Detecting Concept Drift in Evolving Malware Families Using Rule-Based Classifier Representations
Faculty of Information Technology Czech Technical University（捷克技术大学信息科技学院）；Department of Computer Science, San Jose State University（圣何塞州立大学计算机科学系）
本文提出利用决策树规则集检测恶意软件分类中的概念漂移，通过时间窗口和特征重要性等指标评估，发现固定两个月窗口和特征皮尔逊相关性是最可靠配置，所有家族对均产生正漂移-准确率相关性。
2026-04-24 cs.CR cs.LG
LAMDA: A Longitudinal Android Malware Benchmark for Concept Drift Analysis
Department of Computer Science University of Texas at El Paso（得克萨斯理工大学计算机科学系）；School of Informatics University of Edinburgh（爱丁堡大学信息学院）
提出LAMDA，一个跨越12年、含超百万样本的Android恶意软件基准，用于概念漂移分析，并实证了标准ML模型性能随时间下降，支持时间漂移与泛化研究。
2025-05-24 cs.CR cs.LG
McNdroid: A Longitudinal Multimodal Benchmark for Robust Drift Detection in Android Malware
Department of Computer Science, University of Texas at El Paso（德克萨斯大学埃尔帕索分校计算机科学系）；CrowdStrike
McNdroid是首个大规模纵向多模态Android恶意软件基准，通过静态、动态和图谱特征分析，评估不同训练-测试时间间隔下的ML和深度学习检测器性能，揭示多模态融合在长期时间间隔中的优势。
2026-05-07 cs.CR cs.LG
Deep Learning-Driven Malware Classification with API Call Sequence Analysis and Concept Drift Handling
National Institute of Technology, Rourkela（国家理工学院罗尔克拉分校）
本文针对恶意软件分类中的概念漂移问题，提出遗传算法增强的深度学习框架，通过变异操作和适应度评估持续优化模型，实验证明其分类性能和适应性优于传统静态模型。
2025-03-08 cs.AI cs.CR cs.LG
Understanding Concept Drift with Deprecated Permissions in Android Malware Detection
Department of Computer Science, University of Birzeit（计算机科学系，巴勒斯坦比尔zeit大学）；Department of Computer Science, University of Central Florida（计算机科学系，中央佛罗里达大学）
本研究针对Android恶意软件检测中因系统权限更新引发的概念漂移问题，分析弃用/受限权限对检测模型的影响，发现排除这类权限对性能影响极小，还可优化概念漂移检测效果。
2025-07-29 cs.CR cs.LG
Detecting and Explaining Malware Family Evolution Using Rule-Based Drift Analysis
Faculty of Information Technology, Czech Technical University in Prague（布拉格捷克理工大学信息技术学院）
本文提出基于规则的漂移分析方法，用于检测和解释恶意软件家族演变，通过比较规则集识别特征变化，提供可操作的恶意软件行为洞察。
2026-02-03 cs.CR
SEED: Semi-supervised Continual MalwarE Detection for Tackling ConcEpt Drift on a BuDget
Indian Institute of Technology Ropar（印度理工学院罗帕尔）；Indian Institute of Technology Hyderabad（印度理工学院海得拉巴）
提出SEED方法，结合定制二元交叉熵损失与半监督持续学习和主动学习，在有限标注下有效检测未知恶意软件，平均AUT提升40%（BODMAS）和14%（AndroZoo）。
2026-06-24 cs.CR cs.LG
