征视角，对安全社区具有重要参考价值。

该论文针对基于机器学习的恶意软件检测器因概念漂移（即良性软件和恶意软件随时间演变导致检测模型过时）而性能下降的问题，提出了一种名为 SEED 的半监督持续恶意软件检测方法。现有方法（如使用层次对比损失 HCL 结合主动学习）依赖大量标注数据，但在安全领域获取标注数据困难且成本高昂。当仅有部分标注数据时，HCL 在检测未知恶意软件时性能显著下降，尤其是在缺乏强语义结构的 BODMAS 数据集上。SEED 通过结合定制的二元交叉熵目标、半监督持续学习和主动学习，在有限监督下实现有效检测。对于部分标注的已知任务，利用奇异值分解从先前数据构建表示空间，将未标注样本投影到该空间并与合适标注样本配对，以鼓励表示一致性。对于完全无标注的未知任务，在表示空间中利用余弦距离量化不确定性，选择最不确定的样本供分析师标注。在 Windows（BODMAS）和 Android（AndroZoo、APIGraph）数据集上的实验表明，仅使用20%的标注数据，SEED 在未知恶意软件检测的平均AUT（AUC曲线下面积随时间变化）相比半监督HCL*提高了40%（BODMAS）和14%（AndroZoo），在APIGraph上也具有竞争力。此外，SEED 引入延迟缓冲区更新策略以减少重放过程中的标签噪声传播，提高学习稳定性。该研究适合网络安全研究人员、恶意软件检测工程师以及关注持续学习和半监督学习在安全领域应用的从业者阅读。

本文研究了在时间概念漂移背景下，Android恶意软件检测模型的对抗鲁棒性如何随时间演变。研究团队收集了跨越十多年的Android应用数据集，从模拟器和真实设备执行中提取静态和动态特征表示，并将数据按年份切片。他们设计了三种部署协议模拟真实世界的学习场景：(1) 同年训练和测试；(2) 跨年部署但不更新模型；(3) 扩展窗口重训练，利用累积的历史数据。在多种分类器家族上，使用FGSM和SPSA在可行性约束下生成对抗样本。实验测量了干净性能、对抗准确率（AA）、攻击成功率（ASR），并引入了三个时间链接指标——RobustDrop、ΔASR和对抗放大因子（AAF）——来量化分布偏移与鲁棒性退化之间的关系。结果表明，时间分离会降低基于特征迁移的对抗鲁棒性。随着训练-测试时间差距增大，干净准确率和对抗准确率均下降，而攻击成功率在某些配置下（特别是FGSM扰动和静态特征下）增加。扩展窗口重训练可以缓解但不能完全消除在持续分布演化下的鲁棒性损失。这些发现表明，在评估智能检测系统在演化数据分布下的长期鲁棒性时，应考虑时间漂移，并突出了在长期对抗环境中建立漂移感知鲁棒性评估框架的必要性。

本文研究了针对现代恶意软件检测管道的灰盒投毒攻击模型。现代检测系统通常依赖持续数据摄入和机器学习来应对大量新型威胁。作者利用secml_malware框架，通过功能保留的操纵（具体为导入地址表IAT和节注入）生成问题空间对抗性二进制样本。他们评估了这些投毒样本被摄入到基于LightGBM的恶意软件检测模型训练集时的影响。实验结果表明，基于IAT的微妙扰动能够生成紧凑的投毒样本，显著降低检测召回率。这些发现揭示了在连续学习系统中开发低可视性对抗扰动同时保持高投毒效能的固有挑战。此外，作者评估了一种基于同质集成的防御机制，该机制能够成功识别并过滤高达95.6%的投毒尝试，同时保持对合法数据的高保留率。该工作强调了在生产管道中进行鲁棒的摄入前验证的必要性。本文适合安全工程师、对抗性机器学习研究人员以及恶意软件检测系统的开发人员阅读。

本文针对基于机器学习的Android恶意软件检测（AMD）方法，提出了一种名为AdvDroidZero的高效查询式攻击框架。当前对该类方法的对抗样本攻击大多依赖较强假设，如攻击者知晓特征空间、模型参数或训练数据集等知识，这在现实攻击场景中往往不成立。AdvDroidZero在零知识设置下运作，即攻击者无需提前了解目标模型的内部细节，仅通过黑盒查询即可生成对抗样本。该框架通过设计高效的查询策略和针对性扰动生成方法，显著降低了攻击所需的查询次数，同时保持了高攻击成功率。在多个主流基于机器学习的AMD方法（包括最新技术）以及真实世界反病毒产品上的广泛评估表明，AdvDroidZero能够有效规避检测，揭示了当前检测方法的脆弱性。论文分析了攻击成本与效果，并讨论了可能的防御方向。本研究对安全社区理解对抗性机器学习威胁具有重要意义，尤其针对移动安全领域的现实攻击场景。

eDySec 是一个基于深度学习的动态行为分析框架，旨在检测 PyPI 生态系统中的恶意包。随着下一代软件供应链攻击（如多阶段恶意软件执行、远程访问激活和动态载荷生成）的兴起，传统机器学习检测器因动态行为数据的高维稀疏性（包括系统调用、网络流量、目录访问模式和依赖日志）而性能下降、稳定性差且缺乏可解释性。本文利用 QUT-DV25 数据集（捕获包安装时和安装后行为）评估多种深度学习模型，并研究特征集以识别最具判别力的属性。框架整合了模型稳定性分析和可解释 AI 技术，提供稳定的透明决策。实验结果表明，eDySec 显著优于现有方法：将特征维度减半，误报率降低 82%，漏报率降低 79%，准确率提升 3%，并达到近乎完美的稳定性，每个包推理延迟仅 170 毫秒。研究还发现特征与模型选择至关重要，某些组合会降低性能。该工作深化了对动态分析应对下一代攻击的优势与局限的理解。

提出一种使用决策树规则集的结构化方法，通过特征重要性、预测一致性等指标量化恶意软件分类中的概念漂移，并在EMBER2024数据集上验证了固定两月窗口和特征级Pearson相关的有效性。