本文关注 SaaS 行业中日益增长但单次事件发生频率极低的『产品滥用』(product abuse) 问题。作者指出，高水平威胁行为者有两类滥用形态：一是在客户环境内部滥用厂商提供的安全平台能力（即把安全产品本身当作攻击工具），二是针对安全产品自身进行绕过实验。为规避容易被检测的恶意软件，攻击者大量采用 living-off-the-land (LOTL) 手法，借助环境中已有的合法工具与正常用户行为混同，使传统基于恶意文件特征的检测失效。这给防御方带来三重挑战：(1) 数据层面需要跨多种类型数据库采集多种模态 (multi-modal) 的遥测，单点日志不足以刻画滥用意图；(2) 这类精密且危险的事件本身极为稀有，带来典型的冷启动 (cold-start) 与极端类别不平衡问题；(3) 系统必须满足真实生产部署约束，包括成本、性能延迟、用户体验与告警疲劳等工程限制，而非仅在离线数据集上追求指标。为此，作者给出了据称是该方向首个『全系统』(whole-system) 防御研究，并且特别强调这是一套已经部署、处于实际运营状态的防护能力，而非纯实验室原型。实验结果显示：产品滥用行为的覆盖能力提升 35%，月度告警量下降 30%，同时系统能够适应攻击者行为的变化（说明具备一定的漂移适应能力）。论文还回顾了为满足运营需求而在系统设计中所做的各项取舍，并对可解释特征的实际价值以及反事实 (counterfactual) 分析在已确认识别的历史攻击上的表现进行了回溯性评估。适合关注 SaaS 安全运营、内部威胁与 LOTL 检测、以及机器学习检测系统落地工程的读者。