Empirical Evaluation of Concept Drift in ML-Based Android Malware Detection
Department of Computer Science, Birzeit University（巴伊兹大学计算机科学系）；Department of Computer Science, University of Central Florida（中央佛罗里达大学计算机科学系）
本研究针对基于机器学习的安卓恶意软件检测中的概念漂移问题，通过多数据集、多算法及多特征类型的实证评估，明确了漂移的影响与相关因素，指出LLMs等现有方法仍无法完全缓解该问题。
2025-07-30 cs.AI cs.CR cs.LG
Fast & Furious: Modelling Malware Detection as Evolving Data Streams
Federal University of Paraná（巴拉那联邦大学）；Victoria University of Wellington（惠灵顿维多利亚大学）
恶意软件是对计算机系统的主要威胁，并对网络安全提出了许多挑战。勒索软件等针对性威胁每年造成数百万美元的损失。恶意软件感染的不断增加促使流行的反病毒（AV）开发专用的检测策略，其中包括精心制作的机器学习（ML）管道。然而，恶意软件开发人员不断改变他们的样本的功能，以绕过检测。恶意软件样本的这种不断演变导致数据分布的变化（即，概念漂移）直接影响ML模型的检测率，这在大多数文献工作中没有考虑。在这项工作中，我们评估了概念漂移对两个Android数据集的恶意软件分类器的影响：DREBIN（约130 K应用程序）和AndroZoo的子集（约285 K应用程序）。我们使用这些数据集来训练自适应随机森林（ARF）分类器以及随机梯度下降（SGD）分类器。我们还使用VirusTotal提交时间戳对所有数据集样本进行了排序，然后使用两种算法（Word 2 Vec和TF-IDF）从其文本属性中提取特征。然后，我们进行了实验，比较了两个特征提取器，分类器，以及四个漂移检测器（DDM，EDDM，ADWIN和KSWIN），以确定真实环境的最佳方法。最后，我们比较了一些可能的方法来减轻概念漂移，并提出了一种新的数据流管道，更新分类器和特征提取器。为此，我们进行了纵向评估：（i）对九年（2009-2018）收集的恶意软件样本进行分类，（ii）审查概念漂移检测算法以证明其普遍性，（iii）比较不同的ML方法以缓解问…
2022-08-16 cs.CR cs.LG
Addressing malware family concept drift with triplet autoencoder
本文提出一种结合三元组损失的有监督自编码器和DBSCAN算法的方法，通过构建清晰稳健的聚类来有效识别新出现的恶意软件家族，从而解决恶意软件检测中的概念漂移问题，并在Android和Windows数据集上验证了其显著提升效果。
2025-07-01 cs.CR
HYDRA: Proactive Android Malware Drift Adaptation via Hierarchical Graph Contrastive Learning
University of Technology Sydney（悉尼科技大学）；Yunnan University（云南大学）；University of New South Wales（新南威尔士大学）
针对安卓恶意软件概念漂移，提出HYDRA框架，利用层次图对比学习对齐历史与目标数据分布，统一特征学习与域对齐，显著降低误报率并减少最多87.5%标注需求。
2026-09-23 cs.CR cs.LG
Label-efficient Training Updates for Malware Detection over Time
University of Cagliari（卡利亚里大学）；Sapienza University（罗马大学）；CINI（国家大学间信息学联盟）
本文提出一种模型无关框架，评估多种主动学习和半监督学习技术，降低手动标注成本，同时保持检测性能，提供对抗分布漂移的有效方法。
2026-03-30 cs.CR cs.LG
Adaptive and Scalable Android Malware Detection through Online Learning
Nanyang Technological University（南洋理工大学）
众所周知，恶意软件不断进化以逃避检测，这导致整个恶意软件群体是不稳定的。与此事实相反，基于机器学习的Android恶意软件检测的现有工作已经假设所观察到的恶意软件特征（即，特征）不随时间改变。在这项工作中，我们解决了恶意软件人口漂移的问题，并提出了一种新的在线机器学习为基础的框架，命名为DroidOL来处理它，并有效地检测恶意软件。为了执行准确的检测，安全敏感行为是使用最先进的图形内核以过程间控制流子图特征的形式从应用程序中捕获的。为了执行可扩展的检测，并适应在恶意软件种群的漂移和演变，一个在线的被动攻击分类器。在对87，000多个应用程序的大规模比较分析中，DroidOL实现了84.29%的准确率，在典型的批处理学习设置中比两种最先进的恶意软件技术高出20%以上，在持续重新训练时高出3%以上。我们的实验结果强烈表明，在线学习为基础的方法是非常适合现实世界的恶意软件检测。
