💻 computer science

CITADEL: A Semi-Supervised Active Learning Framework for Malware Detection Under Continuous Distribution Drift

Le papier présente CITADEL, un cadre d'apprentissage actif semi-supervisé innovant qui surmonte la dérive de distribution dans la détection de malwares Android en combinant des augmentations de données spécifiques, une perte de contraste supervisée et une stratégie d'acquisition multi-critères, surpassant ainsi les méthodes existantes en précision et en efficacité sur plusieurs benchmarks à grande échelle.

Auteurs originaux : Md Ahsanul Haque, Md Mahmuduzzaman Kamol, Suresh Kumar Amalapuram, Vladik Kreinovich, Mohammad Saidur Rahman

Publié 2026-02-17

📖 5 min de lecture🧠 Analyse approfondie

CC BY 4.0

Auteurs originaux : Md Ahsanul Haque, Md Mahmuduzzaman Kamol, Suresh Kumar Amalapuram, Vladik Kreinovich, Mohammad Saidur Rahman

Article original sous licence CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Ceci est une explication générée par l'IA de l'article ci-dessous. Elle n'a pas été rédigée ni approuvée par les auteurs. Pour une précision technique, consultez l'article original. Lire la clause de non-responsabilité complète

🛡️ CITADEL : Le Gardien Intelligents des Applications Android

Imaginez que votre téléphone Android est une grande forteresse. Les applications que vous téléchargez sont comme des visiteurs. La plupart sont des amis (des applications légitimes), mais certains sont des espions ou des voleurs (des malwares) qui essaient de se faufiler à l'intérieur.

Le problème, c'est que ces voleurs sont très malins. Ils changent constamment de déguisement, de costume et de comportement. C'est ce qu'on appelle en informatique la "dérive de concept" : le monde change, et les voleurs s'adaptent pour ne plus être reconnus par les gardes de sécurité d'hier.

Voici comment CITADEL fonctionne pour protéger votre forteresse, expliqué avec des analogies simples.

1. Le Problème : Le Gardien qui s'endort

Traditionnellement, les systèmes de sécurité apprennent à reconnaître les voleurs en leur montrant des photos de voleurs connus (apprentissage supervisé).

Le souci : Il y a des centaines de milliers de nouveaux voleurs chaque mois. Demander à des experts humains de regarder et de classer chaque nouveau voleur est impossible (c'est trop lent et trop cher).
La conséquence : Les vieux systèmes deviennent obsolètes. Ils reconnaissent le voleur de 2015, mais pas celui de 2025 qui a changé de manteau.

2. La Solution : CITADEL, l'Élève Curieux et Autonome

CITADEL est un nouveau système qui combine deux idées géniales : l'Apprentissage Semi-Supervisé et l'Apprentissage Actif.

A. L'Apprentissage Semi-Supervisé : "Apprendre en regardant les ombres"
Imaginez que vous avez un manuel de formation (les données étiquetées) et une immense bibliothèque de livres non classés (les données non étiquetées).

Au lieu de jeter les livres non classés, CITADEL les utilise intelligemment.
Il fait un petit exercice de "déguisement" sur ces livres. Il prend une application, lui retire une partie de ses caractéristiques (comme si on lui cachait un bouton ou un outil), et demande au système : "Est-ce que tu penses que c'est toujours un voleur ?".
Si le système est sûr de sa réponse, il se dit : "Ok, c'est un voleur, je vais apprendre de ça.". Cela lui permet d'apprendre énormément sans avoir besoin d'un humain pour tout vérifier.

B. Les "Augmentations" Spéciales : Le Gymnase des Déguisements
Les méthodes classiques (comme pour les photos) ne fonctionnent pas bien ici. On ne peut pas "flouter" une application comme on floute une photo.

L'analogie : Imaginez que les applications sont faites de Lego. Parfois, un voleur retire une pièce rouge (une permission) et en ajoute une bleue.
La technique de CITADEL : Elle utilise deux exercices spéciaux pour entraîner le gardien :
1. Le "Flip" (Retournement) : Elle change aléatoirement quelques pièces de Lego (0 devient 1, 1 devient 0). Cela simule un voleur qui change légèrement son comportement.
2. Le "Masque" : Elle cache certaines pièces. Cela simule un voleur qui essaie de se cacher en enlevant des traces.
En s'entraînant avec ces variations, le gardien devient plus robuste. Il ne se fie pas à un seul détail, mais comprend l'essence du voleur, même si celui-ci change de costume.

