💻 computer science

Can Drift-Adaptive Malware Detectors Be Made Robust? Attacks and Defenses Under White-Box and Black-Box Threats

该论文针对自适应漂移的恶意软件检测器在对抗攻击下的脆弱性，提出了一种通用鲁棒化框架，通过在不同威胁模型（白盒 PGD 与黑盒 MalGuise）下采用差异化的微调策略，显著降低了攻击成功率并提供了部署建议。

原作者： Adrian Shuai Li, Md Ajwad Akil, Elisa Bertino

发布于 2026-04-09

📖 1 分钟阅读☕ 轻松阅读

原作者： Adrian Shuai Li, Md Ajwad Akil, Elisa Bertino

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

这篇论文探讨了一个非常现实且棘手的问题：当电脑病毒（恶意软件）不断“进化”时，我们用来杀毒的 AI 系统该如何保持“既聪明又强壮”，不被黑客骗过？

为了让你轻松理解，我们可以把整个故事想象成一场**“猫鼠游戏”**，而这篇论文就是关于如何给“猫”（杀毒 AI）穿上防弹衣，同时让它能适应不断变化的“老鼠”（病毒）的研究。

1. 背景：猫为什么会变笨？（概念漂移）

想象你养了一只猫，专门抓老鼠。

过去： 老鼠长得都很像（比如都是灰色的，跑得快）。你教猫认这种老鼠，它抓得很准。
现在： 老鼠们开始“进化”了。它们有的穿了迷彩服，有的戴了假发，有的甚至学会了像猫一样走路。
问题： 如果你只教猫抓“旧老鼠”，当新老鼠出现时，猫就认不出来了。这在技术上叫**“概念漂移”**（Concept Drift）。
现有的方案（AdvDA）： 以前的研究者想出了一个好办法：让猫定期学习新老鼠的样子，把“旧老鼠”和“新老鼠”的特征对齐。这样猫就能一直抓得住新老鼠了。

2. 新危机：老鼠会“伪装”（对抗攻击）

但是，老鼠们（黑客）很狡猾，它们不仅仅是进化，它们还会**“伪装”**。

白盒攻击（PGD）： 就像黑客直接拿着猫的“大脑图纸”（模型参数），精确地计算出一根针，轻轻扎一下猫的眼睛，猫就瞬间瞎了，把老鼠当成猫粮。
黑盒攻击（MalGuise）： 黑客不知道猫的大脑图纸，但它们知道猫是靠“看”老鼠的。于是，黑客给老鼠穿上了一件极其微小的、肉眼看不见的“隐形斗篷”（修改二进制代码中的控制流），让猫觉得“这看起来不像老鼠”，从而放过它。

核心问题： 现有的“定期学习新老鼠”的方法（AdvDA），虽然能抓新老鼠，但完全防不住这些会伪装的坏老鼠。一旦黑客稍微改一下老鼠，猫就彻底失效了。

3. 论文的核心方案：给猫穿上“防弹衣”（通用加固框架）

作者提出了一种通用的“防弹衣”制造方法（Universal Robustification Framework）。

原理： 在训练猫的时候，故意给老鼠穿上各种“伪装”（对抗样本），让猫在训练场上就见识过这些花招。这样，当真正的黑客来伪装老鼠时，猫就能识破了。
关键点： 他们发现，给猫穿防弹衣有两种不同的策略，取决于黑客是用什么招数。

4. 两大发现：不同的敌人，不同的打法

发现一：对付“精密计算型”黑客（PGD 攻击）

场景： 黑客能直接修改猫看到的图像像素（特征空间）。
策略： 必须让猫在训练时，既看“旧老鼠的伪装版”，也看“新老鼠的伪装版”。
比喻： 就像教士兵打仗，不仅要教他怎么打现在的敌人，还要教他怎么打以前敌人的“升级版”。如果只教新敌人，士兵遇到旧敌人的新花招还是会懵。
结果： 这种“双管齐下”的训练，能把黑客的成功率从 100% 降到 3% 左右。

发现二：对付“结构修改型”黑客（MalGuise 攻击）

场景： 黑客修改的是老鼠的“内部结构”（二进制代码），但外表看起来没变。
策略： 只需要让猫看“新老鼠的伪装版”就够了！
比喻： 这种攻击非常具体，就像黑客给每只老鼠单独定制了不同的迷彩服。如果你让猫去研究“旧老鼠”的迷彩服（源域训练），不仅没用，反而会让猫把正常的老鼠也误杀了（准确率下降），而且训练时间会慢 70 多倍！
结果： 只训练新老鼠，就能把黑客成功率降到 5%，而且猫抓正常老鼠的准确率几乎不受影响。

5. 最惊人的结论：防弹衣不能“通用”

