マルウェア検出器へのクリーンラベル型バックドア攻撃を強めるRAMP
RAMP: Reversing Adversarial Perturbations to Strengthen Clean-Label Backdoor Attacks against Malware Detectors
この論文をやさしく読む
ひとことで言うと
良性プログラムを学習上でマルウェアに近づけ、クリーンラベル型バックドア攻撃の効果を高める研究である。
何に役立つ？
考えられる用途は、マルウェア検出器の追加学習工程の耐性評価である。要旨は攻撃の実験結果を示す。
この研究の面白いところ
トリガーだけに頼らず、注入前の良性プログラムの特徴表現をずらして学習時の矛盾を強める。
どこまで分かった？
改善が顕著なのは実験で調べた低汚染率の条件である。防御法や実運用の検出率の詳細は要旨にはない。
v1のアブストラクトに基づくAI解説。日本語訳とは別に、用途の解釈を含みます。
アブストラクトの日本語訳
深層学習によるマルウェア検出器は、新しく集めたサンプルで追加学習して更新されることが多い。しかし、この更新工程は学習時のバックドア攻撃を受ける経路にもなる。現実的なクラウドソーシング型のデータ収集では、厳格なラベル確認により、攻撃者は通常、汚染サンプルが良性のラベルと機能を保たなければならないクリーンラベル条件に制限される。そのため、効果的なバックドアの埋め込みは難しい。 本研究は特徴空間を操作する観点を提示する。強いトリガーを設計したり、もともとマルウェアに似た良性サンプルを選んだりするだけでなく、トリガーを注入する前に、良性プログラムの表現がマルウェア領域へ移るよう意図的に構築する。これによって学習時の特徴とラベルの衝突を強める。この発想に基づく攻撃強化法RAMPでは、ブラックボックスへのアクセスの下で遺伝的アルゴリズムを用いて逆向きの敵対的摂動を最適化し、機能を保つバイナリ操作でそれを注入する。 広範な実験では、RAMPはトリガーのみを使う基準手法より攻撃効果を大きく改善し、特に汚染率が低い場合に改善が顕著だった。同時に、汚染されていないデータでの精度を維持した。また、RAMPは高度なトリガー設計とも組み合わせられる。
v1の要旨から自動生成。本文の精読・人による確認は未実施。
- 初稿
- 2026-09-23（UTC）
- 最新改訂
- 2026-09-23 · v1
- 査読・掲載
- 査読状況未確認
更新履歴
- v1 2026-09-23 この版を読む
取得できた版を表示。版の更新は査読済みを意味しません。過去版の本文差分は未解析です。
原文の要旨
Deep learning-based malware detectors are commonly updated by fine-tuning on newly collected samples, but this practical update pipeline also creates an attack surface for training-time backdoor attacks. In realistic crowdsourced data collection, however, strict label vetting typically restricts attackers to the clean-label setting, in which poisoned samples must retain benign labels and functionality, making effective backdoor injection substantially harder. We present a new attack perspective based on feature-space manipulation: instead of relying solely on stronger trigger designs or selecting benign samples that are naturally similar to malware, we deliberately construct benign programs whose representations shift toward the malware region before trigger injection, thereby creating stronger feature-label conflicts during training. Based on this insight, we propose RAMP, an attack enhancement method that uses a genetic algorithm to optimize reversed adversarial perturbations under black-box access and then injects them through functionality-preserving binary manipulations. Extensive experiments show that RAMP substantially improves attack effectiveness over trigger-only baselines, with especially pronounced gains at low poisoning ratios, while maintaining accuracy on clean data. Moreover, RAMP can be combined with advanced trigger designs.
著者のコメント
20 pages, 7 figures, 5 tables. Accepted at the 22nd International Conference on Information Security and Cryptology (Inscrypt 2026). Code: https://github.com/jinwenxin0001-gif/RAMP-Malware-Backdoor
arXiv ID: 2609.27422 ／ 要約の誤りについて