C. L'Apprentissage Actif : Le Détective qui choisit ses cas
CITADEL ne demande pas à l'humain de tout étiqueter. Il agit comme un détective très efficace.

Au lieu de demander à l'humain de regarder 1000 applications au hasard, le détective regarde ses propres doutes.
Il sélectionne uniquement les 3 cas les plus flous (ceux où il hésite entre "ami" et "ennemi") ou les cas les plus étranges (qui ressemblent à rien de connu).
Il dit à l'humain : "Regarde juste ces 3 cas, je suis sûr que ça va m'aider à comprendre la nouvelle tendance.".
Cela économise un temps précieux et permet au système de s'adapter très vite aux nouvelles menaces.

3. Les Résultats : Pourquoi c'est une révolution ?

Les chercheurs ont testé CITADEL sur des données réelles couvrant 12 ans de vie d'Android. Voici ce qu'ils ont découvert :

Performance : CITADEL bat tous les anciens systèmes. Sur les données les plus difficiles (où les voleurs ont le plus changé), il a amélioré la détection de 14 % par rapport aux meilleurs systèmes actuels.
Économie d'énergie : Il est 24 fois plus rapide à entraîner. Imaginez qu'un système prenne un mois pour apprendre, CITADEL le fait en quelques heures.
Efficacité : Il n'a besoin que de 40 % des données étiquetées pour fonctionner mieux que les autres qui en utilisent 100 %. C'est comme si un étudiant apprenait mieux en lisant 40 livres bien choisis plutôt que 100 livres au hasard.

En Résumé

CITADEL est comme un général de l'armée qui ne se repose jamais sur ses lauriers.

Il s'entraîne seul avec des milliers de cas non classés en se faisant des exercices de déguisement (pour ne pas être surpris).
Il demande de l'aide à l'humain uniquement pour les cas les plus difficiles et les plus instructifs.
Il s'adapte instantanément quand les règles du jeu changent.

C'est une solution plus intelligente, plus rapide et moins coûteuse pour protéger nos téléphones contre les virus de demain, même quand ils changent de visage.

1. Problématique

La détection de malwares Android souffre d'une dégradation sévère des performances au fil du temps en raison du dérive conceptuelle (concept drift). Les comportements malveillants et bénins évoluent continuellement, modifiant les distributions statistiques des données.

Limites des approches existantes : Les méthodes récentes basées sur l'apprentissage actif (Active Learning - AL) et l'apprentissage contrastif hiérarchique (comme Chen-AL) sont entièrement supervisées, coûteuses en calcul et inefficaces sur le long terme. Elles supposent un accès continu à des données étiquetées, ce qui est irréaliste face à l'émergence de près de 300 000 nouveaux échantillons de malwares par mois.
Défi de l'étiquetage : L'annotation humaine est lente (environ 80 échantillons/jour/analyste) et coûteuse, laissant la majorité des données non étiquetées.
Échec des méthodes semi-supervisées standards : Des frameworks comme FixMatch, conçus pour la vision par ordinateur, échouent à généraliser sur les caractéristiques binaires structurées des malwares lorsqu'ils sont appliqués directement, car les augmentations d'images (rotation, bruit de couleur) ne sont pas sémantiquement pertinentes pour les vecteurs de fonctionnalités binaires.

2. Méthodologie : Le Framework CITADEL

CITADEL est un cadre d'apprentissage actif semi-supervisé (SSAL) conçu spécifiquement pour s'adapter à la dérive conceptuelle dans la détection de malwares Android. Il repose sur trois piliers principaux :

A. Augmentations de Fonctionnalités Spécifiques au Domaine

Pour adapter le framework FixMatch aux vecteurs binaires de malwares (représentant des appels d'API, des permissions, etc.), les auteurs proposent deux stratégies d'augmentation basées sur la distribution de Bernoulli :

Bernoulli Bit Flip : Inversion stochastique d'un sous-ensemble de bits (0 vers 1 ou 1 vers 0). Cela simule des changements de comportement où un malware commence ou cesse d'utiliser une fonctionnalité spécifique.
Bernoulli Feature Masking : Désactivation (mise à zéro) aléatoire d'un sous-ensemble de fonctionnalités. Cela modélise la disparition de motifs observables (ex: appels d'API obsolètes) ou l'obfuscation.