2016-09-26 cs.CR cs.LG
Concept Drift Adaptation Using Self-Supervised and Reinforcement Learning In Android Malware Detection
Birzeit University（巴伊兹大学）；University of Central Florida（中央佛罗里达大学）
提出一个基于自监督学习和强化学习的框架，通过冻结编码器测量潜在漂移并轻量适配，同时利用PPO控制器在成本约束下选择维护动作，以应对Android恶意软件检测中的概念漂移。
2026-05-22 cs.AI cs.CR cs.LG
Optimized Deep Learning Models for Malware Detection under Concept Drift
Orange Innovation（奥兰治创新公司）
本文针对恶意软件检测中的概念漂移问题，提出模型无关协议和 Drift-Resilient Binary Cross-Entropy 损失函数，并在 EMBER 与近期数据集上验证，使恶意软件检测率比基线提升 15.2%。
2024-08-01 cs.AI cs.CR cs.LG
Concept Drift Detection and Adaptive Retraining of Malware Classification Models
San Jose State University（圣何塞州立大学）；Czech Technical University in Prague（布拉格捷克技术大学）
本研究针对恶意软件分类模型，提出基于OCSVM等的概念漂移检测方法，结合漂移感知重训练策略，可在保持准确率的同时提升训练效率，且OCSVM方法表现更优。
2026-08-14 cs.AI cs.CR cs.LG
Adversarial Evasion in Non-Stationary Malware Detection: Minimizing Drift Signals through Similarity-Constrained Perturbations
Northern Arizona University（北亚利桑那大学）
研究探讨了攻击者能否生成同时规避分类和保持漂移监控机制不可察的对抗性恶意软件样本，提出通过相似性约束扰动平衡分类误判与漂移信号最小化。
2026-04-23 cs.AI cs.CR
LFreeDA: Label-Free Drift Adaptation for Windows Malware Detection
针对Windows恶意软件检测中的概念漂移问题，提出无标签端到端自适应框架LFreeDA，结合恶意软件图像与CFG表示实现无标注漂移适配，性能接近全监督水平且匹配有标注的最优方法。
2025-11-18 cs.CR
CITADEL: A Semi-Supervised Active Learning Framework for Malware Detection Under Continuous Distribution Drift
University of Texas at El Paso（埃尔帕索德克萨斯大学）；Indian Institute of Technology Hyderabad（海德拉巴印度理工学院）
CITADEL通过恶意软件特定的增强方法和多标准主动学习策略，在对抗持续分布漂移的情况下，以较少的标注样本实现了更高的恶意软件检测精度。
2026-02-14 cs.CR
Robust Machine Learning for Malware Detection over Time
Android恶意软件的存在和持久性是困扰这个信息时代的持续威胁，机器学习技术现在被广泛用于部署更有效的检测器，可以阻止大多数这些恶意程序。然而，这些算法并没有被开发来追求恶意软件的自然进化，并且由于这种概念漂移，它们的性能随着时间的推移而显著降低。目前，最先进的技术只专注于检测这种漂移的存在，或者通过依赖于模型的频繁更新来解决它。因此，缺乏关于概念漂移原因的知识，并且可以对抗时间流逝的特设解决方案仍然没有得到充分研究。在这项工作中，我们开始解决这些问题，因为我们提出（i）漂移分析框架，以确定哪些数据特征导致漂移，以及（ii）SVM-CB，一个时间感知分类器，利用漂移分析信息来减缓性能下降。我们通过将其随时间推移的退化与最先进的分类器进行比较来突出我们的贡献的功效，并且我们表明SVM-CB更好地承受了自然表征恶意软件域的分布变化。最后，我们讨论了我们方法的局限性，以及我们的贡献如何作为迈向更耐时间的分类器的第一步，这些分类器不仅可以解决，而且还可以理解影响数据的概念漂移。