这是论文最反直觉的地方：

你不能用防“子弹”的防弹衣去防“毒气”。
如果你用针对 PGD（精密计算）训练出来的猫，去抓 MalGuise（结构修改）的老鼠，猫会 100% 失效。
反之亦然。
结论： 没有一种“万能防弹衣”能同时挡住所有类型的黑客。你必须根据你担心哪种黑客，来专门定制你的防御策略。

6. 给普通人的建议（部署指南）

作者最后给出了像“使用说明书”一样的建议：

如果你担心的是“白盒黑客”（能拿到模型内部数据）：
- 怎么做： 必须使用“双管齐下”的训练（同时训练旧数据和新数据的对抗样本）。
- 代价： 训练稍微慢一点，但非常值得，因为能挡住 99% 的精密攻击。
如果你担心的是“黑盒黑客”（只能看到输出结果，像 MalGuise 这种）：
- 怎么做： 只训练新数据，不要碰旧数据。
- 理由： 强行训练旧数据不仅没用，还会让猫变笨（误杀正常文件），而且训练慢得要死。
- 惊喜： 其实现在的猫（AdvDA）对这种黑盒攻击本身就有点抵抗力，稍微训练一下新数据就够用了。

总结

这篇论文告诉我们：在网络安全的世界里，没有“一招鲜吃遍天”的神器。
当病毒不断进化（概念漂移）时，杀毒 AI 必须不断适应。但如果你想让它变得“刀枪不入”，你必须搞清楚敌人是用什么招数（是改像素还是改结构），然后量身定制训练方法。试图用一种方法解决所有问题，不仅浪费钱，还可能让系统变得更脆弱。

一句话总结： 给杀毒 AI 穿防弹衣，得看敌人是用枪还是用毒，**“对症下药”**才是硬道理。

这是一篇关于漂移自适应恶意软件检测器（Drift-Adaptive Malware Detectors）对抗鲁棒性的学术论文总结。该研究由普渡大学（Purdue University）的 Adrian Shuai Li 等人完成，旨在解决概念漂移（Concept Drift）与对抗性逃避（Adversarial Evasion）相结合时的安全挑战。

以下是该论文的详细技术总结：

1. 研究背景与问题定义 (Problem)

核心挑战：现有的基于机器学习的恶意软件检测器面临两大挑战：
1. 概念漂移：恶意软件作者不断进化技术，导致在旧数据上训练的模型对新威胁的检测能力下降。
2. 对抗性逃避：攻击者专门构造样本以绕过检测器。
现有局限：
- 虽然“概念漂移”和“对抗攻击”已被分别研究，但漂移自适应检测器的对抗鲁棒性尚未被探索。
- 现有的防御方法（如对抗训练）通常假设数据分布是固定的，而漂移自适应模型（如 AdvDA）涉及源域（旧数据）和目标域（新数据）之间的分布偏移。在源域学到的鲁棒性可能无法迁移到目标域。
研究目标：评估漂移自适应检测器（AdvDA）在面对不同威胁模型时的脆弱性，并提出通用的鲁棒化框架。

2. 方法论 (Methodology)

2.1 基础模型：AdvDA

研究基于 AdvDA（Adversarial Domain Adaptation），这是一种利用对抗域适应技术，将带有标签的旧样本（源域）与少量标签的新样本（目标域）的特征分布对齐，以维持检测精度的模型。

2.2 提出的通用鲁棒化框架

作者提出了一个通用鲁棒化框架，其核心思想是对预训练的 AdvDA 模型进行微调，使用对抗性变换后的输入进行训练。

通用性：该框架与具体的攻击类型和输入变换方式无关。
训练策略：通过改变源域（Source）和目标域（Target）的变换方式，生成不同的防御变体。
- 输入变换：可以是原始干净数据，也可以是经过对抗攻击生成的数据。
- 优化目标：最小化分类损失和域差异（Domain Divergence）。

2.3 威胁模型 (Threat Models)

研究评估了两种截然不同的攻击场景：

白盒攻击 (White-Box) - PGD：
- 攻击者拥有模型架构、参数和梯度的完全访问权。
- 使用 投影梯度下降 (PGD) 在输入特征空间施加有界的 $\ell_\infty$ 扰动。
- 这是域适应（DA）防御研究中的标准攻击模型。
黑盒攻击 (Black-Box) - MalGuise：
- 攻击者不知道模型细节，只能查询预测分数。
- 使用 MalGuise 攻击，这是一种基于蒙特卡洛树搜索 (MCTS) 的二进制级逃避攻击。
- 通过保持功能不变的控制流图 (CFG) 变异（如重定向 CALL 指令、注入 NOP 等）来修改恶意软件二进制文件，使其被分类为良性。

2.4 防御变体 (Defense Variants)

研究实例化了 5 种防御变体：

基于 DART (PGD) 的 3 种变体：
- DART (clean)：仅对目标域进行对抗训练，源域保持干净。
- DART (adv)：对源域和目标域均进行对抗训练（最大化分类损失）。
- DART (kl)：对源域和目标域均进行对抗训练（最大化 KL 散度）。
基于 MalGuise 的 2 种变体：
- MalGuise (clean)：仅对目标域使用 MalGuise 生成的对抗样本进行训练。
- MalGuise (adv)：对源域和目标域均使用 MalGuise 生成的对抗样本进行训练。

