知识图谱嵌入方法在Android恶意软件检测中的全面基准测试研究

针对Android平台恶意软件检测面临的模型复杂性和计算资源消耗问题，研究人员创新性地采用知识图谱(KG)嵌入方法，系统评估了TransE、DistMult、ComplEx、HolE四种评分函数在不同维度下的性能。结果表明，基于HolE的KG嵌入能以低维特征实现与主流方法相当的分类准确率，同时显著降低计算开销，为资源受限环境提供了高效解决方案。

　　

随着Android操作系统凭借其开源特性占据全球移动设备70%市场份额，其面临的恶意软件威胁呈现指数级增长。据统计，Android恶意软件感染率是iOS的50倍，而近半数免费杀毒软件对此束手无策。传统检测方法依赖深度学习(DL)和图神经网络(GNN)，虽有一定效果但存在模型复杂度高、计算资源消耗大、可解释性差等固有缺陷。更严峻的是，恶意软件快速进化导致静态分析技术难以捕捉新型变种的特征语义关联。这种背景下，托马斯巴塔大学的研究团队另辟蹊径，将知识图谱(KG)这一常用于疾病检测的语义建模工具引入网络安全领域，在《Expert Systems with Applications》发表的研究中开创性地构建了KG驱动的Android恶意软件检测新范式。

研究团队采用多技术融合策略：首先从APK文件中提取静态特征构建知识图谱，随后运用TransE、DistMult、ComplEx、HolE四种嵌入算法生成不同维度(5-100)的向量表示，最后通过SVM、随机森林等简单分类器评估性能。实验使用真实恶意软件数据集，并与词袋模型(BOW)和PCA降维方法进行横向对比。

Android malware detection
研究揭示Android恶意软件具有高度多样性，包括木马、勒索软件等变种。传统静态分析依赖固定特征集，难以适应快速演变的威胁态势，凸显KG建模动态关系的必要性。

Related work
现有研究多聚焦提升复杂模型的分类性能，而本研究创新性地将重点转向数据表示层面，通过KG嵌入捕捉特征间语义关联，为简单分类器赋能。

Methodology
提出全新处理流程：APK反编译→特征提取→KG构建→嵌入生成→分类评估。特别设计了将API调用、权限等静态特征转化为三元组的知识图谱构建方法。

Experimental design
实证表明HolE在50维时达到性能峰值，准确率达96.2%，存储需求仅为BOW模型的0.3%。TransE在低维(5-20)表现突出，适合极端资源受限场景。

Results
KG嵌入全面超越PCA降维方法，其中HolE的F1-score较PCA高11.7%。简单分类器配合KG嵌入即可达到深度学习模型95%的准确率，训练时间缩短80%。

Discussion and future work
该研究突破性地证明：通过KG嵌入实现的语义编码能显著提升模型泛化能力，其优势主要体现在三方面：(1)特征维度降低98%仍保持高性能；(2)支持外部威胁情报无缝集成；(3)检测新型变种准确率提升34.5%。

Conclusion
这项研究为移动安全领域带来范式转变——将创新重点从模型复杂度转向数据表示质量。KG嵌入不仅解决计算资源瓶颈问题，其语义可解释性更为分析人员提供决策依据。团队开发的标准化处理流程已开源，为构建轻量级、可扩展的恶意软件检测系统奠定基础。