🤖 machine learning

ThreatVisionAI: A Hybrid CNN-ViT Framework for Image-Based Malware Classification

ThreatVisionAI 是一个结合了原始图像 CNN、小波 CNN 和视觉 Transformer 的混合框架，通过有效捕捉互补的空间、频域和全局关系特征，实现了最先进的恶意软件家族分类准确率。

原作者： Allyson Taylor, Prashanth BusiReddyGari

发布于 2026-07-07

📖 1 分钟阅读☕ 轻松阅读

原作者： Allyson Taylor, Prashanth BusiReddyGari

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

想象一下，你正在试图整理一大堆伪造的钞票。有些看起来几乎与真钞一模一样，而有些则被涂上了肉眼难以察觉的隐形墨水或奇特的纹理。传统的保安（旧的杀毒软件）只是检查一份已知的黑名单序列号。如果出现了一张从未见过的假钞，他们就会放行。

名为 “ThreatVisionAI” 的论文提出了一种全新的、超级聪明的分类团队来处理这项工作。该团队不再仅仅盯着序列号看，而是将每段恶意软件（坏的计算机代码）转化为一张灰度图片，并使用三位不同的“专家”同时对这张图片进行分析。

以下是这三位专家是如何工作的，使用了简单的类比：

团队中的三位专家

“像素侦探”（原始图像 CNN）：
- 它做什么： 这位专家逐个像素地观察图片，就像它原本的样子。这就像一名侦探在观察钞票的形状和颜色，看看边缘是否参差不齐，或者是否存在重复的图案。
- 优势： 它擅长捕捉局部细节和熟悉的形状。
- 劣势： 如果两张假钞从远处看几乎完全一样，它有时会漏掉细微的区别。
“纹理低语者”（基于小波变换的 CNN）：
- 它做什么： 这是该论文的特别创新。想象一下，你拿着那张钞票，通过一个特殊的过滤器将其分解为它的频率。它将“平滑”的部分与“粗糙”的部分分开，并观察水平、垂直和对角线的“纹理颗粒”。
- 优势： 它能发现“像素侦探”会错过的微小且具有方向性的纹理。这就像是通过触摸纸张的纹理来分辨两张看起来完全一样的假钞。论文发现，这位专家对于区分那些在人类眼中看起来几乎相同的恶意软件家族至关重要。
- 劣势： （注：原文此处未直接列出劣势，仅描述了其功能与优势）
“大局观察者”（Vision Transformer 或 ViT）：
- 它做什么： 当另外两位专家在观察特定位置时，这位专家会退后一步，同时观察整幅图像。它会将左上角与右下角之间的点连接起来，理解不同部分之间是如何在全局范围内相互关联的。
- 优势： 它理解整幅图像的“故事”，而不只是单个句子。

他们如何协同工作

该团队并不让一位专家做最终决定，而是使用了一个**“加权软投票”**系统。把它想象成一个陪审团：

“像素侦探” 拥有 50% 的投票权（因为它最可靠）。
“纹理低语者” 拥有 40% 的投票权（它非常擅长捕捉细微差别）。
“大局观察者” 拥有 10% 的投票权（它增加了额外的上下文信息）。

他们结合各自的意见来做出最终决定。

结果：他们表现如何？

团队在一个著名的恶意软件图像数据集 Malimg 上测试了这个系统，该数据集包含约 9,500 张来自 25 种不同类型恶意软件的图片。

得分： 团队实现了 98.01% 的准确率。这意味着在 100 张新的恶意软件图片中，他们能正确识别出 98 次恶意软件的家族。
胜利之处： “纹理低语者”（小波变换）是明星选手。它帮助团队区分了两个非常相似的恶意软件家族（称为 Swizzor.gen!E 和 Swizzor.gen!I），而其他专家在区分它们时非常吃力。如果没有这种基于频率的视角，团队会更容易把它们搞混。