2022-08-09 cs.CR
Combating Concept Drift with Explanatory Detection and Adaptation for Android Malware Classification
University College London（伦敦大学学院）；Zhejiang University（浙江大学）
针对安卓恶意软件分类中的概念漂移问题，提出DREAM系统，通过整合分类器与专家知识到对比自编码器潜在空间，提升漂移检测准确率并降低标注成本，在Drebin分类器更新中效果显著。
2025-05-24 cs.AI cs.CR
Efficient Concept Drift Handling for Batch Android Malware Detection Models
University of the Basque Country UPV/EHU（巴斯克大学UPV/EHU）
针对 Android 恶意软件检测中静态模型易过时的问题，本研究分析了重训练频率和数据选择对检测器的影响，通过概念漂移检测和主动学习采样策略，实现了高效重训练并维持了模型在变化环境中的性能。
2023-09-18 cs.AI cs.CR cs.LG
Can Drift-Adaptive Malware Detectors Be Made Robust? Attacks and Defenses Under White-Box and Black-Box Threats
Purdue University（普渡大学）
本文研究了对抗适应性恶意软件检测器在白盒和黑盒威胁下的稳健性问题，提出了一种通用鲁棒化框架，通过微调预训练模型来提升检测器的鲁棒性，同时探讨了不同威胁模型下的最佳策略。
2026-04-08 cs.CR
Transcending Transcend: Revisiting Malware Classification in the Presence of Concept Drift
本文提出TRANSCENDENT拒绝框架，通过改进共形评估理论并开发低开销评估器，有效应对恶意软件分类中的概念漂移问题，并在5年数据集上验证了其优于现有方法的泛化性能。
2024-01-08 cs.CR
Evaluating and Combating the Impact of Concept Drift on the Performance of Machine Learning-Based Phishing Detection Systems
Department of Computer Science, School of Mathematics, Computer Science and Engineering, City St George’s, University of London, UK（伦敦大学城市学院计算机科学系，数学、计算机科学与工程学院，伦敦大学）
研究概念漂移对基于机器学习的钓鱼邮件检测系统性能的影响，并提出缓解性能下降的策略。
2026-06-11 cs.CR cs.LG
Counteracting Concept Drift by Learning with Future Malware Predictions
Avast Software（Avast软件公司）；AI Center（人工智能中心）；Czech Technical University in Prague（捷克技术大学布拉格分校）
针对恶意软件检测中的概念漂移问题，对比对抗训练与GAN两种未来样本预测方法，发现GAN可有效预测未来恶意软件并提升分类器在新数据上的准确率。
2024-04-14 cs.AI cs.CR
Adversarial Vulnerability Under Temporal Concept Drift: A Longitudinal Study of Android Malware Detection
Department of Computer Science, Birzeit University（巴勒斯坦伯利兹大学计算机科学系）；Department of Computer Science, University of Central Florida（佛罗里达州立大学计算机科学系）
通过纵向评估十年间Android应用的静态和动态特征，研究时间分布漂移对对抗鲁棒性的影响，提出时序关联指标并发现时间分离降低鲁棒性，扩展窗口重训练可缓解但无法消除鲁棒性损失。
2026-05-22 cs.AI cs.CR cs.LG
A Comprehensive Study on Learning-Based PE Malware Family Classification Methods
State Key Laboratory of Communication Content Cognition（通信内容认知国家重点实验室）；College of Intelligence and Computing, Tianjin University（天津大学智能与计算学部）
