🤖 AI

On the Reliability and Stability of Selective Methods in Malware Classification Tasks

本文介绍了 Aurora，一个用于评估选择性恶意软件分类器在分布偏移下的可靠性和运行稳定性的框架，揭示了当前的先进模型尽管基准性能指标表现出色，但往往缺乏实际部署所需的置信度质量。

原作者： Alexander Herzog, Aliai Eusebi, Lorenzo Cavallaro

发布于 2026-01-22

📖 1 分钟阅读☕ 轻松阅读

原作者： Alexander Herzog, Aliai Eusebi, Lorenzo Cavallaro

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

想象一下，你是一位在迷雾缭绕、变幻莫测的大海中航行的船长。你的任务是在成千上万个无害冰块（良性应用）中识别出危险的冰山（恶意软件）。你的雷达系统（AI 分类器）会在发现可疑目标时发出鸣叫。

多年来，科学界一直根据一个标准来评判这些雷达系统：雷达鸣叫了多少次？ 如果雷达在 95% 的冰山面前都发出了鸣叫，大家就会欢呼：“太棒了！这是最好的雷达！”

但这一篇题为《论恶意软件分类任务中选择性方法的可靠性与稳定性》的论文指出，仅仅计数鸣叫是不够的。它提出了一个更危险的问题：“当雷达鸣叫时，它真的知道自己是对的吗？而当它保持沉默时，它真的安全吗？”

以下是他们利用简单类比得出的研究结果。

1. 问题所在：“过度自信”的雷达

作者发现，现代高科技雷达系统经常存在一种极度过度自信的情况。

场景： 雷达看到一个无害的冰块，却大声鸣叫，并以 99% 的确定性宣称：“危险！是冰山！”
现实： 那只是一朵云。
后果： 在现实世界中，如果你的雷达如此不可靠，你会浪费船员的时间去追逐虚假的警报，或者更糟的是，因为雷达正忙于对错误的东西表现得过度自信，导致你忽略了真正的冰山。

论文将此称为**“置信度”*的失败。一个好的系统不应仅仅是准确的；它需要知道何时*自己是不确定的。如果不确定，它应该说：“我不知道，让专业人员来检查一下。”

2. 新工具：“Aurora”

为了解决这个问题，作者构建了一个名为 Aurora 的新测试框架。你可以把 Aurora 想象成一场模拟风暴，旨在测试这些雷达在浓雾中应对情况的能力。

Aurora 不仅仅检查雷达是否找到了冰山，它还会检查：

排序能力： 如果雷达说“这个有 90% 的危险性”和“这个有 10% 的危险性”，那么那个 90% 的目标是否真的更危险？
稳定性： 如果明天的雾变得更浓了，雷达是会开始随机乱叫，还是能保持冷静和一致？
预算限制： 在现实世界中，你只有有限数量的人类船员来检查那些“可疑”物品。雷达是将船员派往正确的地点，还是在无害的云朵上浪费他们的时间？

3. 实验：高科技 vs. 简单工具

研究人员测试了四种在现实世界中使用的不同“雷达”系统（AI 模型）：

Drebin & DeepDrebin： 较旧、较简单的系统（就像一个基础指南针）。
CADE & HCC： 更新、更复杂的系统，使用了高级的“对比学习”（就像一套高科技的多传感器融合系统）。

令人震惊的结果：
那些“高级”的高科技系统（CADE 和 HCC）在纸面上看起来非常出色。它们拥有极高的准确率得分。但当 Aurora 让它们经历模拟风暴时：

它们变得不稳定。它们的置信度得分变得混乱不堪。
它们浪费了人类船员的时间。它们过于频繁地将无害物品标记为危险。
它们无法适应。随着“雾气”（数据）随时间变化，它们的性能出现了崩溃。

与此同时，较简单的系统（如 DeepDrebin），虽然复杂程度较低且需要的计算能力较少，但在现实世界的模拟中表现得更好。它们对于自己知道和不知道的事情更加诚实。

4. “古德哈特定律”陷阱

论文引用了一句名言：“当一个衡量标准变成目标时，它就不再是一个好的衡量标准了。”

在这种情况下，科学家们如此痴迷于最大化准确率得分（目标），以至于我们无意中制造出了那些在实验室里能拿高分、但在处理互联网混乱多变的现实情况时表现糟糕的系统。我们优化的是测试，而不是实际工作。

