该论文面向 Web 应用安全中的 HTTP 请求异常检测问题。作者指出，传统 Web 应用防火墙（WAF）主要依赖人工规则，存在误报率高、对新型攻击与业务变化适应性差的问题；已有研究尝试用机器学习与词嵌入模型改善检测效果，但不同嵌入模型之间的可比性不足，缺少统一、可复现的评测基准。为此，论文构建了一个针对静态嵌入模型的对比评测基准，覆盖 Word2Vec、FastText 与 Doc2Vec 三种表示方法，并提出 HEDA（HTTP Embedding-Based Detection Architecture）——一个模块化的检测流水线，将静态嵌入表示与单类（single-class / one-class）异常检测器结合，在请求粒度上判定异常。整个方法运行于无监督设定下：嵌入模型与检测器均只用良性 HTTP 流量训练，不依赖攻击样本标注，从而更贴近真实部署中攻击样本稀缺的现实。评测在三个特征异构的数据集上进行，既包含合成流量也包含真实流量，以检验方法的泛化能力。实验结果显示：嵌入表示的选择对检测性能影响显著；基于 FastText 的嵌入在全部数据集上表现最为稳定，能够在保持较低误报率的同时取得较高检测率。论文的贡献可归纳为三点：一是提供可比较的静态嵌入模型基准；二是提出模块化、可替换组件的 HEDA 检测架构；三是通过跨数据集实验给出嵌入选型的经验性结论，为后续把嵌入方法落地到 WAF 或 API 网关场景提供参考。该工作适合 Web 安全、异常检测与 ML-for-Security 方向的研究者及希望改进 WAF 检测策略的安全工程师阅读。

该论文针对 Android 恶意软件大规模筛查场景中「特征提取成本过高」这一瓶颈提出了一种轻量级方案 Name2Pkg。传统深度学习检测方法普遍依赖 APK 内部特征（如权限、API 调用、字节码、资源文件）或运行时行为序列，这些特征虽然判别力强，但解析与特征工程开销大，难以在应用商店上架审核、批量爬取样本初筛等超大规模、低时延的前置环节部署。作者的观察是：正常应用在命名上通常保持一致性——用户可见的应用名（app name）与包名（package name）往往存在语义、拼写或品牌上的对应关系；而恶意样本为规避检测、仿冒品牌或快速批量生成，常在两者之间呈现弱对应甚至明显不一致。基于此，论文将恶意软件筛查形式化为序列异常检测问题，仅使用应用名与包名两个极易获取的字段。方法上采用字符级 sequence-to-sequence 模型，建模「给定应用名条件下包名的条件似然」，并以长度归一化后的负对数似然作为异常分数；关键在于该模型属于 one-class 设定，仅使用良性样本进行训练并校准判定阈值，不依赖任何恶意样本标注，这大幅降低了数据获取与标注成本，也使模型对新型恶意家族具备一定泛化性。实验在 67,129 个真实世界应用的数据集上进行，在留出测试集上取得 ROC-AUC 0.982、恶意软件召回率 0.885（对应实际误报率 0.044）。工程指标方面，模型检查点仅 3.57 MiB，CPU 单样本推理延迟 28.20 ms，说明其可在无 GPU 的普通服务器上完成高吞吐批量筛查。作者将 Name2Pkg 定位为大规模安全系统中的高效预过滤信号，用于在昂贵深度检测之前削减候选样本量。其局限在于仅凭命名一致性无法覆盖命名规范的恶意应用，且不同语言、地区、第三方品牌命名习惯可能影响阈值校准，需要结合后续深度分析形成多级流水线。