在高利润的驱动下，便携式可执行（PE）恶意软件在数量和复杂性方面一直在不断发展。PE恶意软件家族分类已经引起了人们的极大关注，并且已经提出了大量的方法。随着机器学习技术的快速发展以及在各种任务中取得的令人兴奋的结果，机器学习算法在PE恶意软件家族分类任务中也得到了普及。使用基于学习的算法的三种主流方法，按方法采用的输入格式分类，是基于图像的方法，基于二进制的方法和基于分解的方法。尽管已经发表了大量的方法，但对这些方法没有一致的比较，特别是从实际行业采用的角度来看。此外，在概念漂移的情况下没有比较，这是由于恶意软件的快速演变性质而导致的恶意软件分类任务的事实。在这项工作中，我们对基于学习的PE恶意软件分类方法在4个不同的数据集和一致的实验设置进行了彻底的实证研究。基于实验结果和对我们的行业合作伙伴的采访，我们发现：（1）没有任何一类方法显著优于其他方法;（2）所有类别的方法在概念漂移方面表现出性能下降（平均F1分数为32.23%）;（3）预测时间和高内存消耗阻碍了现有方法被行业采用。
2021-10-29 cs.CR cs.LG cs.SE
Feature graph construction with static features for malware detection
本文提出 MFGraph 方法，通过从 PE 文件静态特征构建特征图并利用深度图卷积网络学习特征间关系，在 EMBER 数据集上取得 0.98756 的 AUC，且受概念漂移影响最小。
2024-11-22 cs.CR
DAEMON: Dataset-Agnostic Explainable Malware Classification Using Multi-Stage Feature Mining
Ben-Gurion University of the Negev（内盖夫本-古里安大学）
许多变形和多态的恶意变种每天都由变异引擎自动生成，这些变异引擎在保留恶意程序功能的同时转换恶意程序的代码，以逃避基于签名的检测。这些自动化过程大大增加了恶意软件变体的数量，认为完全手动分析是不可能的。恶意软件分类是确定新的恶意变体属于哪个家族的任务。相同恶意软件家族的变体显示出相似的行为模式。因此，对新发现的恶意程序和应用程序进行分类有助于评估它们构成的风险。此外，恶意软件分类便于确定新发现的变体中的哪些变体应当经历安全专家的手动分析，以便确定它们是否属于新家族（例如，其成员利用零日漏洞的人）或者仅仅是已知恶意家族内的概念漂移的结果。这激发了近年来对设计高精度恶意软件自动分类工具的深入研究。在这项工作中，我们提出了DAEMON -一种新的不可知的恶意软件分类器。DAEMON的一个关键属性是它使用的功能类型和挖掘它们的方式有助于理解恶意软件家族的独特行为，使其分类决策变得可解释。我们已经使用x86二进制文件的大规模数据集优化了DAEMON，该数据集属于针对运行Windows的计算机的几个恶意软件家族的混合。然后，我们重新训练了它，并将其应用于另外两个大规模的恶意Android应用程序数据集，其中包括许多恶意软件家族，而没有任何算法更改，功能重新设计或参数调整。DAEMON在所有数据集上都获得了高度准确的分类结果，这表明它也是平台无关的。
2021-06-25 cs.CR cs.LG
Continuous Learning for Android Malware Detection
UC Berkeley（加州大学伯克利分校）
针对安卓恶意软件检测中分类器因概念漂移快速失效的问题，提出结合分层对比学习与主动学习的持续训练方法，显著降低了假阴性和假阳性率，且在七年跨度内性能更稳定。
2023-06-14 cs.AI cs.CR
TIF: Learning Temporal Invariance in Android Malware Detectors
University College London（伦敦大学学院）；The University of Hong Kong（香港大学）；Columbia University（哥伦比亚大学）
针对恶意软件变种和新家族导致的分布漂移，提出时间不变训练框架TIF，通过多代理对比学习和不变梯度对齐学习稳定表征，提升检测器时间鲁棒性。
2026-06-23 cs.AI cs.CR
BIDO: An Out-Of-Distribution Resistant Image-based Malware Detector
Software School, Yunnan University（云南大学软件学院）；School of Information Systems, University of New South Wales（新南威尔士大学信息系统学院）
BIDO通过将恶意软件检测转化为似然估计任务，提出了一种生成性分类器，以提高对抗分布变化的鲁棒性并实现可靠的解释。
2026-01-08 cs.CR cs.SE