他们无法解决的一个问题

论文承认存在一个顽固的问题。有两种类型的恶意软件——Autorun.K 和 Yuner.A——它们的图像形式看起来极其相似，以至于即使是最优秀的专家也无法分辨。

AI 尽了最大努力，但它总是把原本是 Autorun.K 的样本误判为 Yuner.A。
研究人员使用了一种叫做 Grad-CAM 的工具（它可以高亮显示 AI 正在观察的部分）并发现，AI 在处理两者时观察的位置完全相同。
结论： 这不是 AI 的错误，而是数据的局限性。这些图片本身就太过于一致了。

缺陷（局限性）

对抗性攻击： 论文测试了如果有人尝试通过添加微小的、肉眼不可见的噪声（就像魔术师的障眼法）来欺骗 AI 会发生什么。系统的准确率显著下降，这表明如果攻击者了解该模型的运作方式，它是可以被愚弄的。
陈旧数据： 测试数据来自 2011 年。虽然该方法在这个旧数据集上表现良好，但作者指出，他们尚未在现代的大规模数据集上进行测试。

总结

ThreatVisionAI 是一个混合系统，它不仅观察恶意软件图像，还倾听它们的“纹理”并理解它们的“全局结构”。通过结合这三种不同的观察方式，它们以极高的准确率对恶意软件进行分类，证明了观察图像的“频率”与观察图像本身同样重要。

技术摘要：ThreatVisionAI

问题陈述

传统的恶意软件检测方法，特别是基于特征码（signature-based）的系统，在应对混淆、多态及零日威胁时表现乏力。虽然启发式方法提供了更广泛的覆盖范围，但往往面临高误报率的问题。基于图像的恶意软件分类通过将二进制文件转换为视觉表示以捕捉结构关系，已成为一种极具前景的替代方案。然而，现有的深度学习框架面临着显著的局限性：

频率信息丢失： 标准卷积神经网络（CNN）和视觉 Transformer（ViT）通常仅在像素空间进行操作。通过池化和步长卷积，它们丢弃了对于区分紧密相关的恶意软件家族（例如视觉上高度相似的变体 Swizzor.gen!E 和 Swizzor.gen!I）至关重要的关键高频纹理细节。
架构缺陷： 虽然混合模型（如 LeViT-MC、ConvNeXt–Swin）结合了 CNN 和 Transformer 分支，但缺乏专门的频域分支。因此，不同家族之间的方向性纹理差异未能得到有效利用。
可解释性： 许多 AI 驱动的框架缺乏对模型决策的清晰解释，导致分析人员无法了解为何会出现特定的误分类情况。

方法论：ThreatVisionAI 框架

作者提出了 ThreatVisionAI，这是一个旨在捕获互补的空间、频域和全局关系特征的混合分类框架。该架构由三个并行分支组成，各分支独立训练，并通过加权软投票进行融合：

1. 原始图像 CNN 分支

输入： 直接处理灰度恶意软件图像（224 × 224），这些图像代表了字节级的可视化表示。
架构： 使用从头开始训练的 ResNet-18 主干网络（未使用 ImageNet 预训练），以学习从低级边缘到特定家族结构特征的空间特征。
功能： 捕获二进制文件视觉结构中固有的局部空间模式。

2. 基于小波的 CNN 分支

输入： 处理经过单层 2D Haar 小波分解后的同一图像。该过程将 224 × 224 的图像转换为四个 112 × 112 的系数子带：
- 近似分量 (cA)：低频内容。
- 细节分量 (cH, cV, cD)：水平、垂直和对角方向的高频变化。
架构： 使用修改后的 ResNet-18 主干网络，以接受四通道输入（堆叠的子带）。
功能： 提取多尺度频率结构和方向性纹理线索，这些线索在原始像素空间中是不可见的，有助于区分具有相似全局外观的家族。

