StratDef: Strategic Defense Against Adversarial Attacks in ML-based Malware Detection
King’s College London（伦敦国王学院）
提出基于移动目标防御的 StratDef 系统，通过动态策略化选择模型降低攻击可迁移性，并在多威胁级别下证明其优于现有恶意软件检测防御。
2023-04-24 cs.CR cs.LG
Intelligent Systems Design for Malware Classification Under Adversarial Conditions
U.S. Military Academy（美国军事学院）
使用机器学习和智能系统已成为恶意软件检测和网络威胁预防领域的既定做法。在以广泛的可访问性和大数据为特征的环境中，在不使用基于人工智能的技术的情况下进行恶意软件分类的可行性已经呈指数级下降。对抗性机器学习的威胁也是当前自动化智能恶意软件检测领域的特征。攻击者正在寻找负责恶意软件分类功能的底层数据和/或算法，以映射其行为或破坏其功能。这些对手的目的是绕过网络安全措施并提高恶意软件的有效性。本研究的重点是设计一个智能系统的方法，使用机器学习，可以准确和鲁棒地分类恶意软件在对抗条件下。这样的结果最终依赖于增加的灵活性和适应性，以建立一个足够强大的模型来识别对底层算法的攻击。
2019-07-06 cs.CR cs.LG stat.ML
Defending Malware Classification Networks Against Adversarial Perturbations with Non-Negative Weight Restrictions
Google（谷歌）
越来越多的文献表明，深度神经网络容易受到对抗性输入修改的影响。最近，这项工作已经从图像分类扩展到布尔特征上的恶意软件分类。在本文中，我们提出了几种在这个特定领域训练受限网络的新方法，这些方法在防止对抗性扰动方面非常有效。我们从一个完全抗对抗的神经网络开始，它具有严格的非负权重限制，相当于学习单调布尔函数，然后尝试放松约束以提高分类器的准确性。
2018-06-23 cs.CR cs.LG stat.ML
Towards Deep Federated Defenses Against Malware in Cloud Ecosystems
Stanford University（斯坦福大学）；IBM Thomas J. Watson Research Center（IBM托马斯·J·沃森研究中心）
在具有许多虚拟机、容器和其他系统的云计算环境中，恶意软件的流行可能对业务流程具有高度威胁。在这篇愿景论文中，我们介绍了一种分层方法，使用机器学习在图形、超图和自然语言方面的几项最新进展来执行恶意软件检测和分析。我们分析单个系统及其日志，使用注意力序列模型检查和理解它们的行为。给定每个系统的日志使用这个过程的特征表示，我们构建了一个属性网络的云系统和其他组件作为顶点，并提出了一个分析的恶意软件与归纳图和超图学习模型。在此基础上，我们考虑多云案例，其中具有不同隐私要求的多个云合作对抗恶意软件的传播，建议使用联邦学习来执行推理和训练，同时保护隐私。最后，我们讨论了几个开放的问题，仍然在保护云计算环境免受恶意软件相关的设计强大的生态系统，识别响应策略的云特定的优化问题，恶意软件遏制和根除的行动空间，并在这一领域的机器学习模型开发先验和迁移学习任务。
2019-12-27 cs.CR cs.DC cs.LG
MalProtect: Stateful Defense Against Adversarial Query Attacks in ML-based Malware Detection
King’s College London（伦敦国王学院）；Universitat Politècnica de València（瓦伦西亚理工大学）
本文提出MalProtect，一种针对恶意软件检测领域对抗性查询攻击的有状态防御方法，通过多威胁指标检测攻击，将Android和Windows恶意软件的规避率降低80+%，优于现有防御。
2023-06-30 cs.CR cs.LG
A Lightweight Moving Target Defense Framework for Multi-purpose Malware Affecting IoT Devices
University of Zurich（苏黎世大学）；University of Murcia（穆尔西亚大学）；armasuisse Science & Technology（瑞士联邦国防采购局科学与技术部）
针对IoT设备易受多用途恶意软件攻击且现有MTD方案不足的问题，提出四种改变设备网络、数据和运行时环境的MTD机制及轻量级IoT导向MTD框架，并在真实场景中验证了其效率和有效性。
2022-10-14 cs.CR cs.LG
PAD: Towards Principled Adversarial Malware Detection Against Evasion Attacks
Nanjing University of Posts and Telecommunications（南京邮电大学）；Nanjing Institute of Technology（南京工程学院）；University of Colorado Colorado Springs（科罗拉多大学斯普林斯分校）
本文提出PAD对抗训练框架，通过可学习凸度量量化分布级离散扰动并提供收敛保证，在两个Android恶意软件数据集上显著提升防御效果，抵御27种规避攻击时检测准确率超83.45%，无攻击时准确率下降小于2.16%。
2023-04-06 cs.CR cs.LG stat.ML
HashTran-DNN: A Framework for Enhancing Robustness of Deep Neural Networks against Adversarial Malware Samples
Nanjing University of Science and Technology（南京理工大学）；Florida International University（佛罗里达国际大学）；Nanjing University of Posts and Telecommunications（南京邮电大学）；University of Texas at San Antonio（德克萨斯大学圣安东尼奥分校）
在图像处理和相关应用的背景下的对抗性机器学习已经受到了大量的关注。然而，对抗性机器学习，特别是对抗性深度学习，在恶意软件检测的背景下，尽管其明显的重要性，但受到的关注要少得多。在本文中，我们提出了一个用于增强深度神经网络（DNN）对对抗性恶意软件样本的鲁棒性的框架，称为哈希变换深度神经网络（HashTran-DNN）。其核心思想是使用具有一定局部保持特性的哈希函数来转换样本，以增强DNN在恶意软件分类中的鲁棒性。该框架进一步使用去噪自动编码器（DAE）正则化器来重建样本的哈希表示，使生成的DNN分类器能够获得潜在空间中的位置信息。我们用HashTran-DNN框架的两个具体实例来对Android恶意软件进行分类。实验结果表明，四种已知的攻击可以使标准DNN在分类Android恶意软件时变得无用，已知的防御最多可以防御四种攻击中的三种，而HashTran-DNN可以有效地防御所有四种攻击。