Context-aware, Adaptive and Scalable Android Malware Detection through Online Learning (extended version)
Nanyang Technological University（南洋理工大学）
众所周知，Android恶意软件不断发展，以逃避检测。这导致整个恶意软件群体是不稳定的。与此事实相反，大多数基于机器学习的Android恶意软件检测的现有工作都假设所观察到的恶意软件特征的分布（即，特征）不随时间改变。在这项工作中，我们解决的问题，恶意软件的人口漂移，并提出了一种新的在线学习为基础的框架来检测恶意软件，CASANDIX（Contextaware，自适应和可扩展的ANDRoid mAlware检测器）。为了执行准确的检测，提出了一种新的图内核，便于捕获应用程序的安全敏感行为以及它们的上下文信息从依赖图。除了准确性和可扩展性之外，CASANTR还具有特定的优势：i）适应恶意软件功能随时间的演变，ii）解释导致应用程序分类为恶意或良性的重要功能。在一个大规模的比较分析中，CASANTOWN在基准数据集上的表现优于两种最先进的技术，达到99.23%的F-测量。当使用在野外收集的87，000多个应用程序进行评估时，CASANTOWN实现了89.92%的准确率，在典型的批处理学习设置中比现有技术高出25%以上，在持续保留时高出7%以上，同时保持了相当的效率。
2017-07-06 cs.CR cs.LG cs.SE
On the Reliability and Stability of Selective Methods in Malware Classification Tasks
University College London（伦敦大学学院）
本文提出Aurora框架，用于评估恶意软件分类器的置信度质量和操作韧性，研究其在分布变化下的可靠性及科学进步与实际影响的张力。
2026-10-28 cs.AI cs.CR
Moirae: A Multimodal Agent Collaborative Framework for Dynamic Android Malware Detection
School of Computer Science and Engineering, Beihang University（北京航空航天大学计算机科学与工程学院）；School of Cyberspace Security, Beijing University of Posts and Telecommunications（北京邮电大学网络空间安全学院）；School of Computer Science and Engineering, Guangxi Normal University（广西师范大学计算机科学与工程学院）
该研究提出多模态智能体协作框架Moirae，通过融合多维度运行时证据实现动态Android恶意软件检测，在未见过的数据集上零样本准确率达90.06%，优于现有基线且抗概念漂移。
2026-09-17 cs.CR cs.SE
Machine Learning for Windows Malware Detection and Classification: Methods, Challenges and Ongoing Research
CeADAR, Ireland’s Centre for Artificial Intelligence（爱尔兰人工智能中心CeADAR）；University College Dublin（都柏林大学学院）
本章探讨了如何应用机器学习构建 Windows 恶意软件检测系统，介绍了机器学习管道组件、基于特征和深度学习的最先进检测器，并分析了概念漂移和对抗攻击等主要挑战及对抗防御的持续研究。
2024-04-29 cs.AI cs.CR
Anonymous YARA Rules Are Not Anonymous
INSA Centre Val de Loire（INSA中央卢瓦尔河谷理工学院）；Sule Lamido University（苏莱·拉米多大学）
通过分析YARA规则的文体特征，发现仅移除元数据无法保护作者身份，仓库来源、作者和恶意软件家族均可被高精度识别。
2026-05-26 cs.CR
MARD: A Multi-Agent Framework for Robust Android Malware Detection
School of Computer Science and Engineering, Beihang University（北京航空航天大学计算机科学与工程学院）；School of Cyberspace Security, Beijing University of Posts and Telecommunications（北京邮电大学网络空间安全学院）
MARD通过结合LLM的语义理解和传统静态分析，提出多智能体框架，有效降低APK深度分析成本，实现高可解释性检测，F1得分达93.46%。
2026-04-28 cs.CR cs.SE
