TAH-GAN: Time-Aware Hybrid Generative Adversarial Network for Robust Android Malware Evasion

技術要約：堅牢なAndroidマルウェア回避のためのTAH-GAN

問題提起
機械学習に基づくAndroidマルウェア検知器は、**時間的コンセプトドリフト（temporal concept drift）**に苦しんでいる。これは、過去のデータで学習されたモデルが、将来の運用期間に出現する新しいバリアントを検出できなくなる現象である。経験的な証拠によれば、訓練データとテストデータを時間的に厳密に分離した場合、分類器の精度が最大で46パーセントポイント低下することが示されている。敵対的機械学習は回避サンプルを生成するために使用されてきたが、既存の敵対的生成ネットワーク（GAN）は、特徴ベクトルを静的かつ文脈のない表現として扱う。その結果、それらは時間的に不整合なサンプル（例：ある年の権限パターンと別の年のAPIコールを組み合わせたもの）を生成してしまい、時間的に隔離された評価条件下では失敗する。文献には決定的な空白が存在する。すなわち、ドリフトを考慮した防御的な再学習に適した、将来に整合した（future-aligned）、時間的に一貫性のある敵対的マルウェアサンプルを生成するフレームワークはこれまで存在しなかった。

手法：TAH-GANフレームワーク
著者らは、現実的であり、回避能力が高く、かつ時間的一貫性を持つ敵対的サンプルを生成するように設計されたフレームワークであるTAH-GAN（Time-Aware Hybrid Generative Adversarial Network）を提案する。このシステムは、時間的に拡張された表現 $v(x, t) = [x \parallel \phi(t)]$ で動作する。ここで、$x$ はマルウェアの特徴ベクトルであり、$\phi(t)$ はフーリエ符号化された時間条件である。

1. フーリエ時間符号化（Fourier Temporal Encoding）: 既存の生成器の静的な性質に対処するため、TAH-GANは17次元の時間ベクトル $\phi(t)$ に基づいて生成器 $G$ を条件付ける。このベクトルは以下を組み合わせたものである：

   • 周期的な変動を捉えるために、正規化された暦年 $\tau_y(t)$ から導出されたサイン関数とコサイン関数の8つの高調波。
   • 単調な進行を保持する、正規化されたUnixタイムスタンプ $\tau_u(t)$。
     この符号化により、生成器は特定のターゲット期間に整合した特徴分布を合成することが可能になる。

2. アーキテクチャと学習:

   • 生成器（Generator, $G$）: 潜在ノイズ $z$ と時間条件 $\phi(t)$ を入力として受け取り、合成特徴ベクトル $\tilde{x}$ を生成する4層のMLP。
   • 識別器（Discriminator, $D$）: 拡張されたベクトル $v(\tilde{x}, t)$ の現実性を評価する、勾配ペナルティ付きWasserstein GAN（WGAN-GP）クリティック。これは、生成されたサンプルが実在するマルウェア分布に類似することを保証するためのリアリズム目的関数を提供する。
   • 分類器（Classifier, $C$）: 事前学習された多層パーセプトロン（MLP）が凍結されたターゲットとして使用される。これは、サンプルが有害である確率を計算することで回避目的を提供する。生成器は、識別器のリアリズム制約を満たしながら、この確率を最小化（すなわち、回避を最大化）するように学習される。
   • 損失関数: 生成器は、結合損失 $L_G = -\lambda_R E[D(v_g)] + \lambda_E E[\sigma(C(v_g))]$ を最小化し、リアリズムと回避のバランスを取る。

3. 2段階の品質管理（Quality Control, QC）:
   フルバッチの生成サンプルをリリースする前に、TAH-GANはパイロットバッチテストを実施する。チェックポイントは、パイロットバッチが以下の2つの閾値を同時に満たした場合にのみリリースされる：

   • リアリズム・ゲート（Realism Gate）: 少なくとも98%のサンプルが $D(v) \geq 0$ を満たすこと。
   • 回避ゲート（Evasion Gate）: 少なくとも98%のサンプルが $\sigma(C(v)) < 0.5$ を満たすこと。
     これにより、最終的なデータセットが、単に周辺的な成功率を平均化したものではなく、両方の制約を満たす現実的かつ回避能力の高いサンプルで構成されることを保証する。

主な貢献

• 初の時間認識型GANによるマルウェア解析: TAH-GANは、時間的に隔離された評価設定下において、将来に整合した敵対的マルウェアを生成するためにフーリエ時間符号化を具体的に組み込んだ、初のGANベースのフレームワークである。
• ドリフトを考慮した再学習のサポート: 本フレームワークは、ドリフト問題を単なるダウンストリームのモデリング問題として扱うのではなく、明示的に対処するために、「ハード・ネガティブ」として機能するサンプルを生成する。
• デュアルゲート品質管理: 2段階のQCワークフロー（リアリズム ＋ 回避）の導入により、高忠実度の生成を実現し、どちらかの制約に失敗するサンプルを排除する。
• オープンリソース: 著者らは、実装コード、実験スクリプト、および1,757,645個の凍結された品質管理済み出力からなるデータセットを公開している。

実験結果
本フレームワークは、時間的に隔離された訓練・テスト分割を用いて、KronoDroid（動的システムコール）およびAndroMD（静的特徴量：MNF、KeyCount、ZeroOne）データセットで評価された。

• ベースラインとの比較性能: TAH-GANは、ベースライン（CTGAN、DoPGAN、および標準的なEGAN）を大幅に上回った。
  • バランス・ゲート・スコア（BGS）: TAH-GANは**99.7%**を達成し、CTGANの88.5%およびDoPGANの87.2%を上回った。
  • 結合ゲート通過率（JGR）: すべての凍結出力に対して厳格な再計算を行った結果、**99.816%**のサンプルがリアリズムと回避の両方のゲートを同時に通過した。
  • 時間的一貫性: TAH-GANは0.91の時間的一貫性スコアを達成したが、非時間的なベースライン（CTGAN、DoPGAN）のスコアはわずか0.12であった。
• 回避の有効性: ベースラインの分類器に注入された際、TAH-GANは検出率（再現率）を平均して約98.1%から**0.5%**へと低下させた。
• 転移性: MLPターゲットを回避するように生成されたサンプルは、未知のアーキテクチャ（CNN1D、LSTM、ResNet）に対しても**82〜87%**の回避率を達成し、アーキテクチャに依存しない有効性を示した。
• アブレーション研究: 時間符号化を除去するとBGSが2.0パーセントポイント低下し、フーリエ条件付けの必要性が確認された。品質管理を除去した場合、最大の低下（5.0パーセントポイント）が見られた。

意義と主張
本論文は、TAH-GANがマルウェア検知器の時間的に進化する決定境界の弱点を露呈することを主張している。将来のマルウェアの分布に整合したサンプルを生成することで、本フレームワークは、コンセプトドリフトに対する防御をストレス・テストし、再学習するための堅牢なメカニズムを提供する。

著者らは、TAH-GANを、プロダクション環境のアンチウイルス・スタック（多くの場合、シグネチャベースまたはハイブリッドなアプローチを使用）を打破するためのツールとしてではなく、MLベースの検知器のためのセキュリティ評価ツールとして位置づけている。生成されたデータセットは、研究者がドリフトを考慮した再学習を研究し、将来の検知システムの堅牢性を向上させるための再現可能なリソースとして機能する。本研究は、時間的な条件付けなしでは、敵対的生成器は真の脅威状況を代表することに失敗する、不整合なサンプルを生成してしまうことを強調している。