2018-09-18 cs.CR cs.LG stat.ML
A Comparison of State-of-the-Art Techniques for Generating Adversarial Malware Binaries
U.S. Naval Research Laboratory（美国海军研究实验室）；George mason university（乔治梅森大学）
我们考虑由网络攻击者生成对抗性恶意软件的问题，其中攻击者的任务是策略性地修改现有二进制恶意软件文件内的某些字节，使得修改后的文件能够逃避恶意软件检测器，例如基于机器学习的恶意软件分类器。我们已经评估了三种最近的对抗性恶意软件生成技术，这些技术使用从单个公开可用的恶意软件数据集中提取的二进制恶意软件样本，并比较了它们逃避基于机器学习的恶意软件分类器MalConv的性能。我们的研究结果表明，在比较的技术，最有效的技术是一个战略性地修改字节在二进制文件的头部。最后，我们讨论了关于对抗性恶意软件生成的经验教训和未来的研究方向。
2021-11-22 cs.CR cs.LG
Exploring Adversarial Examples in Malware Detection
University of Maryland, College Park（马里兰大学帕克分校）；FireEye, Inc.（火眼公司）
卷积神经网络（CNN）架构正越来越多地应用于新的领域，例如恶意软件检测，其中它能够从可执行文件中提取的原始字节中学习恶意行为。这些架构达到了令人印象深刻的性能，没有涉及功能工程的努力，但他们对主动攻击者的鲁棒性还有待了解。这样的恶意软件检测器可能会面临一个新的攻击向量，其形式是对分类模型的对抗性干扰。现有的规避攻击，旨在造成错误分类的测试时的实例，这已被广泛研究的图像分类器，是不适用的，因为输入语义，防止任意更改的二进制文件。本文探讨了恶意软件检测的对抗性示例领域。通过在生产规模数据集上训练现有模型，我们发现以前的一些攻击不如最初报告的有效，同时突出了有助于恶意软件分类的新攻击策略的架构弱点。最后，我们探讨了如何推广不同的攻击策略，权衡时，旨在提高其有效性，以及单步攻击的可转移性。
2019-04-13 cs.CR cs.LG stat.ML
Generating Adversarial Malware Examples for Black-Box Attacks Based on GAN
Peking University（北京大学）
近年来，机器学习已被用于检测新的恶意软件，而恶意软件作者具有攻击此类算法的强烈动机。恶意软件作者通常无法访问恶意软件检测系统使用的机器学习模型的详细结构和参数，因此他们只能执行黑盒攻击。本文提出了一种基于生成对抗网络（GAN）的算法MalGAN来生成对抗恶意软件示例，该示例能够绕过基于黑盒机器学习的检测模型。MalGAN使用替代检测器来适应黑盒恶意软件检测系统。生成网络被训练以最小化由替代检测器预测的生成的对抗性示例的恶意概率。与传统的基于梯度的对抗性示例生成算法相比，MalGAN的优势在于，MalGAN能够将检测率降低到几乎为零，并且使基于再训练的对抗性示例防御方法难以工作。
2017-02-20 cs.CR cs.LG
Multi-view Representation Learning from Malware to Defend Against Adversarial Variants
University of Arizona（亚利桑那大学）；University of South Florida（南佛罗里达大学）；University of Georgia（佐治亚大学）
基于深度学习的对抗性恶意软件检测器在检测从未见过的恶意软件可执行文件方面取得了可喜的成果，而无需依赖昂贵的动态行为分析和沙箱。尽管这些检测器具有这些能力，但已被证明容易受到对抗性恶意软件变体的攻击-这些变体是由机器学习生成的原始恶意软件可执行文件的精心修改的功能保留版本。由于这些对抗性修改的性质，这些对抗性方法通常使用恶意软件可执行文件的\textit{single view}（即，二进制/十六进制视图）以生成对抗性恶意软件变体。这为防守者提供了一个机会（即，恶意软件检测器）通过利用恶意软件文件的多于一个视图来检测对抗性变体（例如，除了二进制视图之外，还有源代码视图）。这个想法背后的基本原理是，虽然对手专注于二进制视图，但源代码视图中恶意软件文件的某些特征仍然未被触及，这导致检测到对抗性恶意软件变体。为了利用这个机会，我们提出了对抗性鲁棒多视图恶意软件防御（ARMD），这是一种新型的多视图学习框架，用于提高基于DL的恶意软件检测器对对抗性变体的鲁棒性。我们在三个著名的基于开源深度学习的恶意软件检测器上进行的实验表明，ARMD能够将这些恶意软件检测器的对抗鲁棒性提高多达七倍。
2022-10-25 cs.AI cs.CR cs.LG
Generative Adversarial Networks and Image-Based Malware Classification
San Jose State University（圣何塞州立大学）
为了有效地删除恶意软件、确定恶意软件威胁级别和估计损害，恶意软件家族分类起着至关重要的作用。在本文中，我们从恶意软件可执行文件中提取特征，并使用各种方法将它们表示为图像。然后，我们专注于生成对抗网络（GAN）的多类分类，并将我们的GAN结果与其他流行的机器学习技术进行比较，包括支持向量机（SVM），XGBoost和限制玻尔兹曼机（RBM）。我们发现，AC-GAN神经网络通常与其他机器学习技术竞争。我们还评估了GAN生成模型对基于图像的恶意软件检测的对抗攻击的效用。虽然AC-GAN生成的图像在视觉上令人印象深刻，但我们发现，使用几种学习技术中的任何一种，它们都可以很容易地与真实的恶意软件图像区分开来。这一结果表明，我们的GAN生成的图像在对抗攻击中几乎没有价值。
2022-06-08 cs.CR cs.LG
A survey on practical adversarial examples for malware classifiers
Rensselaer Polytechnic Institute（伦斯勒理工学院）
基于机器学习的解决方案在解决处理大量数据的问题方面非常有帮助，例如恶意软件检测和分类。然而，深度神经网络被发现容易受到对抗性示例的影响，或者输入被故意扰动以导致不正确的标签。研究人员已经证明，这个漏洞可以被利用来创建规避恶意软件样本。然而，许多提出的攻击不生成可执行文件，而是生成特征向量。为了充分理解对抗性示例对恶意软件检测的影响，我们回顾了针对恶意软件分类器的实际攻击，这些分类器生成可执行的对抗性恶意软件示例。我们还讨论了目前在这一领域的研究，以及改进和未来的研究方向的建议面临的挑战。
2020-11-06 cs.CR cs.LG
DRLDO: A novel DRL based De-ObfuscationSystem for Defense against Metamorphic Malware
Microsoft（微软）；BITS Pilani（比尔拉科学技术学院皮拉尼分校）