5. 总结

作者得出结论，我们不能再仅凭一个数字（如“99% 准确率”）来评判这些安全工具。

相反，我们需要观察一个指标仪表盘（即他们所称的“Aurora”框架），它会询问：

系统是否对其不确定性保持诚实？
当数据发生变化时，它是否能保持冷静？
它是否将人类专家引导到了正确的地方？

核心观点：
仅仅因为一个机器学习模型在受控的实验室环境中看起来很聪明，并不意味着它在野外是可靠的。有时，一个了解自身局限性的简单、谦逊的工具，比一个复杂、过度自信却不知其所云的工具要安全且有用得多。论文表明，对于 Android 恶意软件检测而言，“简单”的方法目前在现实世界的可靠性竞赛中处于领先地位。

技术摘要：论恶意软件分类任务中选择性方法的可靠性与稳定性

问题陈述

现代恶意软件分类器，特别是那些针对分布漂移（distribution drift）进行优化的分类器，通常会报告极具吸引力的性能指标（如 F1、FPR）。然而，这些指标主要反映了在静态或孤立偏移条件下的基准预测准确率，忽略了在实际部署中的运行可靠性（operational reliability）与稳定性（stability）。

在实际运行场景中（例如主动学习或选择性分类），一旦缺乏地面真值标签（ground-truth labels），模型的置信度估计（confidence estimates）便成为决策的唯一信号。一个值得信赖的系统必须确保高置信度预测极有可能正确，并且低置信度（或高分布外/OOD 分数）能够准确地标记出需要人工审查的实例。当前的评估范式未能验证置信度函数在持续的时间漂移下是否能保持校准（calibrated）与稳定。正如古德哈特定律 [15] 所言：“当一个度量标准变成目标时，它就不再是一个好的度量标准了。” 针对 F1 等头条指标进行优化往往会掩盖置信度排序方面的缺陷，从而导致：

资源误导： 主动学习将标注预算浪费在非信息量样本上。
运行脆弱性： 选择性分类无法拒绝易错实例，或者相反，拒绝了正确的预测。
不可预测的工作负载： 拒绝机制在面对漂移时无法追踪目标配额。

本文指出，在分布偏移下，神经网络容易出现严重的失校准（miscalibration）现象，即在处理分布外（OOD）输入时，即使预测错误也会分配高置信度，从而破坏了选择性分类和主动学习的核心前提。

方法论：Aurora 框架

为了解决这些差距，作者提出了 Aurora 框架，旨在根据置信度质量（confidence quality）和运行韧性（operational resilience）而非仅仅是瞬时准确率来评估恶意软件分类器。

1. 评估设置

该框架采用了一种非平稳、时间性评估协议，用以模拟真实的部署环境：

数据： 三个 Android 恶意软件数据集（APIGraph、AndroZoo、Transcendent），具有不同程度的漂移严重性。
协议： 一个月度循环，模型在新的月份数据（ $M_i$ ）上进行评估，查询一个固定的标注预算（ $B_{Mi}$ ，针对最不确定样本），接收标签并进行更新。
约束： 在在线阶段无法获得地面真值标签；决策完全依赖于模型的置信度分数。一个固定的拒绝阈值 ( $\rho$ ) 是基于无标签分数的滚动窗口进行校准的，以模拟每月标注预算或目标错误率。

2. 指标

Aurora 引入了一套分为三个维度的多维指标：

可靠性（置信度质量）：
- AURC（风险-覆盖率曲线下面积）： 衡量置信度分数对实际误分类概率的排序有效性。较低的 AURC 表示更好的排序能力（即错误被正确识别为低置信度）。
- AURC[F1]*： 一种基于 F1 的运行变体 AURC，使用基于 F1 的风险（ $1 - \text{F1}$ ）而非错误率。这可以检测弃权（abstention）是否不成比例地损害了某一类别（例如，拒绝了恶意软件样本却保留了良性样本），而标准的 AURC 可能会忽略这一点。
- 收益频率 (BF)：* 在选择性分类（弃权）相比于无拒绝基准线能提升 F1 分数的月份比例。
稳定性（时间鲁棒性）：
- $\sigma[\text{F1}]$ ： 月度 F1 分数的标准差，用于衡量性能的波动性。
- Mann-Kendall 趋势 ( $\tau$ )： 一种非参数检验，用于检测随时间变化的单调性能趋势（提升、退化或稳定）。
- 拒绝一致性：
  - $\Delta\text{Rej}^*$ ： 实际拒绝量与目标拒绝量之间的偏差。
  - $\sigma[\text{Rej}]^*$ ： 实现拒绝量的标准差，用于衡量分析师工作负载的可预测性。

