💻 computer science

CITADEL: A Semi-Supervised Active Learning Framework for Malware Detection Under Continuous Distribution Drift

CITADEL ist ein halbüberwachtes, aktives Lernframework für die Android-Malware-Erkennung, das durch maßgeschneiderte Daten-Augmentierungen, kontrastiven Verlust und eine Multi-Kriterien-Strategie die Leistung unter kontinuierlicher Verteilungsdrift verbessert und dabei sowohl die Genauigkeit als auch die Recheneffizienz im Vergleich zu bestehenden Methoden signifikant steigert.

Ursprüngliche Autoren: Md Ahsanul Haque, Md Mahmuduzzaman Kamol, Suresh Kumar Amalapuram, Vladik Kreinovich, Mohammad Saidur Rahman

Veröffentlicht 2026-02-17

📖 5 Min. Lesezeit🧠 Tiefgang

CC BY 4.0

Ursprüngliche Autoren: Md Ahsanul Haque, Md Mahmuduzzaman Kamol, Suresh Kumar Amalapuram, Vladik Kreinovich, Mohammad Saidur Rahman

Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen

Stellen Sie sich vor, Sie sind ein Virologe, der versucht, eine neue Grippe zu bekämpfen. Das Problem ist: Der Virus verändert sich jeden Monat ein wenig. Er ändert seine Farbe, seine Form oder sein Verhalten, damit er nicht erkannt wird.

In der digitalen Welt ist das Android-Malware (bösartige Software). Sie taucht ständig auf, verändert sich und versucht, unsere Smartphones zu infizieren. Herkömmliche Sicherheitsprogramme sind wie ein starrer Impfplan: Sie wurden einmal trainiert, kennen die Viren von gestern und sind oft blind für die Viren von morgen. Wenn sich der Virus zu stark verändert, funktioniert der Schutz nicht mehr.

Hier kommt CITADEL ins Spiel. Das ist der Name des neuen Systems, das in diesem Papier vorgestellt wird. Man kann sich CITADEL wie einen super-intelligenten, lernenden Sicherheitsdetektiv vorstellen, der nicht nur starr Regeln befolgt, sondern sich ständig weiterbildet.

Hier ist die einfache Erklärung, wie CITADEL funktioniert, mit ein paar kreativen Vergleichen:

1. Das Problem: Der "ewige Wandel" (Konzept-Drift)

Stellen Sie sich vor, Sie lernen ein neues Wort in einer Fremdsprache. Wenn Sie nur ein Wörterbuch von 2010 nutzen, verstehen Sie die Slang-Wörter von heute nicht. Genau das passiert bei Malware-Erkennung: Die "Sprache" der Hacker ändert sich ständig.

Das alte Problem: Frühere Systeme mussten alles neu lernen, sobald sich die Hacker änderten. Das war teuer und langsam.
Das neue Problem: Es gibt so viele neue Viren (fast 300.000 pro Monat!), dass es unmöglich ist, dass ein menschlicher Experte jeden einzelnen davon prüft und als "böse" oder "gut" markiert. Die meisten Daten sind also unmarkiert.

2. Die Lösung: Ein Team aus Detektiv und Assistent

CITADEL nutzt eine clevere Kombination aus zwei Methoden, die man sich wie ein Detektiv-Team vorstellen kann:

A. Der "Selbst-lerne-Assistent" (Semi-überwachtes Lernen)

Stellen Sie sich vor, der Detektiv hat einen Assistenten, der Tausende von verdächtigen Papieren durchsieht, aber nicht weiß, welche davon schuldig sind.

Die alte Methode: Der Assistent schaut nur auf die wenigen Papiere, die der Chef (der Experte) bereits geprüft hat.
CITADELs Methode: Der Assistent schaut sich auch die unmarkierten Papiere an. Er macht sich eine Vermutung (ein "Pseudo-Label"): "Das hier sieht verdächtig aus." Wenn er sich zu 95% sicher ist, nimmt er diese Vermutung als Wahrheit und lernt daraus. So nutzt er die riesige Menge an unmarkierten Daten, um schlauer zu werden, ohne dass der Chef jeden einzelnen Fall prüfen muss.