在本文中，我们提出了一种新的机制，规范化变形和混淆的恶意软件在操作码级别，从而创建一个先进的变形恶意软件去混淆和防御系统。我们将这个系统命名为DRLDO，即基于深度强化学习的去混淆器。通过将DRLDO作为子组件包含在内，现有的入侵检测系统可以增强防御能力，以抵御来自现有恶意软件的混淆和变形变体的“零日”攻击。这一点变得越来越重要，不仅是因为迄今为止还没有系统使用高级DRL来智能地、自动地规范化模糊处理，甚至到操作码级别，而且还因为DRLDO系统不强制对现有IDS进行任何更改。DRLDO系统甚至不要求IDS的分类器使用包含模糊样本的任何新数据集进行重新训练。因此，DRLDO可以很容易地改造到任何现有的IDS部署中。我们设计、开发并在系统上进行了实验，以评估该系统是否能够抵御来自包含多代恶意软件的标准化数据集的恶意软件样本所生成的混淆的多个同时攻击。实验结果证明，DRLDO能够成功地使恶意软件的其他不可检测的混淆变体通过现有的预训练的恶意软件分类器检测到。检测概率被提高到远高于临界值的0.6，以使分类器明确地检测混淆的恶意软件。此外，DRLDO生成的去混淆变体与基础恶意软件实现了非常高的相关性（0.99）。这一观察结果验证了DRLDO系统实际上正在学习去混淆，而不是利用一个微不足道的技巧。
2021-02-01 cs.AI cs.CR cs.LG
Building an Adversarial Malware Dataset by Family and Type: Generation, Evasion, and Poisoning Evaluation
Department of Information Security, Faculty of Information Technology, Czech Technical University in Prague（信息安全系，信息技术学院，布拉格捷克技术大学）
基于RawMal-TF真实恶意软件数据集，使用对抗性生成器构建家族和类型标记的对抗性PE文件，评估逃避率和投毒攻击影响。
2026-05-25 cs.CR cs.LG
Practical Attacks on Machine Learning: A Case Study on Adversarial Windows Malware
University of Cagliari（卡利亚里大学）；Pluribus One（Pluribus One公司）；University of Genova（热那亚大学）
虽然机器学习容易受到对抗性示例的影响，但它仍然缺乏系统的程序和工具来评估其在不同应用环境中的安全性。在本文中，我们将讨论如何使用实际攻击开发机器学习的自动化和可扩展的安全评估，并报告Windows恶意软件检测的用例。
2022-07-12 cs.CR cs.LG
Defending against Adversarial Malware Attacks on ML-based Android Malware Detection Systems
Zhejiang University（浙江大学）；University College London（伦敦大学学院）
本文提出ADD框架，一种插件式防御方案，用于增强基于机器学习的Android恶意软件检测系统对问题空间对抗性攻击的鲁棒性，实验证明其有效且能提升现实防病毒软件的防御能力。
2025-01-23 cs.AI cs.CR cs.LG
Generation & Evaluation of Adversarial Examples for Malware Obfuscation
Rensselaer Polytechnic Institute（伦斯勒理工学院）；Amazon Alexa（亚马逊Alexa）
人们对应用卷积神经网络进行基于图像的恶意软件分类的兴趣越来越大，但神经网络对对抗性示例的敏感性允许恶意行为者逃避分类器。对抗性示例通常通过向人类无法识别的输入添加小扰动来生成，但同样的方法对恶意软件无效。一般来说，这些扰动会导致字节序列的变化，从而改变初始功能或导致不可执行的二进制文件。我们提出了一个使用混淆的可执行对抗性恶意软件示例的生成模型，该模型在白盒和黑盒设置中分别实现了高达100%和98%的错误分类率，并展示了可转移性。我们进一步评估了所提出的方法的有效性，通过报告我们对抗性示例对流行防御策略的规避率的微小变化。
2019-10-16 cs.CR cs.LG
Binary Black-box Evasion Attacks Against Deep Learning-based Static Malware Detectors with Adversarial Byte-Level Language Model
The University of Arizona（亚利桑那大学）；Covax Data Inc.（Covax Data公司）
反恶意软件引擎是防御恶意软件的第一道防线。虽然被广泛使用，但基于功能工程的反恶意软件引擎容易受到看不见的（零日）攻击。最近，基于深度学习的静态反恶意软件检测器在识别看不见的攻击方面取得了成功，而无需特征工程和动态分析。然而，这些检测器容易受到具有轻微扰动的恶意软件变体的影响，称为对抗性示例。生成有效的对抗性示例有助于揭示此类系统的脆弱性。用于发起这种攻击的当前方法需要访问目标反恶意软件模型的规范、反恶意软件响应的置信度分数或动态恶意软件分析，这要么是不现实的要么是昂贵的。我们提出了MalRNN，这是一种基于深度学习的新方法，可以自动生成规避恶意软件变体，而无需任何这些限制。我们的方法具有对抗性示例生成过程，该过程通过生成序列到序列递归神经网络来学习语言模型以增强恶意软件二进制文件。MalRNN有效地避开了三种最近基于深度学习的恶意软件检测器，并优于当前的基准方法。讨论了将我们的MalRNN应用于具有八个恶意软件类别的真实数据集的结果。
2020-12-14 cs.CR cs.LG
Improving Robustness of Malware Classifiers using Adversarial Strings Generated from Perturbed Latent Representations
Czech Technical University in Prague（布拉格捷克理工大学）
在恶意软件行为分析中，访问和创建的文件列表通常指示所检查的文件是恶意的还是良性的。然而，恶意软件作者试图通过生成随机文件名和/或用新版本的恶意软件修改使用的文件名来避免检测。这些变化代表了现实世界的对抗性例子。这项工作的目标是生成真实的对抗性示例，并提高分类器对这些攻击的鲁棒性。我们的方法以无监督的方式学习输入字符串的潜在表示，并在潜在域中使用基于梯度的对抗攻击方法来生成输入域中的对抗示例。我们使用这些例子来提高分类器的鲁棒性，通过训练生成的对抗性字符串集。与只在扰动的潜在向量上训练的分类器相比，我们的方法产生的分类器明显更鲁棒，而不会在标准精度上有很大的权衡。
2021-10-22 cs.CR cs.LG
Mal2GCN: A Robust Malware Detection Approach Using Deep Graph Convolutional Networks With Non-Negative Weights