3. 基准模型

该框架评估了四种最先进（SOTA）的开源框架：

Drebin： 基于静态特征的线性 SVM。
DeepDrebin： 基于 Drebin 特征的全连接网络。
CADE： 基于距离的 OOD 评分的对比学习。
HCC： 带有家族级约束的分层对比学习。

研究还调查了数据策展（data curation）的影响，比较了在完整初始数据集（ $B_0 = \text{Full}$ ）上训练的模型与在采样集（ $B_0 = 4800$ ）上训练的模型。

关键结果

评估揭示了头条性能指标与运行可靠性之间的显著脱节。

1. 置信度校准 vs. 准确率

F1 并不意味着可靠性： 具有相似 F1 分数的模型往往表现出截然不同的 AURC 值（差异可达 10 倍）。例如，在 APIGraph 数据集上，CADE 和 DeepDrebin 的 F1 分数相当，但 CADE 的 AURC 差了 6 倍，表明其置信度分数无法正确对错误进行排序。
拒绝中的类别不平衡： AURC[F1]* 显示，某些模型（如 HCC）虽然能很好地对总错误进行排序，但会不成比例地拒绝某一类（如恶意软件），从而降低了平衡检测的质量。
OOD 评分失效： CADE 基于距离的 OOD 评分（假设错误与聚类中心距离相关）在经验上失败了。风险-覆盖率曲线显示，误分类经常发生在聚类中心附近（高置信度），这与 CADE 的核心前提相矛盾。

2. 时间稳定性与拒绝一致性

灾难性不稳定： CADE 在拒绝行为方面表现出极大的不稳定性。在 Transcendent 数据集上，CADE-MSP 平均超出其拒绝配额 3,375 个样本（目标为 400），且具有巨大的变异性（ $\sigma[\text{Rej}]^* \approx 3347$ ），使其不适用于固定预算的操作。
脆弱的震荡 vs. 鲁棒的适应： 虽然某些模型显示出高 F1，但其稳定性指标（ $\sigma[\text{F1}]$ 和 $\tau$ ）揭示了在漂移下的系统性退化或不规则震荡。相比之下，DeepDrebin 在某些数据集上展示了稳健的适应能力，呈现出稳定的提升趋势。
弃权的益处： 选择性分类并非普遍有益。CADE 在几种配置下的收益频率（BF*）小于 5%，这意味着在大多数月份中，弃权反而损害了性能。

3. 帕累托视角

在跨多个维度（F1、AURC、 $\sigma[\text{F1}]$ 、 $\tau$ ）评估方法时，没有单一的方法能在所有条件下都占据主导地位。

DeepDrebin（配合采样） 和 HCC-MSP（配合采样） 始终表现为帕累托最优（Pareto-optimal），提供了性能、稳定性和可靠性之间的最佳权衡。
采样优势： 与直觉相反，在采样后的初始数据集（ $B_0 = 4800$ ）上训练往往比在第一年完整数据上训练效果更好，这表明大量的历史数据可能会阻碍对新漂移模式的适应。
复杂度 vs. 效用： 最简单的神经网络方法（DeepDrebin）通常优于依赖昂贵的家族标签和广泛训练的复杂框架（CADE、HCC），其消耗的计算预算仅为后者的极小部分。

意义与主张

本文声称，目前过度依赖静态准确率指标（F1、FPR）不足以评估动态环境下恶意软件分类器的可信度。

重新审视假设： 对 SOTA 框架观察到的脆弱性表明，关于置信度校准和 OOD 检测的底层假设（例如基于距离的度量）可能需要修正。
运行现实： 模型在部署中的行为取决于其置信度排序的质量和稳定性，而不仅仅是其实验室内的准确率。
方法论转向： 作者主张将安全模型的评估转向多维度评估，包括置信度校准、时间稳定性和拒绝一致性。
实际影响： 研究结果表明，“最佳”方法取决于运营优先级（例如，工作负载的可预测性 vs. 原始检测率）。一个在 F1 指标下占优的方法，在考虑可靠性和稳定性时可能会处于劣势。
简单胜过复杂： 研究强调，复杂的、依赖家族标签的框架并不一定能转化为部署中的鲁棒性，通过战略性的数据策展，更简单的基准模型可能会更加有效。

总之，本文认为“当 F1 成为目标时，它就不再是衡量可信度的良好指标”，因此像 Aurora 这样的框架对于揭示在分布漂移下部署选择性分类方法的潜在风险是必不可少的。