该论文针对勒索软件检测中的一个核心难题展开研究。现代勒索软件为提高隐蔽性，会把一次加密活动拆散到多个临时文件和中间文件上，例如先写入临时副本、再重命名、替换原文件、最后清理痕迹。这样一来，把各个 I/O 事件串联成完整加密意图的语义上下文就被打散了。论文指出，这恰好击中了现有两大类检测器的软肋：基于模式匹配的方法依赖固定的事件顺序，一旦序列被拆散就不再匹配；基于学习的方法则需要跨大量文件累积统计证据才能作出判断，检测必然滞后。为此作者提出 DEFEAT 框架。其核心思想是把因果相关的文件事件重新聚合成“文件事件小工具”（File Event Gadgets，FEG）——一种语义自洽的单元，能够完整刻画跨多个动态创建文件的文件操作序列背后的整体意图。论文特别强调 FEG 与传统溯源图（provenance graph，记录全系统进程、文件、套接字、注册表等实体间关系的系统级因果图）不同：FEG 只限定在单个用户资产的文件操作上下文内，因此无需全系统插桩，分析轻量而聚焦。在建模上，每个 FEG 被表示为带属性的控制流图（ACFG），再通过图神经网络嵌入，用无监督聚类把行为相似的样本归为一簇，使分析师只需对整簇打标签，而无需逐个样本标注，论文称标注工作量因此降低 94%。实验部分在覆盖 67 个勒索软件家族、共计 97,816,471 条文件 I/O 事件的语料上评估，DEFEAT 取得 99.2% 的检测准确率，相比 UNVEIL、RWGuard 和 Peeler 等最先进方法提升 6.57 至 7.56 个百分点。更关键的是检测粒度：由于每个 ACFG 恰好对应一个 FEG（即一个用户资产上下文），只要第一个文件操作完成即可赋予簇标签，从而在第一个文件被加密时就发出告警，把检测窗口大幅前移。该工作适合从事终端检测与响应、勒索软件防御、图学习安全应用研究的工程师与研究者阅读。