Sharif University of Technology（谢里夫理工大学）
随着使用深度学习（DL）解决各种问题的步伐越来越快，保护这些模型免受攻击已成为研究人员的主要关注点之一。最近的研究表明，基于DL的恶意软件检测器容易受到对抗性示例的攻击。攻击者可以创建精心制作的对抗性示例，以逃避基于DL的恶意软件检测器。在本文中，我们提出了Mal2GCN，一个强大的恶意软件检测模型，使用函数调用图（FCG）表示的可执行文件结合图卷积网络（GCN）来检测Windows恶意软件。由于可执行文件的FCG表示比原始字节序列表示更鲁棒，因此许多提出的对抗性示例生成方法在规避Mal2GCN方面是无效的。此外，我们使用非负训练方法将Mal2GCN转换为单调非减函数，从而在理论上对附加攻击具有鲁棒性。然后，我们提出了一个黑盒源代码为基础的对抗性恶意软件生成方法，可用于评估恶意软件检测模型对现实世界的对手的鲁棒性。所提出的方法将对抗代码注入恶意软件源代码的各个位置，以逃避恶意软件检测模型。实验表明，非负权值的Mal2GCN在检测Windows恶意软件时具有较高的准确率，并且对恶意软件源代码中添加良性特征的对抗攻击具有较强的鲁棒性。
2022-03-12 cs.CR cs.LG
A Framework for Enhancing Deep Neural Networks Against Adversarial Malware
Nanjing University of Science and Technology（南京理工大学）；Wuyi University（五邑大学）；Case Western Reserve University（凯斯西储大学）；University of Colorado Colorado Springs（科罗拉多大学科罗拉多斯普林斯分校）；University of Texas at San Antonio（德克萨斯大学圣安东尼奥分校）
已知基于机器学习的恶意软件检测易受对抗性规避攻击的攻击。最先进的是，没有有效的防御这些攻击。作为对麻省理工学院林肯实验室组织的对抗性恶意软件分类挑战的回应，并与AAAI-19网络安全人工智能研讨会（AICS'2019）相关联，我们提出了六个指导原则来增强深度神经网络的鲁棒性。这些原则中的一些已经分散在文献中，但其他人在本文中首次介绍。在这六个原则的指导下，我们提出了一个防御框架，以增强深度神经网络对对抗性恶意软件规避攻击的鲁棒性。通过对Drebin Android恶意软件数据集进行实验，我们表明该框架可以达到98.49\%的准确率（平均）对抗灰箱攻击，攻击者知道一些关于防御的信息，防御者知道一些关于攻击的信息，准确率为89.14%。（平均而言）对抗更有能力的白盒攻击，其中攻击者知道关于防御的一切，而防御者知道关于攻击的一些信息。该框架通过实现76.02%的准确率赢得了AICS 2019年的挑战，其中攻击者（即，挑战组织者）知道框架或防御，我们（防御者）也不知道攻击。这一差距凸显了了解攻击的重要性。
2021-01-15 cs.CR cs.LG
Adversarial Patterns: Building Robust Android Malware Classifiers
Rochester Institute of Technology（罗切斯特理工学院）
该综述针对全球应用最广的Android系统的恶意软件分类器易受对抗攻击的问题，全面梳理相关背景、攻防最新进展，给出鲁棒分类器设计指南与未来研究方向。
2024-04-12 cs.CR cs.LG
Adversarial Co-Evolution of Malware and Detection Models: A Bilevel Optimization Perspective
Faculty of Information Technology, Czech Technical University in Prague（信息技术学院，布拉格捷克技术大学）
本文提出基于双层优化的鲁棒防御框架，通过建模防御者与攻击者之间的对抗共进化过程，有效提升恶意软件检测系统的抗攻击能力，实验表明其能显著降低攻击成功率。
2026-04-24 cs.CR cs.LG
ADVERSARIALuscator: An Adversarial-DRL Based Obfuscator and Metamorphic Malware SwarmGenerator
Microsoft R&D（微软研发中心）；BITS Pilani（比尔拉理工学院皮拉尼校区）
高级变形恶意软件和勒索软件通过使用混淆，可以在每次攻击中改变其内部结构。如果这种恶意软件甚至可以入侵任何物联网网络，那么即使原始恶意软件实例被检测到，到那时它仍然可以感染整个网络。获得这种规避恶意软件的训练数据是具有挑战性的。因此，在本文中，我们提出了ADVERSARIALuscator，一个新的系统，使用专门的对抗性DRL混淆恶意软件在操作码级别，并创建多个变形的实例相同。据我们所知，ADVERSARIALuscator是有史以来第一个采用基于马尔可夫决策过程的方法来转换并找到在操作码级别创建单个混淆问题的解决方案的系统。这一点很重要，因为机器语言级别是可以保留功能的最低级别，以便有效地模拟实际攻击。ADVERSARIALuscator也是有史以来第一个使用高效连续动作控制的系统，能够进行深度强化学习代理，如网络安全领域的近端策略优化。实验结果表明，ADVERSARIALuscator可以将恶意软件语料库的变形概率提高>0.45。此外，ADVERSARIALuscator生成的变形实例中有超过33%能够避开最强大的IDS。如果这种恶意软件甚至可以入侵任何物联网网络，那么即使原始恶意软件实例被检测到，到那时它仍然可以感染整个网络。因此，ADVERSARIALuscator可以用来生成代表一群非常强大和协调的基于AI的变形恶意软件攻击的数据。如此生成的数据和模拟可用于加强IDS对高级…
2021-09-23 cs.AI cs.CR cs.LG
Generative Adversarial Networks for Malware Detection: a Survey
Massey University（梅西大学）；Central Queensland University（中央昆士兰大学）；Ajou University（亚洲大学）
自从Ian Goodfellow在2014年的论文中提出他们的建议以来，生成对抗网络领域的研究出现了爆炸式增长。虽然它们已被用于许多领域，但恶意软件研究领域是GANs扎根的问题空间。从平衡数据集到在稀有类中创建看不见的示例，GAN模型提供了广泛的应用机会。本文综述了在恶意软件问题空间中使用生成对抗网络的当前研究和文献。这样做的目的是希望读者能够全面了解生成对抗模型为该领域提供了什么，以及它在恶意软件研究中的哪些领域得到了最好的利用。它涵盖了当前的相关调查，GAN的不同类别，并给出了最近针对不同主题优化GANs的研究结果，以及未来的探索方向。
2023-02-24 cs.CR cs.LG
Do Gradient-based Explanations Tell Anything About Adversarial Robustness to Android Malware?
