🤖 machine learning

CAM-Guided Saliency Cutout and Image-Based Malware Classification

本文研究了基于 CAM 引导的显著性剪切（saliency cutout）在利用 RawMal-TF 数据集进行恶意软件图像分类方面的有效性，发现与低显著性剪切能提升性能的自然图像不同，显著性引导的剪切策略实际上降低了恶意软件的分类准确率，从而凸显了这两类图像类型之间显著的领域差异。

原作者： Yasaman Ebrahimi, Martin Jurecek, Mark Stamp

发布于 2026-08-13

📖 1 分钟阅读☕ 轻松阅读

CC BY 4.0

原作者： Yasaman Ebrahimi, Martin Jurecek, Mark Stamp

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

想象一下，你正试图教一个机器人通过向它展示数千张照片来识别不同类型的汽车。如果你每次都给机器人看完全相同的图片，它可能只会记住背景或某个特定的闪亮轮毂，而不是学习什么才构成了一辆汽车。为了阻止这种“死记硬背”，科学家们使用了一种被称为 dropout（随机失活） 的技巧。这就像是在告诉机器人：“好吧，现在我要用一个黑色的方块遮住这张图片的某一部分。你能仍然猜出它是什么吗？”这迫使机器人去观察整幅图像并学习更深层的模式，而不是仅仅盯着一个幸运的局部点。这就是 Cutout 的核心——一种用于让计算机视觉模型变得更聪明、且不太容易在面对新事物时出错的技术。

但这里有一个大问题：我们应该把那个黑色方块放在哪里？我们是应该随处乱放，还是应该聪明一点？一些研究人员认为：“让我们观察这张图片，找到最重要的部分（即‘显著性’/saliency），然后把无聊的部分遮住，这样机器人就能专注于那些令人兴奋的部分。”这篇论文深入探讨了这样一个想法，但带有一个转折：他们不是在看猫或汽车的照片，而是在研究恶意软件（malware）。恶意软件是数字世界的病毒；它是一种恶意的计算机程序。科学家们发现了一种方法，可以将这些病毒的不可见代码转化为灰度图像，看起来有点像旧电视上的静电噪声。目标是看看这种“智能隐藏”的技巧是否能像处理自然界照片那样，同样适用于这些病毒图像。

实验：隐藏正确（或错误）的东西

研究人员搭建了一个巨大的数字游乐场来进行测试。他们使用了一个标准的机器人大脑（一个名为 ResNet18 的神经网络），并给了它两套截然不同的作业。第一组是 RawMal-TF，这是一个包含 17,000 张灰度计算机病毒图像的集合，其中包含 17 个病毒家族，每个家族有 1,000 个样本。第二组是 CIFAR-100，这是一个包含 100,000 张日常事物（如苹果、卡车和青蛙）照片的著名集合，作为对照组，用以观察这种技巧在普通图片上的表现。

他们测试了四种不同的训练方式：

No Cutout（无 Cutout）： 机器人看到的是原始图像。
Random Cutout（随机 Cutout）： 机器人看到的是原始图像加上随机遮黑方块后的副本。
Low-Saliency Cutout（低显著性 Cutout）： 机器人看到的是将黑色方块放置在“无聊”、不重要部分（根据一个聪明的老师模型判定）的副本。
High-Saliency Cutout（高显著性 Cutout）： 机器人看到的是将黑色方块放置在“令人兴奋”、最重要部分的副本。

他们测试了不同尺寸的黑色方块（覆盖图像的 5%、10%、20% 或 30%）以及不同数量的额外副本（每张原始图像配 4 个或 8 个）。

结果：两个世界的寓言

研究结果是一场“它奏效了！”与“等等，没奏效”的奇妙交织。

在自然图像上 (CIFAR-100)：
“智能隐藏”策略确实奏效了！当研究人员使用 Low-Saliency Cutout（隐藏无聊部分）时，机器人的工作表现得更好。具体来说，当他们隐藏了图像中 10% 最不重要的部分时，机器人的准确率跃升至 63.51%，超过了标准的“无隐藏”得分 62.65%。看来对于现实世界的物体照片，告诉机器人忽略背景并专注于主体是一个很好的学习方法。然而，如果他们尝试隐藏最重要的部分（High-Saliency），机器人就会感到困惑，表现大幅下降。