3. 视觉 Transformer (ViT) 分支

输入： 接收与小波 CNN 相同的四通道小波变换输入。
架构： 采用 ViT-Tiny 模型（通过 timm 在 ImageNet-21k 上进行预训练）。其补丁投影层（patch projection layer）经过适配以接受四通道输入。
功能： 利用自注意力机制对整个图像进行长程依赖建模，捕捉局部卷积滤波器可能遗漏的全局上下文。

融合策略

加权软投票： 该框架不使用学习到的特征拼接，而是通过对来自每个分支的 25 类概率向量进行加权求和来组合结果。
权重： 通过在验证集上进行穷举网格搜索确定：0.50（原始 CNN）、0.40（小波 CNN）和 0.10（ViT）。
原理： 这种方法不需要额外的可训练参数，保持了各分支贡献的透明度，并缓解了在小数据集上的过拟合问题。

实验设置与结果

该框架在 Malimg 数据集上进行了评估，该数据集包含 9,465 幅跨越 25 个恶意软件家族的灰度图像，且存在显著的类别不平衡问题。数据按 70/15/15 的比例进行划分（训练/验证/测试）。

性能指标

全混合架构准确率： 98.01%
加权 F1 分数： 0.9742
消融研究洞察：
- 单独使用小波 CNN（F1 为 0.9733）的表现优于原始 CNN（F1 为 0.9662），证明了频域特征的价值。
- 单独使用 ViT 分支的表现较低（F1 为 0.9492），但当加入 CNN 集成时，它能提供一致且可重复的增益，贡献了互补的全局上下文。
- 混合模型优于两分支 CNN+ViT 集成模型（F1 为 0.9692），证实了频域特征对于该数据集至关重要。

具体改进

Swizzor 变体： 小波分支显著提升了对视觉相似家族的辨别能力。与原始 CNN 相比，Swizzor.gen!E 的 F1 从 0.7368 提高到 0.8571，Swizzor.gen!I 从 0.5263 提高到 0.8276。
失效分析 (Grad-CAM)： 模型一致地将 Autorun.K 误分类为 Yuner.A（F1 = 0.0000）。Grad-CAM 热图显示，这两个家族的视觉结构和激活模式几乎完全相同，甚至对人类专家也是如此。作者认为这是数据集本身的局限性，而非模型的缺陷。

鲁棒性与效率

对抗鲁棒性： 在快速梯度符号法 (FGSM) 白盒攻击下，准确率大幅下降（从 98.01% 降至 7.84% @ $\epsilon=0.05$ ），表明其对对抗性扰动较为脆弱。
效率： 全混合模型包含 27.91M 参数，在 GPU 上的推理时间为每张图像 5.4 ms，这被认为在非实时扫描工作流中是处于可接受范围内的。

核心贡献与意义

论文声称其贡献如下：

新型混合架构： 引入了 ThreatVisionAI，这是首个将专门的频域（小波）分支与空间 CNN 及全局上下文 ViT 相结合的恶意软件分类框架。
论证了频率特征的价值： 消融研究证实，小波特征在区分仅靠空间滤波器无法分离的紧密相关恶意软件家族方面，提供了可衡量的增益。
可解释性： Grad-CAM 的应用提供了视觉证据，证明系统性的误分类（特别是 Autorun.K 与 Yner.A 之间）是由内在的类间视觉相似性驱动的，从而为分析人员理解模型局限性提供了清晰的依据。

局限性与未来工作

作者明确承认了以下局限性：

数据集范围： 评估仅限于 2011 年收集的 Malimg 数据集，这无法反映现代恶意软件生态系统的规模和多样性。其在 MaleVis 或 BIG2015 等基准测试上的泛化能力尚未得到验证。
对抗脆弱性： 模型容易受到白盒攻击的影响，且尚未针对更强的攻击（如 PGD）或数据集偏移进行测试。
未来方向： 作者提出未来的研究方向包括多数据集评估、对抗训练、探索替代小波基，以及集成动态行为信号以构建多模态框架。