B. Der "Verkleidungs-Test" (Spezielle Daten-Augmentierung)

Das ist der kreativste Teil. Normalerweise trainiert man KI mit Bildern (z. B. ein Foto von einer Katze wird leicht gedreht oder gezoomt). Aber Malware ist kein Bild, sondern eine Liste von Binärcode (Nullen und Einsen).

Das Problem: Wenn man ein Bild dreht, ist es immer noch dasselbe Bild. Wenn man bei Malware einfach ein Bit (eine Null oder Eins) ändert, könnte das Programm völlig anders funktionieren.
CITADELs Trick: Statt Bilder zu drehen, nutzt CITADEL zwei spezielle Tricks, die wie ein Verkleidungsspiel funktionieren:
1. Der "Bit-Flip" (Das Verstecken): Der Assistent ändert zufällig ein paar Bits im Code. "Was passiert, wenn dieser Virus nicht diese eine Funktion nutzt? Ist er trotzdem noch ein Virus?" Das zwingt das System, die wahren Muster zu erkennen, nicht nur oberflächliche Details.
2. Der "Masken-Test" (Das Ausblenden): Der Assistent löscht zufällig Teile des Codes aus. "Kann ich diesen Virus noch erkennen, wenn er seine wichtigsten Werkzeuge versteckt hat?"
- Der Effekt: Das System lernt, robust zu sein. Es wird nicht verwirrt, wenn der Virus seine Tarnung ändert. Es lernt das "Wesen" des Virus zu erkennen, nicht nur sein Kostüm.

C. Der "Scharfsinnige Frager" (Aktives Lernen)

Der Detektiv hat ein begrenztes Budget an Zeit. Er kann nicht jeden Fall neu prüfen. Er muss wissen, welche Fälle er dem Chef zur Prüfung vorlegen soll.

Die dumme Frage: "Prüfe zufällig 100 Fälle." (Das bringt wenig).
Die schlaue Frage (Multi-Criteria): CITADEL fragt nur die Fälle, bei denen es sich unsicher ist.
- Ist der Fall am Rand? (Ganz nah an der Grenze zwischen "gut" und "böse").
- Ist der Fall ein Fremder? (Sieht er ganz anders aus als alles, was wir bisher gesehen haben?).
- Ist das System verwirrt? (Hat es eine niedrige Wahrscheinlichkeit für seine Antwort?).
- Das Ergebnis: Der Chef (der Experte) muss nur die wenigen, schwierigsten Fälle prüfen. CITADEL nutzt diese wenigen Antworten, um das ganze System sofort zu verbessern.

3. Das Ergebnis: Schneller, schlauer und effizienter

Die Autoren haben CITADEL an vier großen Datensätzen getestet, die über viele Jahre gehen (wie ein Zeitraffer der Malware-Entwicklung).

Besser als die Konkurrenz: CITADEL war deutlich genauer als die besten bisherigen Systeme. Selbst wenn man nur 40% der Daten markiert hatte, schaffte es CITADEL, die Erkennungsrate um bis zu 14% zu steigern.
Unglaublich schnell: Während andere Systeme wie ein schwerfälliger Elefant waren, der Stunden brauchte, um zu lernen, war CITADEL wie ein Sportwagen. Es war bis zu 24-mal schneller beim Training und benötigte 13-mal weniger Rechenleistung.

Zusammenfassung in einem Satz

CITADEL ist wie ein unsichtbarer Schutzschild, der sich ständig selbst trainiert, indem er die "Verkleidungen" der Hacker durchschaut und nur die schwierigsten Fälle an menschliche Experten weiterleitet – so bleibt er auch dann sicher, wenn sich die Bedrohungen ständig verändern.

Es ist eine Lösung, die nicht nur auf das "Gestern" reagiert, sondern sich aktiv auf das "Morgen" vorbereitet.