在恶意软件图像上 (RawMal-TF)：
在这里，故事发生了剧烈的转向。智能隐藏策略失败了。事实上，它让情况变得更糟。恶意软件图像的最佳结果来自于 No Cutout 组，即机器人看到了完美的图像，达到了 72.83% 的得分。每一个版本的“隐藏”技巧——无论是随机、低显著性还是高显著性——都导致了得分下降。

最好的“隐藏”尝试（使用 30% 方块的 Random Cutout）仅达到了 71.55%。
“Low-Saliency”策略（隐藏无聊部分）有时比随机稍微好一点，但通常比随机稍差，并且从未超过 “No Cutout” 的得分。
“High-Saliency”策略（隐藏重要的部分）表现最差，导致得分显著下降。

这意味着什么：病毒不仅仅是图片

作者认为，这种差异发生的原因在于恶意软件图像和自然图像在本质上是不同的。当你观察一只狗的照片时，“重要”的部分是狗的脸和耳朵。隐藏背景中的草地（低显著性）有助于机器人专注于狗。

但恶意软件图像仅仅是计算机代码的一种翻译形式。计算机所看到的“重要”部分可能是特定的字节模式、文件头或填充内容，在人类看来可能看起来像是随机的静电噪声。当研究人员使用“智能”方法来隐藏“无聊”的部分时，他们可能无意中遮盖了识别该病毒家族所需的关键结构线索。这就像是通过遮住元音来学习一门语言；你可能以为你在专注于辅音，但实际上你已经破坏了句子的结构。

论文得出结论：虽然 saliency-guided cutout（显著性引导的 Cutout） 是自然图像的强大工具，但它并不自动适用于恶意软件。对于病毒图像，“智能”隐藏部分的方法不仅仅是观察图片；它需要理解代码本身的隐藏结构。目前来看，最简单的方法——向机器人展示完整的、未被遮挡的图像——仍然是识别这些数字威胁的冠军。

技术摘要：基于 CAM 指导的显著性 Cutout 与基于图像的恶意软件分类

问题陈述

基于图像的恶意软件分类通过将二进制可执行文件转换为灰度图像，以利用卷积神经网络（CNN）进行分析。虽然 CNN 在该领域取得了最先进的结果，但过拟合仍然是一个问题。Dropout 和 Cutout 是缓解过拟合的标准技术；其中 Cutout 通过掩盖训练图像中的随机空间区域，迫使模型从多样化的视觉模式而非依赖单一局部特征中进行学习。

本文的核心研究问题是：能否通过使用高分辨率类激活映射（HiResCAM）指导掩码区域的放置来改进 Cutout 正则化？ 具体而言，作者研究了移除被识别为“低显著性”（对模型预测不太重要）或“高显著性”（对模型预测最重要）区域的方法，是否比标准的随机 Cutout 能产生更好的分类性能。次要目标是确定在自然图像数据集（如 CIFAR-100）中观察到的行为是否可以转化为恶意软件领域，或者由于恶意软件图像在结构上的差异，它们是否需要不同的处理方式。

研究方法

本研究采用以 ResNet18 作为基准架构的受控实验设计。实验在两个数据集上进行：

RawMal-TF： 一个包含 17 个家族、每个家族 1,000 个样本的恶意软件数据集，已转换为标准灰度图像。
CIFAR-100： 用于对比基准的自然图像数据集。

实验条件

共比较了四种训练场景：

无 Cutout (No Cutout)： 使用原始训练图像的基准方案。
随机 Cutout (Random Cutout)： 标准 Cutout，其中正方形区域是随机选择的。
低显著性 Cutout (Low-Saliency Cutout)： 掩码区域选自由“教师”模型（在相同数据上训练且不带 Cutout 的 ResNet18）生成的 HiResCAM 图中激活度较低的区域。
高显著性 Cutout (High-Saliency Cutout)： 掩码区域选自 HiResCAM 图中激活度较高的区域。

