Androidマルウェアの変化に先回りする検出手法HYDRA
HYDRA: Proactive Android Malware Drift Adaptation via Hierarchical Graph Contrastive Learning
この論文をやさしく読む
ひとことで言うと
時間とともに変わるAndroidマルウェアを、二階層のグラフと対照学習で検出し続ける方法。
何に役立つ？
新種への適応時に人手のラベル付けを減らすマルウェア検出器の設計に参考になる。
この研究の面白いところ
制御フローと関数呼び出しを合わせた表現で、偽陰性・偽陽性を下げながらラベル数を最大87.5％減らした。
どこまで分かった？
結果は時系列順の評価データセットにおける比較であり、あらゆる将来のマルウェアへの検出保証ではない。
v1のアブストラクトに基づくAI解説。日本語訳とは別に、用途の解釈を含みます。
アブストラクトの日本語訳
Androidマルウェアの急速な進化による概念ドリフトは、機械学習による検出器の性能を大きく低下させる。既存の適応策は、性能が落ちた後に対応する受動的な方法で、大量の人手による注釈が必要になることが多い。先回りする方法も、不安定な敵対的学習や単一階層の不完全なグラフ表現に依存する。これらを克服するため、階層構造を持つデータからドリフトに左右されにくい表現を学ぶ、先回り型の適応枠組みHYDRAを提案する。まず、細かい制御フローグラフ（CFG）と粗い関数呼び出しグラフ（FCG）を組み合わせた混合グラフでアプリを表し、幅広い動作パターンを捉える。次に、過去のデータ（ソース）と新しいデータ（ターゲット）の分布をそろえる、領域をまたぐ新しい対照学習の目的関数を導入する。ラベルのない新しい標本に擬似ラベルを作ることで、領域に関係なく意味的に似たアプリの表現を近づけ、単一の安定した最適化過程で学習する。特徴学習と領域の整合を一体化し、複雑な敵対的目的関数を不要にする。時系列順に並べた大規模マルウェアデータセットでの広範な実験では、最先端の比較法より偽陰性率と偽陽性率の両方が大幅に低く、必要なラベル付き標本も最大87.5％少なかった。セキュリティ用途で概念ドリフトに対処する頑健で効率的な方法を示す。
v1の要旨から自動生成。本文の精読・人による確認は未実施。
- 初稿
- 2026-09-22（UTC）
- 最新改訂
- 2026-09-22 · v1
- 査読・掲載
- 査読状況未確認
更新履歴
- v1 2026-09-22 この版を読む
取得できた版を表示。版の更新は査読済みを意味しません。過去版の本文差分は未解析です。
原文の要旨
Concept drift, driven by the rapid evolution of Android malware, severely degrades the performance of machine learning detectors. Current adaptation strategies are often reactive, responding only after performance has dropped and imposing a significant manual annotation burden, or they are proactive but rely on unstable adversarial training and incomplete, single-level graph representations. To overcome these limitations, we propose HYDRA (Hybrid Drift Adaptation), a proactive adaptation framework that learns drift-invariant representations from hierarchically structured data. HYDRA first models applications using a hybrid graph structure, combining fine-grained Control Flow Graphs (CFGs) and coarse-grained Function Call Graphs (FCGs) to capture comprehensive behavioral patterns. It then introduces a novel cross-domain contrastive learning objective that aligns historical (source) and new (target) data distributions. By generating pseudo-labels for unlabeled target samples, our method pulls representations of semantically similar applications together, regardless of their domain, within a single, stable optimization process. This approach unifies feature learning and domain alignment, eliminating the need for complex adversarial objectives. Extensive experiments on large-scale, time-ordered malware datasets demonstrate that HYDRA achieves substantially lower False Negative and False Positive Rates than state-of-the-art baselines while requiring up to 87.5% fewer labeled samples. Our work thus offers a robust and efficient solution to combat concept drift in security applications.
著者のコメント
Accepted at ACM CCS 2026. Author's version with full appendix. 17 pages
arXiv ID: 2609.26352 ／ 要約の誤りについて