University of Cagliari（卡利亚里大学）；Pluribus One
虽然机器学习算法在检测Android恶意软件方面表现出了强大的能力，但它们可以通过注入一小部分虚假组件（例如，权限和系统调用，而不损害侵入功能。以前的工作表明，为了提高对这种攻击的鲁棒性，学习算法应该避免过分强调少数判别特征，而是提供依赖于大的组件子集的决策。在这项工作中，我们调查是否基于梯度的归因方法，用于解释分类器的决定，通过识别最相关的功能，可以用来帮助识别和选择更强大的算法。为此，我们建议利用两种不同的度量来表示解释的均匀性，以及一种新的紧凑的安全措施，称为对抗性鲁棒性度量。我们在两个不同的数据集和五种用于Android恶意软件检测的分类算法上进行的实验表明，解释的一致性和对抗性鲁棒性之间存在很强的联系。特别是，我们发现，流行的技术，如梯度 * 输入和集成的梯度是强烈相关的安全性时，应用于线性和非线性检测器，而更基本的解释技术，如简单的梯度不提供可靠的信息，这种分类器的鲁棒性。
2021-05-27 cs.CR cs.LG stat.ML
Jigsaw Puzzle: Selective Backdoor Attack to Subvert Malware Classifiers
University of Illinois at Urbana-Champaign（伊利诺伊大学厄巴纳-香槟分校）；King’s College London（伦敦国王学院）；University College London（伦敦大学学院）
恶意软件分类器容易受到训练时间的利用，因为需要定期使用从野外收集的样本进行重新训练。最近的工作已经证明了针对恶意软件分类器的后门攻击的可行性，但这种攻击的隐蔽性还没有得到很好的理解。在本文中，我们在清洁标签设置（即，攻击者不能完全控制训练或标记过程）。从经验上讲，我们表明，现有的后门攻击的恶意软件分类仍然是检测到最近的防御，如MNTD。为了提高隐蔽性，我们提出了一种新的攻击，拼图（JP），基于恶意软件作者几乎没有动机保护任何其他作者的恶意软件，但他们自己的关键观察。因此，Jigsaw Puzzle学习触发器以补充恶意软件作者的样本的潜在模式，并且仅当触发器和潜在模式在样本中拼凑在一起时才激活后门。我们进一步关注问题空间中可实现的触发器（例如，软件代码）使用广泛从良性软件中获取的字节码小工具。我们的评估证实，拼图是一个有效的后门，仍然隐形对国家的最先进的防御，是一个威胁，在现实的设置，远离推理功能空间只有攻击。最后，我们探索有前途的方法来提高后门防御。
2022-02-11 cs.CR cs.LG
SETTI: A Self-supervised Adversarial Malware Detection Architecture in an IoT Environment
Shiraz University of Technology（设拉子理工大学）；University of Surrey（萨里大学）
近年来，恶意软件检测已成为物联网（IoT）安全领域一个活跃的研究课题。其原理是从大量连续生成的恶意软件中利用知识。现有的算法为物联网设备实践可用的恶意软件功能，缺乏实时预测行为。因此，需要对恶意软件检测进行更多研究，以应对输入物联网数据的实时错误分类。受此启发，在本文中，我们提出了一种用于检测物联网网络中恶意软件的对抗性自监督架构SETTI，考虑可能未标记的物联网网络流量样本。在SETTI体系结构中，我们设计了三种自监督攻击技术，即Self-MDS、GSelf-MDS和ASelf-MDS。Self-MDS方法实时考虑IoT输入数据和对抗样本生成。GSelf-MDS构建了一个生成对抗网络模型，在自监督结构中生成对抗样本。最后，ASelf-MDS利用三种著名的扰动样本技术来开发对抗性恶意软件，并将其注入自监督架构。此外，我们应用防御方法来减轻这些攻击，即对抗性自我监督训练，以保护恶意软件检测架构免受恶意样本的注入。为了验证攻击和防御算法，我们在两个最近的物联网数据集上进行了实验：IoT 23和NBIoT。结果比较表明，在IoT 23数据集中，Self-MDS方法从攻击者的角度来看具有最大的破坏性后果，准确率从98%降低到74%。在NBIoT数据集中，ASelf-MDS方法是最具破坏性的算法，可以将准确率从98%降至77%。
2022-04-16 cs.CR cs.LG
A Comparison of Adversarial Learning Techniques for Malware Detection
Czech Technical University in Prague（布拉格捷克技术大学）；Faculty of Information Technology（信息技术学院）；San Jose State University（圣何塞州立大学）
本文针对恶意 Windows PE 文件，比较基于梯度、进化算法和强化学习的对抗样本生成方法，发现 Gym-malware 实用性最强且组合使用逃避率最高。
2023-08-19 cs.CR cs.LG
A Malware Classification Survey on Adversarial Attacks and Defences
该综述梳理了网络安全领域恶意软件分类方向的对抗攻击与防御研究，将方法分为四类并分析优劣，介绍了常用数据集与评估标准，指出了开放研究难点与未来方向，为相关研究者和从业者提供参考。
2023-12-15 cs.CR cs.LG
Burning the Adversarial Bridges: Robust Windows Malware Detection Against Binary-level Mutations
Meta Inc.（Meta公司）；Visa Research（Visa研究院）；University of Central Florida（中佛罗里达大学）
本研究针对现有恶意软件检测系统易受二进制级对抗变异攻击的问题，提出三种预处理步骤缩减攻击面，并设计基于图的段依赖信息提取方案，在对抗攻击下仍保持较高检测准确率。
2023-10-05 cs.CR cs.LG
Black-Box Attacks against RNN based Malware Detection Algorithms
Peking University（北京大学）
最近的研究表明，基于机器学习的恶意软件检测算法在对抗性样本的攻击下非常脆弱。这些工作主要集中在使用具有固定维度的特征的检测算法，而一些研究人员已经开始使用递归神经网络（RNN）来检测基于序列API特征的恶意软件。本文提出了一种新的算法来生成序列对抗性的例子，这是用来攻击基于RNN的恶意软件检测系统。恶意攻击者通常很难知道受害RNN的确切结构和权重。替代RNN被训练成近似受害者RNN。然后，我们提出了一个生成RNN，从原始的序列恶意软件输入中输出序列对抗性示例。实验结果表明，基于RNN的恶意软件检测算法无法检测到大多数恶意对抗样本，这意味着该模型能够有效地绕过检测算法。
