基于图中心性引导与LLM语义过滤的可扩展恶意PyPI包检测框架

《Electronics》：Decoding Maliciousness: LLM-Assisted Semantic Filtering for Scalable Malicious PyPI Package Detection

　　

Python包索引（PyPI）已成为软件供应链攻击的主要目标。现有检测方法往往依赖单维分析，限制了其在现代软件生态系统中支持可扩展检测的能力。本研究提出一个可扩展的恶意PyPI包检测框架，将基于图中心性的候选识别与大语言模型（LLM）语义过滤相结合。从包源代码构建应用程序编程接口（API）交互图，并使用四个互补的中心性指标识别结构上重要的API。对于每个指标分别构建独立的Top-K候选池，并通过Qwen3.5-Plus进行语义过滤加以精炼，移除良性通用API而保留安全敏感API。精炼后的API特征进一步用包级元数据增强，并用于包级分类。在包含20,743个包（10,743个恶意包和10,000个良性包）的数据集上的评估表明，所提方法达到96.3%的精确率、95.9%的召回率和96.1%的F₁分数（F₁-score）。消融实验表明，语义过滤带来最大性能提升，相较原始中心性特征使F₁分数提高4.2个百分点，而元数据增强进一步带来1.2个百分点的提升。该框架在高度不平衡的1:50类别比例下保持稳健检测性能，并且在一次性离线构建精炼特征词表后，每个包的检测约需1 s。对PyPI发布流的回溯监测实验进一步证明了该框架的实际适用性，而LIME（局部可解释模型无关解释）为所得预测提供了可解释证据。

研究背景与问题：Python包索引（PyPI，Python Package Index）是软件供应链上游关键节点，单个被污染包可经依赖解析传播至大量下游系统。恶意包利用仿名攻击（typosquatting）、代码注入和“左移”渗透等手法，现有检测常依赖单维分析：图中心性可识别结构重要应用程序编程接口（API），但高中心性通用API（如print、len、str.join）并非安全敏感；仅用代码证据又忽略包元数据文件（PKG-INFO）中伪造作者、版本欺诈和仿名等包级伪装线索。因此需兼顾可扩展性与语义相关性的检测框架。研究人员提出中心性引导候选识别与大语言模型（LLM，Large Language Model）辅助语义过滤框架：API交互图仅用于结构特征抽取和中心性排序，不作图表示学习；四类中心性分别生成Top-K候选，经Qwen3.5-Plus语义筛选后与包级元数据结合，输入常规机器学习分类器。该研究在2万余包上验证检测效果、消融贡献、不平衡适应性和Top-K敏感性，并以LIME和真实发布流监测说明可解释性与工程可用性，为开源供应链完整性校验提供可扩展方案。

关键技术方法：对包做静态分析，由抽象语法树（AST，Abstract Syntax Tree）构建API交互图，计算Degree、Closeness、Katz、Harmonic四类中心性；各指标独立排序取Top-K候选，交Qwen3.5-Plus逐API评估安全敏感性并离线固定精炼词表；从PKG-INFO抽九类元数据离散化，与精炼API特征拼接后输入随机森林（RF，Random Forest）分类；用LIME（局部可解释模型无关解释）解释预测。恶意样本源自Duan et al.、Ohm et al.、Guo et al.公开仓库，良性样本经官方PyPI API获取且满足托管>90天、下载>1000；包级80/20划分，词表仅训练分区构建。

研究结果：
5.1 数据集构建与预处理：通过整合Duan et al.、Ohm et al.、Guo et al.恶意样本与PyPI良性样本，去重后得到10,743个恶意包和10,000个良性包，采用包级80/20划分以防泄漏；分布分析显示恶意包集中于2022—2023年，良性包时间跨度更大且体积上尾更重，训练分区构建词表。
5.2 RQ1：检测有效性。通过同数据集与VirusTotal、OSSGadget、Bandit4Mal、重实现MalGuard比较，所提方法精确率（Precision）96.3%、召回率（Recall）95.9%、F₁分数96.1%，高于MalGuard重实现F₁分数94.9%；假阴性率4.1%、假阳性率约4.0%、Matthews相关系数（MCC）0.92、受试者工作特征曲线下面积（ROC-AUC）0.99，bootstrap、多种子与McNemar检验支持稳定性与显著性。
5.3 RQ2和RQ3：LLM语义过滤与元数据贡献。通过Model A—D消融，A→C使F₁分数由90.7%升至94.9%（+4.2个百分点），C→D升至96.1%（+1.2个百分点）；Harmonic保留135/500，过滤率73%，表明语义过滤是主要增益，元数据提供补充。
5.4 RQ4：类不平衡性能。通过从测试分区抽35个恶意包和1750个良性包构造1:50且不重训，精确率降4.6个百分点、召回率降1.6个百分点；bootstrap 95%置信区间为精确率91.7%[81.5,100.0]、召回率94.3%[84.2,100.0]、F₁分数93.0%[85.3,98.4]；结论为保持一定适应性但统计功效有限。
5.5 RQ5：Top-K敏感性。通过K扫描并重新执行LLM过滤，K由200增至500时四指标F₁分数增3.9—6.3个百分点，500至600最多+0.3个百分点；Harmonic在K=500达96.1%，K=600为96.2%，默认K=500。
5.6 实用与回溯分析。5.6.1 回溯案例分析：crytic-compilers-0.3.11伪装crytic-compile，版本0.3.11高于当时合法0.3.7，含s.exe；模型因platform.system、subprocess.Popen高中心性、名称相似>0.9及版本异常判恶意。5.6.2 LIME可解释性分析：subprocess.Popen与platform.system为最大正贡献，LLM注释仅作复核线索。5.6.3 实际部署分析：2天监控PyPI新发布流，pyreto、teledex为良性占位误报；回溯litellm 1.82.7（2026年3月下旬）显示subprocess.Popen等异常高中心性，相关版本后被隔离并返回404；离线词表后约1 s/包，支持自动化、低性能税和可解释分诊。

讨论与结论翻译：讨论部分强调自动化处理新发布包、离线词表后约1 s/包的较低性能税，以及LIME与LLM语义说明对安全分诊的支持。研究结论翻译/概括：该文提出基于中心性引导候选识别与LLM辅助语义过滤的可扩展恶意PyPI包检测框架，证明图中心性可识别结构重要API但结构重要性不等于安全敏感性；Qwen3.5-Plus作为语义筛选层分离安全相关API与高中心性良性通用API，精炼特征提升检测质量。20,000余样本实验显示精确率96.3%、F₁分数96.1%，优于工业工具和包括MalGuard在内的学术方法；消融显示LLM语义过滤增益最大（+4.2个百分点），元数据增强再+1.2个百分点；1:50不平衡下具稳健性，离线词表后包级检测约1 s/包；Top-K敏感性表明候选池扩大后效果提升并趋稳；真实发布流监测与LIME解释支持工程可行性。局限包括主要依赖静态特征，可能漏检高级动态混淆或特定运行环境触发行为；固定敏感API词表对新API覆盖有限；逐API一次性LLM判断对需上下文判断的API易误判；LIME附带LLM描述为辅助线索且可能不准确；数据集无家族标签、两类发布时间存在偏斜、1:50评估仅35个恶意包限制统计功效。未来工作包括引入轻量动态沙箱特征、提升长代码上下文LLM推理效率与准确性、跨生态（如npm、RubyGems）泛化评估、面向流式检测的在线更新、融合更丰富安全知识库，以及家族级、匹配采样和时间感知评估。