CITADEL: A Semi-Supervised Active Learning Framework for Malware Detection Under Continuous Distribution Drift

Resumen Técnico: CITADEL

1. El Problema: Deriva Conceptual y Escasez de Etiquetas

Los sistemas de detección de malware para Android sufren una degradación severa del rendimiento con el tiempo debido a la deriva conceptual (concept drift). Esto ocurre porque tanto el comportamiento malicioso como el benigno evolucionan constantemente, cambiando las propiedades estadísticas de los datos.

• Limitaciones de los métodos actuales: Las soluciones recientes basadas en aprendizaje activo (AL) y aprendizaje contrastivo jerárquico son completamente supervisadas, computacionalmente costosas y poco efectivas en benchmarks a largo plazo.
• Cuello de botella en la etiquetado: Con la aparición de casi 300,000 nuevas muestras de malware al mes, el etiquetado manual por expertos no escala. Los analistas humanos solo pueden revisar unas 80 muestras al día, dejando la gran mayoría de los datos sin etiquetar y subutilizados.
• Fallo de los enfoques existentes: Los métodos de aprendizaje semi-supervisado (SSL) tradicionales (como FixMatch) asumen transformaciones de entrada continuas y semánticamente significativas (típicas en visión por computadora), lo que falla al aplicarse directamente a las características binarias de alto nivel del malware.

2. Metodología: El Marco CITADEL

CITADEL es un marco de Aprendizaje Activo Semi-Supervisado (SSAL) diseñado específicamente para adaptarse a la deriva de distribución en la detección de malware. Su arquitectura se basa en tres pilares fundamentales:

A. Aumentación de Características Específica del Dominio
Para adaptar el marco FixMatch al malware, CITADEL introduce dos estrategias de aumento estocástico basadas en distribuciones de Bernoulli, diseñadas para vectores de características binarias:

1. Bit Flip de Bernoulli: Invierte aleatoriamente un subconjunto de bits en el vector de características. Esto simula cambios en el comportamiento donde el malware comienza o deja de usar ciertas funcionalidades (ej. llamadas a API).
2. Máscara de Características de Bernoulli: Desactiva (pone a cero) aleatoriamente un subconjunto de características. Esto modela la desaparición de patrones observables debido a ofuscación o cambios de implementación (ej. APIs obsoletas).

• Mecanismo: Se utilizan versiones "débiles" (baja probabilidad de perturbación) para generar pseudo-etiquetas confiables y versiones "fuertes" (alta probabilidad) para entrenar la consistencia del modelo, forzándolo a aprender características robustas ante la deriva.

B. Función de Objetivo Mejorada
CITADEL combina la pérdida de consistencia no supervisada con una pérdida de contraste supervisada (supervised contrastive loss).

• Esta pérdida adicional empuja las representaciones latentes de las muestras de la misma clase más cerca entre sí y aleja las de clases diferentes.
• Esto es crucial para mejorar la discriminación de las muestras en el límite de decisión (boundary samples), que son las más propensas a ser mal clasificadas durante la deriva.

C. Estrategia de Selección de Muestras Multi-Criterio
Para seleccionar qué muestras etiquetar bajo un presupuesto limitado, CITADEL no depende de un solo indicador de incertidumbre, sino que combina tres criterios complementarios:

1. Margen Softmax: Mide la proximidad a la frontera de decisión (muestras con margen pequeño = alta incertidumbre).
2. Distancia Lp-Norm: Calcula la distancia en el espacio de características latentes entre la muestra no etiquetada y su vecino etiquetado más cercano. Las muestras lejanas indican novedad o desviación de la distribución.
3. Baja Confianza de Predicción: Selecciona muestras donde el modelo tiene baja probabilidad máxima asignada a cualquier clase.

• Fusión: Se normalizan estos tres scores y se suman para obtener un puntaje unificado de incertidumbre, seleccionando las top-k muestras para etiquetado.

3. Contribuciones Clave

1. Propuesta de CITADEL: Un marco SSAL adaptado para la detección de malware bajo deriva conceptual a largo plazo, superando las limitaciones de los enfoques puramente supervisados.
2. Aumentaciones Específicas: Introducción de Bit Flip y Feature Mask de Bernoulli, diseñados para la naturaleza binaria y estructurada de las características de malware estático.
3. Selección Multi-Criterio: Una estrategia de aprendizaje activo que integra margen, distancia de distribución y confianza, permitiendo una adaptación eficiente con presupuestos de etiquetado estrictos.
4. Nuevo Dataset: Construcción de un conjunto de datos basado en características de MaMaDroid que abarca 12 años, reflejando las características temporales de la deriva a largo plazo.

4. Resultados y Evaluación

CITADEL fue evaluado en cuatro grandes benchmarks de malware de Android: APIGraph, Chen-AZ, MaMaDroid y LAMDA.

• Rendimiento Superior:

  • Con solo el 40% de datos etiquetados, CITADEL superó a los métodos anteriores (como Chen-AL) logrando mejoras en la puntuación F1 de:
    • +1.1% en APIGraph (93.5% F1).
    • +4.3% en Chen-AZ (82.7% F1).
    • +8.9% en MaMaDroid (44.9% F1).
    • +13.2% en LAMDA (77.7% F1).
  • En el escenario más difícil (LAMDA, 12 años de deriva), CITADEL mantuvo un rendimiento robusto donde otros métodos caían drásticamente (ej. Chen-AL cayó al 30% en F1 en ciertos conjuntos).

• Eficiencia Computacional:

  • CITADEL es significativamente más rápido y ligero.
  • 24x más rápido en el tiempo de entrenamiento.
  • Requiere 13x menos operaciones computacionales en comparación con métodos anteriores como Chen-AL.

• Análisis de Componentes (Ablación):

  • El estudio demostró que cada componente (aumentación específica, pérdida de contraste y selección multi-criterio) contribuye de manera esencial al rendimiento final. Sin las aumentaciones específicas, los modelos basados en FixMatch estándar fallan (F1 ~0%).

5. Significado e Impacto

El trabajo de CITADEL es significativo por varias razones:

• Viabilidad a Largo Plazo: Demuestra que es posible mantener detectores de malware efectivos a lo largo de años sin depender de un flujo constante y costoso de etiquetas manuales, aprovechando la abundancia de datos no etiquetados.
• Adaptabilidad Realista: A diferencia de los enfoques que asumen cambios graduales, CITADEL está diseñado para manejar la deriva abrupta y no determinista típica de la evolución del malware.
• Eficiencia Operativa: La reducción masiva en costos computacionales y tiempo de entrenamiento hace que la implementación en entornos de producción (donde se procesan millones de aplicaciones) sea factible.
• Generalización: Al no depender de estructuras semánticas complejas que pueden desaparecer con la deriva, el enfoque basado en aumentación estocástica ofrece una solución más robusta para la detección continua de amenazas.

En conclusión, CITADEL establece un nuevo estado del arte para la detección de malware en Android, ofreciendo un equilibrio óptimo entre precisión, eficiencia y capacidad de adaptación ante amenazas evolutivas.