2017-05-23 cs.CR cs.LG
COPYCAT: Practical Adversarial Attacks on Visualization-Based Malware Detection
University of Central Florida（中佛罗里达大学）；George Mason University（乔治梅森大学）；INHA University（仁荷大学）
尽管有许多尝试，但恶意软件检测系统上的对抗性机器学习的最新技术通常会产生不可执行的样本。在这项工作中，我们开始研究基于可视化的恶意软件检测系统对对抗性示例（AE）的鲁棒性，这些示例不仅能够欺骗模型，而且还能够保持原始输入的可执行性。因此，我们首先研究了现有的现成的对抗攻击方法在恶意软件检测系统上的应用，通过这些方法，我们发现这些方法不一定保持原始输入的功能。因此，我们提出了一种生成对抗性示例的方法COPYCAT，该方法专为恶意软件检测系统设计，考虑到两个主要目标：实现高错误分类率并保持原始输入的可执行性和功能。我们为COPYCAT设计了两个主要的配置，即AE填充和样品注入。虽然第一种配置会导致非目标误分类攻击，但样本注入配置能够迫使模型生成目标输出，这在恶意软件归因设置中是非常理想的。我们通过对两个恶意软件数据集进行广泛的实验来评估COPYCAT的性能，并报告说，我们能够生成对抗样本，这些样本分别以98.9%和96.5%的错误分类率与Windows和物联网二进制数据集一起使用，优于文献中的错误分类率。最重要的是，我们报告说，这些AE是可执行的，不像现成的方法产生的AE。我们的可移植性研究表明，通过我们提出的方法生成的AE可以推广到其他模型。
2019-09-20 cs.CR cs.LG
On the Robustness of Malware Detectors to Adversarial Samples
Macquarie University（麦考瑞大学）
本文研究对抗性恶意软件在不同检测器间的可迁移性，发现针对单一检测器的对抗二进制文件通常难以迁移，集成检测可缓解威胁，而大幅规避改动还可能暴露攻击技术。
2024-08-05 cs.CR cs.LG
Stochastic-HMDs: Adversarial Resilient Hardware Malware Detectors through Voltage Over-scaling
George Mason University（乔治梅森大学）；Dhaka University of Engineering & Technology（达卡工程技术大学）；Universite Polytechnique Hauts-De-France（上法兰西理工大学）；CNRS（法国国家科学研究中心）；IEMN（微电子与纳米技术研究所）
基于机器学习的硬件恶意软件检测器（HMD）在保护系统免受恶意软件侵害方面提供了潜在的改变游戏规则的优势。然而，HMD遭受对抗攻击，可以被有效地逆向工程并随后被规避，从而允许恶意软件隐藏而不被检测到。我们通过提出一种新的HMD（随机HMD），通过近似计算，这使得HMD的推理计算随机，从而使HMD对抗性规避攻击的弹性解决这个问题。具体来说，我们建议利用电压过缩放来诱导HMD模型中的随机计算。我们表明，这种技术使HMD对黑盒对抗攻击场景更具弹性，即，逆向工程和可转移性。我们的实验结果表明，随机HMD提供了有效的防御对抗攻击以及副产品功率节省，而不需要对硬件/软件或HMD的模型进行任何更改，即，不需要再训练或微调。此外，根据最近的结果可能近似正确（PAC）的可学习性理论，我们证明了随机HMD是可证明的更难以逆向工程。
2021-03-11 cs.CR cs.LG
TUANDROMD-X: Advanced Entropy and Visual Analytics Dataset for Enhanced Malware Detection and Classification
Department of Computer Science and Engineering, Tezpur University（计算机科学与工程系，泰浦大学）；Computer Science, College of Engineering and Applied Science, University of Colorado（计算机科学，工程与应用科学学院，科罗拉多大学）
本文提出TUANDROMD-X数据集，通过熵和可视化特征区分恶意软件与良性软件，提升恶意软件检测效率。
2026-05-07 cs.CR cs.LG
Arms Race in Adversarial Malware Detection: A Survey
University of Texas at San Antonio（德克萨斯大学圣安东尼奥分校）；Nanjing University of Science and Technology（南京理工大学）；Case Western Reserve University（凯斯西储大学）；University of Colorado Colorado Springs（科罗拉多大学科罗拉多斯普林斯分校）
恶意软件（malware）是一种主要的网络威胁，必须使用机器学习（ML）技术来解决，因为每天都有数百万个新的恶意软件示例注入网络空间。然而，ML容易受到被称为对抗性示例的攻击。在本文中，我们通过假设，攻击，防御和安全属性的统一概念框架的镜头来调查和系统化对抗性恶意软件检测（AMD）领域。这不仅使我们能够将攻击和防御映射到偏序结构，还使我们能够清楚地描述AMD背景下的攻击-防御军备竞赛。我们得出了一些见解，包括：知道防御者的特征集是成功的转移攻击的关键;实际规避攻击的有效性在很大程度上取决于攻击者在问题空间中进行操纵的自由度;知道攻击者的操纵集是防御者成功的关键;对抗训练的效果取决于防守者识别最强攻击的能力。我们还讨论了一些未来的研究方向。
2021-08-31 cs.CR cs.LG
Design of secure and robust cognitive system for malware detection
George Mason University（乔治梅森大学）