1. Problemstellung

Android-Malware-Erkennungssysteme leiden unter einer signifikanten Leistungsverschlechterung im Laufe der Zeit, verursacht durch Konzept-Drift. Da sich sowohl bösartige als auch harmlose Apps kontinuierlich weiterentwickeln, ändern sich die statistischen Eigenschaften der Datenverteilung.

Herausforderungen:
- Skalierbarkeit: Es entstehen monatlich fast 300.000 neue Android-Malware-Proben. Eine manuelle Kennzeichnung durch Experten ist zu langsam und teuer (ca. 80 Proben pro Tag pro Analyst).
- Limitationen bestehender Ansätze: Aktuelle Methoden, die auf überwachtem Lernen oder reinem Active Learning basieren (z. B. Chen-AL), sind rechenintensiv und scheitern oft bei langfristigen Drift-Szenarien. Sie gehen oft von einem kontinuierlichen Zugriff auf gelabelte Daten aus, was in der Realität nicht gegeben ist.
- Fehlende Generalisierung: Herkömmliche semi-supervised Learning (SSL) Methoden (wie FixMatch) nutzen Augmentierungen aus der Bildverarbeitung (z. B. Rotation, Farbänderung), die für strukturierte, binäre Malware-Features (API-Aufrufe, Berechtigungen) nicht geeignet sind und zu semantischen Verzerrungen führen.

2. Methodik: Das CITADEL-Framework

CITADEL ist ein Framework für semi-supervised Active Learning (SSAL), das speziell für die Anpassung an langfristige Konzept-Drifts in der Android-Malware-Erkennung entwickelt wurde. Es basiert auf dem FixMatch-Ansatz, wurde jedoch für den Malware-Kontext stark modifiziert.

A. Domänenspezifische Feature-Augmentierungen

Da Malware-Features als binäre Vektoren vorliegen, ersetzt CITADEL bildbasierte Augmentierungen durch zwei stochastische Strategien, die auf der Bernoulli-Verteilung basieren:

Bernoulli Bit Flip: Zufälliges Umkehren von Bits im Feature-Vektor. Dies simuliert Verhaltensänderungen, bei denen Malware bestimmte Funktionen beginnt oder beendet (z. B. Wechsel von SMS-Exfiltration zu HTTPS).
Bernoulli Feature Masking: Zufälliges Deaktivieren (Nullsetzen) einer Teilmenge der Features. Dies modelliert das Verschwinden beobachtbarer Muster, z. B. durch Obfuskation oder das Veralten bestimmter API-Aufrufe.

Ziel: Diese Augmentierungen fügen kontrolliertes Rauschen hinzu, um das Modell zu regularisieren und robust gegenüber unvorhersehbaren Verteilungsverschiebungen zu machen, ohne die Klassen-Semantik zu zerstören.

B. Erweiterte Zielfunktion (Loss Function)

CITADEL kombiniert drei Verlustkomponenten:

Überwachter Kreuzentropie-Verlust ( $L_{sup}$ ): Für gelabelte Daten.
Unüberwachter Konsistenz-Verlust ( $L_{unsup}$ ): Basierend auf FixMatch, der Konsistenz zwischen schwach und stark augmentierten ungelabelten Daten erzwingt (unter Verwendung von Pseudo-Labels bei hoher Konfidenz).
Überwachter Kontrastiver Verlust ( $L_{con}$ ): Ein neuer Zusatz, der die Trennung von Klassen im latenten Raum verbessert. Er zieht Features derselben Klasse zusammen und drückt Features unterschiedlicher Klassen auseinander. Dies hilft besonders, unsichere Proben nahe der Entscheidungsgrenze besser zu unterscheiden.