Stratégie : Une augmentation faible (faible probabilité) est utilisée pour générer des pseudo-étiquettes fiables, tandis qu'une augmentation forte (probabilité plus élevée) est utilisée pour l'apprentissage de cohérence, forçant le modèle à être robuste aux variations de la distribution.

B. Fonction de Perte Améliorée

CITADEL intègre une perte de contraste supervisée (Supervised Contrastive Loss) en plus de la perte semi-supervisée standard.

Objectif : Cette perte force les représentations latentes des échantillons de la même classe à se rapprocher et celles de classes différentes à s'éloigner.
Avantage : Cela améliore la séparation des échantillons ambigus situés près de la frontière de décision, ce qui est crucial lorsque les distributions évoluent et créent des zones de chevauchement entre malwares et logiciels bénins.

C. Stratégie d'Apprentissage Actif Multi-Critères

Pour sélectionner les échantillons les plus informatifs à étiqueter sous contrainte de budget, CITADEL combine trois indicateurs complémentaires :

Marge Softmax : Identifie les échantillons proches de la frontière de décision (faible différence entre les deux probabilités de classe les plus élevées).
Distance Lp-norm : Mesure la distance dans l'espace des caractéristiques latentes par rapport aux voisins étiquetés les plus proches. Les échantillons éloignés sont considérés comme des outliers ou de nouvelles variantes.
Confiance Faible : Sélectionne les échantillons pour lesquels le modèle a une faible probabilité de prédiction maximale.

Fusion : Les scores de ces trois critères sont normalisés et combinés pour sélectionner les $k$ échantillons les plus incertains et influents.

3. Contributions Clés

Framework CITADEL : Proposition d'un système SSAL adapté à la dérive conceptuelle à long terme pour les malwares Android.
Augmentations Domain-Spécifiques : Introduction du Bernoulli Bit Flip et du Bernoulli Feature Mask pour régulariser l'apprentissage sur des caractéristiques binaires structurées.
Sélection Multi-Critères : Conception d'une stratégie d'apprentissage actif combinant marge, distance et incertitude pour une adaptation robuste.
Nouveau Dataset : Construction d'un dataset basé sur les fonctionnalités de MaMaDroid s'étendant sur 12 ans, reflétant les caractéristiques temporelles du dataset LAMDA.

4. Résultats Expérimentaux

L'évaluation a été menée sur quatre benchmarks à grande échelle : APIGraph, Chen-AZ, MaMaDroid et LAMDA.

Performance (F1-Score) :
- Avec seulement 40 % de données étiquetées, CITADEL surpasse les méthodes de l'état de l'art (comme Chen-AL).
- APIGraph : +1,1 % d'amélioration (F1 ~93,5 %).
- Chen-AZ : +4,3 % d'amélioration (F1 ~82,7 %).
- MaMaDroid : +8,9 % d'amélioration (F1 ~44,9 %).
- LAMDA (dérive la plus sévère) : +13,2 % d'amélioration (F1 ~77,7 %), surpassant Chen-AL de plus de 34 % dans certains scénarios de budget.
Efficacité Computationnelle :
- CITADEL est 24 fois plus rapide à l'entraînement que Chen-AL.
- Il nécessite 13 fois moins d'opérations, permettant une adaptation plus rapide aux menaces émergentes.
Robustesse : Le modèle maintient des taux de faux positifs (FPR) et de faux négatifs (FNR) équilibrés, contrairement à d'autres méthodes qui sacrifient l'un pour l'autre.

5. Signification et Impact

Ce travail démontre que l'apprentissage semi-supervisé couplé à une sélection active intelligente est une alternative viable et supérieure à l'apprentissage entièrement supervisé pour la détection de malwares dans des environnements réels en évolution constante.

Adaptabilité : CITADEL résout le problème de la rareté des étiquettes en exploitant massivement les données non étiquetées tout en s'adaptant aux changements de distribution sans réentraînement complet.
Déploiement Réaliste : La réduction drastique des coûts de calcul et de l'effort d'annotation rend ce système applicable pour les éditeurs de sécurité qui doivent gérer des flux massifs de nouvelles applications Android.
Généralisation : La méthodologie propose des solutions robustes pour les tâches de classification binaire structurée où les augmentations traditionnelles (comme en vision par ordinateur) échouent.

En conclusion, CITADEL établit un nouvel état de l'art pour la détection de malwares Android face à la dérive conceptuelle, offrant un équilibre optimal entre précision, robustesse et efficacité opérationnelle.