该论文提出名为 Delphi Scanner 的 Windows PE 文件静态恶意软件检测系统，核心目标是同时兼顾三方面诉求：检测有效性、计算效率与分析可解释性。作者指出，传统静态检测常在三者之间取舍——基于特征签名的方法高效但难以泛化，端到端深度学习模型准确率较高但算力开销大且判定过程近似黑盒，难以向分析师解释"为什么这是恶意文件"。Delphi Scanner 的设计思路是将"判定"与"解释"解耦：分类侧使用卷积神经网络（CNN）对 Windows API 调用序列建模，把 PE 文件的 API 序列视为一种类似文本的序列结构，通过卷积核捕获局部调用模式与组合特征，最终输出该样本是否恶意的分类结果；解释侧则是一个独立的、基于规则的解释层，将底层 API 归类映射到高层恶意能力（如持久化、进程注入、凭据窃取等语义类别），使分析人员能够看到模型判定背后对应的行为语义，而无需深入模型内部权重。作者在超过 19 万个 Windows PE 文件上进行了评估，取得 95.35% 的分类准确率，模型体积仅约 1.53 MB，说明其可在本地部署场景下低开销运行。鲁棒性方面，作者使用三类额外数据与测试进行验证：来自 MalwareBazaar 的 5,647 个分布外样本、成对提供的加壳与脱壳可执行文件，以及三种对抗性操纵策略。实验结果表明系统在训练分布之外仍具备泛化能力，并对保持功能不变的规避技术（如加壳、等价改写等）具有较好的抵抗性。论文结论认为，基于 API 序列的静态分析为本地化恶意软件初筛（triage）提供了一条实用、可解释且高效的路径，适合作为安全运营中大规模样本快速分诊的前置过滤环节。