C. Multi-Kriterien-Active-Learning-Strategie

Um das Labeling-Budget effizient zu nutzen, wählt CITADEL nicht nur nach Unsicherheit aus, sondern kombiniert drei komplementäre Indikatoren für die Auswahl der zu labelnden Proben:

Softmax-Margin: Proben mit kleinem Abstand zwischen den Top-2-Wahrscheinlichkeiten (nahe der Entscheidungsgrenze).
$L_p$ -Norm-Distanz: Der Abstand im Embedding-Raum zum nächsten gelabelten Nachbarn. Große Distanzen deuten auf semantisch neue oder ausreißerartige Proben hin (Out-of-Distribution).
Niedrige Konfidenz: Proben, bei denen das Modell eine geringe maximale Vorhersagewahrscheinlichkeit hat.
Diese drei Metriken werden normalisiert und summiert, um einen einheitlichen Unsicherheits-Score zu berechnen. Die Top- $k$ Proben werden dann zur manuellen Kennzeichnung ausgewählt.

3. Wichtige Beiträge

CITADEL Framework: Ein SSAL-Framework, das speziell für langfristige Konzept-Drifts in Android-Malware entwickelt wurde.
Neue Augmentierungen: Einführung von Bernoulli Bit Flip und Feature Masking, die die Natur binärer Malware-Features berücksichtigen und über die reine Bildverarbeitung hinausgehen.
Verbesserte Trennung: Integration eines kontrastiven Verlusts, um die Klassentrennung im latenten Raum für unsichere Proben zu verbessern.
Multi-Kriterien-Auswahl: Eine robuste Strategie zur Probenauswahl, die Entscheidungsgrenzen, Feature-Drift und Modellunsicherheit kombiniert.
Neuer Datensatz: Erstellung eines 12-jährigen MaMaDroid-Datensatzes, der die zeitlichen Eigenschaften des LAMDA-Benchmarks widerspiegelt.

4. Ergebnisse

Das Framework wurde auf vier großen Android-Malware-Benchmarks evaluiert: APIGraph, Chen-AZ, MaMaDroid und LAMDA.

Leistungssteigerung: CITADEL übertrifft den State-of-the-Art (Chen-AL) signifikant, insbesondere bei langen Zeiträumen und hohem Drift.
- F1-Score-Verbesserungen: +1,1 % (APIGraph), +4,3 % (Chen-AZ), +8,9 % (MaMaDroid) und +13,2 % (LAMDA) unter Verwendung von nur 40 % gelabelten Daten.
- Auf dem LAMDA-Datensatz (12 Jahre Drift) erreichte CITADEL einen F1-Score von 77,7 %, während Chen-AL nur bei ca. 43 % lag.
Effizienz:
- CITADEL ist bis zu 24-mal schneller im Training als vorherige Methoden.
- Es erfordert 13-mal weniger Operationen, was eine schnellere Anpassung an neue Bedrohungen in Echtzeit ermöglicht.
Robustheit: Die Methode bleibt auch bei geringen Label-Ratios (bis 10-20 %) stabil und zeigt, dass SSL mit domänenspezifischen Augmentierungen effektiver ist als reines überwachtes Lernen bei Drift.

5. Bedeutung und Fazit

Die Arbeit demonstriert, dass semi-supervised Active Learning eine praktikable Alternative zum rein überwachierten Lernen in dynamischen Umgebungen ist.

Praktische Relevanz: Angesichts der enormen Menge an neuen Malware-Proben ist ein Framework wie CITADEL essenziell, da es die Abhängigkeit von teurer manueller Kennzeichnung reduziert und gleichzeitig die Erkennungsleistung über Jahre hinweg aufrechterhält.
Technischer Fortschritt: Die Anpassung von SSL-Methoden (FixMatch) an strukturierte, binäre Daten durch maßgeschneiderte Augmentierungen und die Kombination mit kontrastivem Lernen und Multi-Kriterien-Auswahl setzt einen neuen Standard für die Anpassungsfähigkeit von ML-Modellen an Konzept-Drift.
Zukunftsausblick: Das Framework bietet eine robuste Basis für den Einsatz in der realen Welt, wobei zukünftige Arbeiten sich mit der Sicherheit gegen Adversarial Attacks (z. B. Poisoning) befassen müssen.

Zusammenfassend bietet CITADEL eine effiziente, skalierbare und robuste Lösung für das langfristige Problem der Malware-Erkennung in sich ständig verändernden Umgebungen.