CITADEL: A Semi-Supervised Active Learning Framework for Malware Detection Under Continuous Distribution Drift

1. Problema Abordado

O ecossistema Android enfrenta um desafio crítico na detecção de malware devido ao desvio de conceito (concept drift). Com a evolução constante de aplicativos maliciosos e benignos, as propriedades estatísticas dos dados mudam ao longo do tempo, degradando o desempenho dos sistemas de detecção baseados em aprendizado de máquina (ML).

Os principais obstáculos identificados são:

• Escala e Rotulagem: Surgem cerca de 300.000 novas amostras de malware por mês, tornando o rotulamento manual por especialistas inviável e caro.
• Limitações dos Métodos Atuais: Abordagens existentes (como Chen-AL) são totalmente supervisionadas, computacionalmente caras e dependem de acesso contínuo a dados rotulados. Elas falham em cenários de longo prazo e em benchmarks reais com desvio de distribuição severo.
• Inadequação de Técnicas SSL Padrão: Métodos de Aprendizado Semi-Supervisionado (SSL) como o FixMatch, originalmente projetados para visão computacional, não generalizam bem para características binárias estruturadas de malware quando aplicados diretamente, pois as transformações de aumento de dados (como rotação ou mudança de cor) não fazem sentido nesse domínio.

2. Metodologia: O Framework CITADEL

O CITADEL é um framework de Aprendizado Ativo Semi-Supervisionado (SSAL) projetado para adaptar-se a desvios de distribuição contínuos com orçamentos de rotulagem limitados. A arquitetura combina três pilares principais:

A. Aumentação de Dados Específica para Malware

Para adaptar o FixMatch ao domínio de malware (vetores binários de features estáticas), o CITADEL substitui as transformações de imagem por duas estratégias estocásticas baseadas na distribuição de Bernoulli:

1. Bernoulli Bit Flip: Inverte aleatoriamente um subconjunto de bits (features) no vetor binário. Isso simula mudanças comportamentais onde o malware começa ou para de usar funcionalidades específicas.
2. Bernoulli Feature Mask: "Desativa" (zera) aleatoriamente um subconjunto de features. Isso modela o desaparecimento de padrões observáveis, como chamadas de API descontinuadas ou permissões obsoletas em novas variantes.

• Objetivo: Introduzir ruído controlado para regularizar o aprendizado, forçando o modelo a ser robusto a variações nas distribuições de features sem alterar a semântica da classe.

B. Função de Objetivo Híbrida

O CITADEL otimiza uma função de perda composta por:

1. Perda Supervisionada (Cross-Entropy): Para dados rotulados.
2. Perda de Consistência Não Supervisionada: Para dados não rotulados com pseudo-rótulos de alta confiança (gerados via weak augmentation), garantindo que o modelo seja consistente entre visões fracas e fortes dos dados.
3. Perda de Contraste Supervisionada (Supervised Contrastive Loss): Adicionada para melhorar a separação das classes no espaço latente, especialmente para amostras ambíguas próximas à fronteira de decisão, empurrando classes diferentes e agrupando classes iguais.

C. Estratégia de Seleção de Amostras Multi-Critério

Para selecionar quais amostras não rotuladas devem ser enviadas para análise humana (orçamento de rotulagem), o CITADEL utiliza uma estratégia que combina três indicadores de incerteza:

1. Margem Softmax: Amostras com pequena diferença entre as duas probabilidades de classe mais altas (próximas à fronteira de decisão).
2. Distância Lp-Norm: Calcula a distância no espaço de embeddings entre a amostra não rotulada e seu vizinho rotulado mais próximo. Amostras distantes indicam desvio de distribuição ou novidade.
3. Baixa Confiança de Predição: Amostras onde o modelo tem baixa probabilidade máxima atribuída a qualquer classe.

• Mecanismo: Os três scores são normalizados e somados para criar um score unificado de incerteza, selecionando as top-k amostras mais informativas para rotulagem.

3. Contribuições Principais

1. Framework CITADEL: Proposta de um sistema SSAL adaptado especificamente para detecção de malware Android sob desvio de conceito de longo prazo.
2. Novas Técnicas de Aumentação: Introdução de Bernoulli Bit Flip e Bernoulli Feature Mask para lidar com vetores de features binários estruturados, superando as limitações de métodos de visão computacional aplicados a malware.
3. Seleção Multi-Critério: Desenvolvimento de uma estratégia de Active Learning que integra margem de fronteira, distância no espaço de features e confiança, superando métodos que usam apenas um critério de incerteza.
4. Novo Dataset: Construção de um dataset baseado em features do MaMaDroid cobrindo 12 anos, espelhando as características temporais do benchmark LAMDA.
5. Eficiência Computacional: Redução significativa no tempo de treinamento e operações computacionais em comparação com o estado da arte.

4. Resultados Experimentais

O CITADEL foi avaliado em quatro benchmarks de larga escala: APIGraph, Chen-AZ, MaMaDroid e LAMDA.

• Desempenho (F1-Score):
  • Com apenas 40% dos dados rotulados, o CITADEL superou os métodos anteriores em todos os conjuntos de dados.
  • Ganhos de F1 em relação ao Chen-AL (estado da arte anterior):
    • +1,1% em APIGraph (atingindo 93,5%).
    • +4,3% em Chen-AZ (atingindo 82,7%).
    • +8,9% em MaMaDroid (atingindo 44,9%).
    • +13,2% em LAMDA (atingindo 77,7%), demonstrando robustez extrema em cenários de longo prazo com desvio severo.
• Eficiência:
  • O CITADEL é 24 vezes mais rápido no treinamento do que o Chen-AL.
  • Requer 13 vezes menos operações computacionais.
• Ablação: O estudo demonstrou que cada componente (aumentação específica, perda de contraste e seleção multi-critério) contribui significativamente para o desempenho final. Sem a seleção ativa ou as aumentações específicas, o desempenho cai drasticamente.

5. Significado e Impacto

O trabalho do CITADEL é significativo por várias razões:

• Viabilidade Prática: Resolve o gargalo da rotulagem massiva de malware, permitindo que sistemas de detecção se adaptem continuamente com uma fração mínima de dados rotulados.
• Robustez a Longo Prazo: Diferente de métodos que funcionam bem apenas em janelas temporais curtas, o CITADEL mantém alta performance em períodos de 12 anos, onde a distribuição de malware muda drasticamente.
• Eficiência Operacional: A redução de 24x no tempo de treinamento torna a atualização de modelos viável em ambientes de produção com recursos limitados, permitindo respostas mais rápidas a novas ameaças.
• Generalização de SSL: Demonstra que técnicas de aprendizado semi-supervisionado podem ser adaptadas com sucesso para domínios não visuais (como segurança cibernética) através do design correto de transformações de dados.

Em resumo, o CITADEL estabelece um novo estado da arte para a detecção adaptativa de malware, equilibrando precisão, eficiência computacional e viabilidade de implementação em cenários reais de evolução de ameaças.