实现细节

教师模型： 一个在没有 Cutout 的情况下训练的 ResNet18 生成用于训练图像的 HiResCAM 显著性图。
数据增强： 对于每张原始图像，创建 $M$ 个增强副本（ $M \in \{4, 8\}$ ）。每个副本都有一个被掩盖（填充为黑色）的正方形区域。
Cutout 区域： 实验测试了覆盖图像面积 5%、10%、20% 和 30% 的掩码大小。
选择逻辑： 对于 CAM 指导的 Cutout，候选窗口根据平均显著性进行评分。方法从底部 10%（低显著性）或顶部 10%（高显著性）的候选窗口中选择一个窗口，以确保 $M$ 个副本之间的多样性，而不是始终选择绝对最小值或最大值。
训练配置： 100 个 epoch，使用 SGD 优化器，批大小为 128，学习率为 0.1 并配合余弦调度。使用了三个随机种子（42, 43, 44）来评估鲁棒性。验证数据从不进行掩码处理。

关键结果

RawMal-TF（恶意软件）结果

针对恶意软件数据集的结果对于使用显著性指导的 Cutout 的效用呈现负面结论：

基准优越性： 无 Cutout 基准达到了最高的平均最佳验证准确率（72.83% ± 0.16%）。
Cutout 退化： 所有 Cutout 条件（随机、低显著性和高显著性）导致的平均验证准确率均低于基准。
- 最佳随机 Cutout（ $M=4$ ，30% 面积）：71.55%。
- 最佳低显著性 Cutout（ $M=4$ ，30% 面积）：71.43%。
- 最佳高显著性 Cutout：约 70.66%。
显著性 vs. 随机： 低显著性 Cutout 的结果与随机 Cutout 相比表现不稳定，在不同配置下的差异范围为 -0.56 到 +0.46 个百分点。高显著性 Cutout 始终比随机 Cutout 差，差距高达 -2.00 个百分点。
结论： 显著性引导的放置并未改善恶意软件分类；事实上，标准的随机方法比引导方法表现更好，尽管两者都逊于不进行增强的情况。

CIFAR-100（自然图像）结果

相比之下，自然图像数据集显示出特定的显著性引导策略具有正面结果：

基准： 无 Cutout 准确率为 62.65% ± 0.57%。
低显著性提升： 低显著性 Cutout（ $M=4$ ，10% 面积）达到了 63.51% ± 0.36%，超过基准 0.86 个百分点，并超过相应的随机 Cutout 1.25 个百分点。
高显著性退化： 高显著性 Cutout 在所有配置下都表现较差，明显逊于基准和随机 Cutout。
鲁棒性： 即使随着掩码面积增加（20% 和 30%），低显著性 Cutout 仍保持鲁棒，而随机和高显著性 Cutout 的性能则迅速恶化。

主要贡献与意义

本文的主要贡献在于通过实证证明了显著性引导的 Cutout 具有领域依赖性。

领域差异： 本研究表明，对于自然图像有效的技术（特别是低显著性 Cutout）并不自动适用于恶意软件图像。在恶意软件领域，由 HiResCAM 识别出的“低显著性”区域并不一定像在自然图像中那样对应非关键的背景信息。
恶意软件图像的本质： 作者认为，恶意软件图像源自字节序列和二进制结构（例如 PE 头、节边界）。恶意软件图像中的局部正方形掩码可能会移除编码了用于家族分类的关键结构信息的连续字节区域，无论其像素强度或显著性得分如何。因此，掩盖这些区域（即使被教师模型视为“低显著性”）可能会破坏表示而非实现正则化。
高显著性风险： 结果证实，掩盖高显著性区域在两个领域通常都是有害的，因为这会移除模型赖以生存的最具判别性的特征。
未来方向： 本文建议，对于恶意软件，增强策略应该是感知结构的（与二进制偏移、PE 节或熵转换对齐），而不是仅仅依赖于基于自然图像假设的图像级显著性图。

局限性与范围

作者明确指出了几点局限性：

架构特定性： 结果仅基于 ResNet18；在其他架构（如 ViT, EfficientNet）上的表现可能会有所不同。
图像表示： 研究仅限于灰度图像；未测试其他二进制到图像的转换方法。
统计效力： 虽然使用了三个种子，但样本量较小，置信区间应被视为探索性的。
计算预算： 增强后的训练集（ $M=4$ 或 $8$）涉及比基准更多的训练样本，这意味着在优化器步数方面，比较并非严格的计算匹配。

总之，本文得出结论：虽然显著性引导的 Cutout 可以提高自然图像分类的性能，但目前对于灰度恶意软件分类而言既无益处——甚至可能有害，这凸显了恶意软件分析中需要领域特定增强策略的需求。