基于机器学习的恶意软件检测技术依赖于恶意软件的灰度图像，并且倾向于基于灰度图像中的纹理分布来对恶意软件进行分类。尽管机器学习技术显示出了进步和有希望的结果，但攻击者可以通过生成对抗性样本来利用漏洞。对抗样本是通过智能地制作并向输入样本添加扰动来生成的。存在大多数基于软件的对抗攻击和防御。现有的基于机器学习和灰度图像的恶意软件检测方法需要对恶意数据进行预处理，以抵御恶意攻击。这可能会导致额外的开销，并可能延长实时恶意软件检测。因此，作为替代方案，我们探索基于RRAM（电阻式随机存取存储器）的防御对手。因此，本论文的目的是解决上述关键的系统安全问题。通过展示所提出的设计安全和鲁棒的认知系统的技术来解决上述挑战。首先，提出了一种新的技术来检测隐形恶意软件。该技术使用恶意软件的二进制图像，然后从相同的提取不同的功能，然后采用不同的ML分类器的数据集，从而获得。结果表明，这种技术是成功的，在区分类的恶意软件的基础上提取的特征。其次，我展示了对抗攻击的影响，可重构的RRAM神经形态架构与不同的学习算法和设备特性。我还提出了一个集成的解决方案，用于减轻对抗攻击的影响，使用可重构RRAM架构。
2022-08-03 cs.CR cs.LG
Evaluating the Robustness of a Production Malware Detection System to Transferable Adversarial Attacks
Google Deepmind（谷歌DeepMind）；Google（谷歌）
本文以Gmail依赖Magika模型的恶意软件检测流水线为案例，研究发现仅修改13字节即可90%绕过检测，同时提出防御方案使高资源攻击者需改50字节才达20%成功率，且该方案已上线生产环境。
2025-10-02 cs.CR cs.LG
DOOM: A Novel Adversarial-DRL-Based Op-Code Level Metamorphic Malware Obfuscator for the Enhancement of IDS
BITS Pilani（比尔拉理工学院皮拉尼校区）
我们设计并开发了DOOM（Adversarial-DRL based Opcode level Obfuscator to generate Metamorphic malware），这是一种新颖的系统，使用对抗性深度强化学习在操作码级别混淆恶意软件，以增强IDS。DOOM的最终目标不是为网络攻击者提供强大的武器，而是创建针对高级零日攻击的防御机制。实验结果表明，由DOOM创建的混淆恶意软件可以有效地模仿多个同时发生的零日攻击。据我们所知，DOOM是第一个可以生成详细到个人操作码级别的混淆恶意软件的系统。DOOM也是有史以来第一个在恶意软件生成和防御领域使用基于深度强化学习的高效连续动作控制的系统。实验结果表明，超过67%的变形恶意软件生成的毁灭战士可以很容易地逃避检测，即使是最强大的IDS。这一成就获得的意义，因为这一点，即使是入侵检测系统与先进的路由子系统增加可以很容易地逃避恶意软件产生的毁灭战士。
2020-10-16 cs.AI cs.CR cs.LG
On the Effectiveness of Adversarial Samples against Ensemble Learning-based Windows PE Malware Detectors
University of Information Technology（信息技术大学）；Vietnam National University Ho Chi Minh City（胡志明市越南国家大学）
本文提出FeaGAN模型，结合GAN与深度Q网络RL模型，通过保持格式、可执行性和恶意性生成对抗样本，以提升对集成学习Windows PE恶意软件检测器的逃避能力。
2023-09-25 cs.CR cs.LG
Adversarial Attacks on Transformers-Based Malware Detectors
College of Engineering, Pune（浦那工程学院）
本文研究基于Transformer的恶意软件检测器对对抗性攻击的脆弱性，通过实施攻击获得23.9%的错误分类率，并提出防御方法将错误分类率降低一半。
2022-11-05 cs.AI cs.CR cs.LG
DRSM: De-Randomized Smoothing on Malware Classifier Providing Certified Robustness
University of Maryland - College Park（马里兰大学帕克分校）
本文提出 DRSM，通过窗口消融的去随机化平滑为恶意软件静态检测提供认证鲁棒性，并发布 PACE 良性可执行文件数据集。
2023-10-03 cs.CR cs.LG
ML-based IoT Malware Detection Under Adversarial Settings: A Systematic Evaluation
University of Central Florida（中佛罗里达大学）；Wayne State University（韦恩州立大学）；Ewha Womans University（梨花女子大学）
物联网（IoT）设备的快速增长使它们处于恶意攻击的前线。这导致了物联网恶意软件数量的爆炸式增长，并不断发生突变，进化和复杂性。这些恶意软件使用机器学习（ML）算法以及传统的基于签名的方法来检测。虽然基于ML的检测器提高了检测性能，但它们容易受到恶意软件演变和复杂性的影响，使它们仅限于它们所训练的模式。这种持续的趋势促使大量关于恶意软件分析和检测研究的文献不断涌现，许多系统不断涌现，并且表现优于其前辈。在这项工作中，我们系统地研究了最先进的恶意软件检测方法，这些方法在一系列对抗性设置下利用各种表示和学习技术。我们的分析强调了所提出的检测器在学习模式中的不稳定性，这些模式将良性软件与恶意软件区分开来。结果表明，软件突变与功能保持操作，如剥离和填充，显着恶化的准确性，这样的检测器。此外，我们对行业标准恶意软件检测器的分析显示了它们对恶意软件突变的不稳定性。
2021-08-30 cs.CR cs.LG
Evaluating the robustness of adversarial defenses in malware detection systems
Faculty of Computer Science and Engineering（计算机科学与工程学院）；Shahid Beheshti University (SBU)（沙希德·贝赫什提大学）；Tehran, Iran（伊朗德黑兰）
本文提出sigma-二进制攻击方法，揭示现有恶意软件检测防御的脆弱性，提升对抗防御的鲁棒性。
2025-12-08 cs.AI cs.CR cs.LG