3. 实验设置 (Evaluation Setup)

数据集：MB-24+，包含 2024 年 3 月至 12 月的 Windows 恶意软件样本，模拟真实的概念漂移（每月新家族占比高）。
实验设计：
- 9 种防御配置（包括无防御的基线）。
- 5 个月度适应窗口（模拟持续更新）。
- 3 个假阳性率 (FPR) 工作点 (0.5%, 1%, 2%)。
评估指标：
- 攻击成功率 (ASR)：在共同检测到的恶意软件集合上，攻击成功的比例。
- 干净真阳性率 (Clean TPR)：未受攻击样本的检测率。
- 计算成本：训练和生成对抗样本的时间开销。

4. 关键结果与发现 (Key Results)

4.1 无防御模型的脆弱性

PGD 攻击：未防御的 AdvDA 模型在 PGD 攻击下完全脆弱，攻击成功率 (ASR) 达到 100%。
MalGuise 攻击：未防御的 AdvDA 对 MalGuise 表现出中等程度的鲁棒性（ASR 约 13%）。这归因于 ResNet-18 骨干网络和域适应特征表示能够衰减二进制文件中局部的、稀疏的结构变化。

4.2 防御效果对比

针对 PGD 攻击：
- 源域对抗训练至关重要：DART (adv) 和 DART (kl)（源域 + 目标域对抗训练）将 ASR 从 28.6% 降低至 3.2%。
- 仅目标域训练 (DART clean) 效果较差。
- 鲁棒性具有局部性：在较小扰动预算（ $\epsilon=2/255$ ）下训练的模型，在面对更强攻击（ $\epsilon=8/255$ ）时性能急剧下降。
针对 MalGuise 攻击：
- 源域对抗训练适得其反：仅目标域训练 (MalGuise clean) 已能将 ASR 降至 5.1%，且保持了与基线相当的干净 TPR。
- 添加源域对抗训练 (MalGuise adv) 仅带来微小的 ASR 提升（降至 3.2%），但导致干净 TPR 大幅下降 32-44%，且训练成本增加 76.8 倍。
- 原因：MalGuise 攻击是特定于二进制的，源域上的对抗样本特征无法很好地迁移到目标域，反而破坏了模型对干净样本的判别能力。

4.3 跨攻击鲁棒性迁移 (Cross-Attack Transferability)

结论：鲁棒性不迁移。
- 针对 PGD 训练的模型（DART 系列）对 MalGuise 攻击完全无效（ASR 仍为 100%）。
- 针对 MalGuise 训练的模型（MalGuise 系列）对 PGD 攻击完全无效（ASR 为 100%）。
原因：PGD 产生的是稠密的、基于梯度的像素级扰动，而 MalGuise 产生的是稀疏的、保持结构的二进制变换。对抗训练针对特定扰动几何形状，无法泛化到正交的威胁模型。

4.4 成本与性能权衡

DART (kl) 是防御 PGD 的最佳选择：提供高鲁棒性（ASR ~3.7%），同时保持较高的干净 TPR 和适中的计算成本。
MalGuise (clean) 是防御 MalGuise 的最佳选择：提供高鲁棒性（ASR ~5.1%），几乎不损失干净 TPR，且计算成本仅为基线的 3.2 倍。

5. 主要贡献与意义 (Contributions & Significance)

首次研究：这是首个针对基于域适应（DA）的恶意软件检测器的对抗鲁棒性研究，也是首个在概念漂移环境下同时评估 PGD 和 MalGuise 攻击的工作。
通用框架：提出了一个与攻击类型无关的通用鲁棒化框架，并验证了其在不同威胁模型下的有效性。
颠覆性发现：
- 源域训练的作用取决于攻击类型：对于特征空间攻击（PGD），源域对抗训练是必须的；对于二进制级攻击（MalGuise），源域对抗训练不仅多余，而且有害。
- 鲁棒性不可迁移：在漂移自适应系统中，针对一种攻击的防御无法自动防御另一种攻击。
实践建议：
- 没有单一的防御方案能同时抵御所有威胁。
- 建议根据预期的攻击向量选择防御策略：若担心白盒梯度攻击，使用 DART (kl)；若担心黑盒二进制修改，使用 MalGuise (clean)。
- 未来的防御架构应考虑多视图（Multi-view）集成，结合针对不同类型扰动的专用检测器。

总结

该论文揭示了在动态变化的恶意软件环境中，传统的对抗防御策略（如直接迁移自图像领域的对抗训练）并不总是适用。它强调了理解特定攻击几何形状以及源域与目标域数据特性差异的重要性，为构建更鲁棒的自适应安全系统提供了重要的理论依据和部署指南。