Efficient Adversarial Malware Defense via Trust-Based Raw Override and Confidence-Adaptive Bit-Depth Reduction
Arizona State University（亚利桑那州立大学）
针对对抗防御计算开销过高的问题，提出结合信任原始覆盖（TRO）与置信度自适应位深缩减（CABDR）的框架，实现1.76倍计算开销（较先进方法提升2.3倍），保持91%清洁准确率并降低攻击成功率，为生产环境提供高效稳健的恶意软件防御方案。
2025-11-16 cs.CR cs.LG
IoT-based Android Malware Detection Using Graph Neural Network With Adversarial Defense
Department of Computer and Information Sciences, Northumbria University（北安普顿大学计算机与信息科学系）；School of Computing, Engineering & Digital Technologies, Teesside University（泰赛大学计算、工程与数字技术学院）
本文提出基于图神经网络的Android恶意软件检测方法，并设计VGAE-MalGAN对抗攻击算法以提升检测鲁棒性。
2025-12-23 cs.AI cs.CR cs.LG
Adversarial Samples on Android Malware Detection Systems for IoT Systems
University of Electronic and Science Technology of China（电子科技大学）；Temple University（天普大学）；University of Idaho（爱达荷大学）
许多IoT（物联网）系统运行Android系统或类Android系统。随着机器学习算法的不断发展，基于学习的物联网设备Android恶意软件检测系统逐渐增多。然而，这些基于学习的检测模型往往容易受到对抗性样本的影响。需要一个自动化测试框架来帮助这些基于学习的物联网设备恶意软件检测系统执行安全分析。目前的对抗样本生成方法大多需要模型的训练参数，且大多数方法都是针对图像数据的。为了解决这个问题，我们提出了一个\textbf{t}架构，用于基于\textbf{l}收入的\textbf{A} ndroid \textbf{m} alware \textbf{d} etection systems（TLAMD）的物联网设备。关键的挑战是如何构造一个合适的适应度函数来生成有效的对抗样本，而不影响应用程序的功能。通过引入遗传算法和一些技术改进，我们的测试框架可以为物联网Android应用程序生成对抗样本，成功率接近100\%，并可以对系统进行黑盒测试。
2019-02-12 cs.CR cs.LG
On the Effectiveness of Adversarial Training on Malware Classifiers
University of Luxembourg（卢森堡大学）；King’s College London（伦敦大学国王学院）；TU Wien（维也纳技术大学）；University College London（伦敦大学学院）；Ruhr University Bochum（波鸿鲁尔大学）
本文提出Rubik框架系统评估对抗训练在恶意软件分类中的有效性，揭示模型架构和特征空间结构对鲁棒性的影响，并提出实践建议。
2025-11-26 cs.CR cs.LG
Adversarial Perturbations Against Deep Neural Networks for Malware Classification
CISPA（CISPA亥姆霍兹信息安全中心）；Saarland University（萨尔大学）；Pennsylvania State University（宾夕法尼亚州立大学）；MPI-SWS（马克斯·普朗克软件系统研究所）
深度神经网络，像许多其他机器学习模型一样，最近被证明对恶意输入缺乏鲁棒性。这些输入是通过微小但仔细选择的扰动从常规输入中导出的，这些扰动将机器学习模型欺骗到期望的错误分类中。在这个新兴领域中的现有工作主要是特定于图像分类的领域，因为可以方便地操纵图像的高熵而不改变图像的整体视觉外观。然而，目前尚不清楚此类攻击如何转化为更安全敏感的应用程序，如恶意软件检测-这可能会对样本生成带来重大挑战，并可能导致严重的失败后果。在本文中，我们展示了如何为用作恶意软件分类器的神经网络构建高效的对抗性样本制作攻击。与计算机视觉领域相比，恶意软件分类的应用领域在对抗性样本制作问题中引入了额外的约束：（i）连续的、可微分的输入域被离散的、通常是二进制的输入所取代;以及（ii）保持视觉外观不变的宽松条件被要求等效的功能行为所取代。我们使用DREBIN Android恶意软件数据集训练了许多不同的恶意软件分类器实例，证明了这些攻击的可行性。我们还评估了在何种程度上可以利用对抗性手工制作的潜在防御机制来设置恶意软件分类。虽然特征约简并没有被证明具有积极的影响，但对逆向制作的样本进行蒸馏和重新训练显示出有希望的结果。
2016-06-16 cs.CR cs.LG cs.NE
Adversarial Malware Generation in Linux ELF Binaries via Semantic-Preserving Transformations
Faculty of Information Technology, Czech Technical University in Prague（信息技术学院，布拉格捷克技术大学）
本文提出了一种新的ELF格式对抗性恶意软件生成器，通过多种指标评估发现其 evasion rate 为67.74%，并发现目标分类器对可执行文件中的字符串敏感。
2026-04-24 cs.CR cs.LG
Explainability-Guided Adversarial Attacks on Transformer-Based Malware Detectors Using Control Flow Graphs
Tennessee Tech University（田纳西理工大学）；University of Nebraska Omaha（内布拉斯加大学奥马哈分校）
本文研究了基于变换器的恶意软件检测器在对抗性逃逸攻击中的脆弱性，提出了一种利用可解释性机制的白盒对抗攻击方法，通过扰动关键图组件来诱导误分类。
2026-04-04 cs.CR cs.LG
