基于梯度提升与卷积神经网络混合方法的安卓智能手机恶意软件智能检测

《Scientific Reports》：Intelligent malware detection on Android smartphones via a hybrid approach using gradient boosting and convolutional neural network

　　

恶意软件是在未经用户同意的情况下侵入系统的恶意软件。有效的检测涉及识别此类软件并将其与良性程序区分开来。尽管机器学习在恶意软件检测中已展现出前景，许多现有技术仍需大量的特征工程与表示，导致计算时间更长且错误率更高。为解决这些局限，研究人员提出CNN-GBM，一种结合卷积神经网络（Convolutional Neural Network, CNN）与梯度提升机（Gradient Boosted Machine, GBM）的混合模型，旨在改进安卓恶意软件检测。该方法首先构建由恶意与良性文件组成的数据集，通过n-gram、操作码序列或字节级特征表示为数值特征向量。CNN处理原始数据以学习层次化模式，同时基于熵的特征选择技术识别出信息量最大的属性。这些被选特征随后送入GBM，训练其对文件分类为恶意或良性。使用准确率、精确率、F1分数与假阳性率等指标评估表明，CNN-GBM优于现有深度学习模型。显著改进包括准确率（+3%）、精确率（+1%）、召回率（+5%）、AUC（+3.5%），以及假阳性率（?52%）、假阴性率（?15%）和错误率（?35%）的大幅降低。这些提升源于CNN特征提取与GBM提升能力的有效整合。

研究背景与问题提出

随着互联网深度融入日常生活，恶意软件（malware）攻击数量激增，安卓智能手机因资源受限且面临CPU性能瓶颈，传统动态分析（dynamic analysis）环境搭建复杂、运行开销大，而静态分析（static analysis）虽成本低但现有深度学习检测模型多依赖大量手工特征工程，带来高误报率、高计算负担与特征冗余。已有研究指出，在资源受限设备上部署深度模型受限于算力，且原始特征直接驱动的分类器易产生误判。为同时降低假阳性率、提升运行时效率并减少误分类，研究人员在《Scientific Reports》发表本研究，提出CNN-GBM混合框架。

主要关键技术方法

研究人员采用Kaggle仓库的安卓恶意/良性数据集（各5万条，共10万观测、35特征），抽取AndroidManifest的API调用与权限作静态特征，辅以动态行为特征；数据经均值插补与Min–Max归一化至[0,1]，按70%/30%划分并五折交叉验证。特征端先用基于熵的特征选择（entropy-based feature selection）降维，再将定长（512–2048）数值序列送入一维卷积神经网络（1D-CNN，两层卷积64/128滤波器、核5、ReLU、最大池化、全连接512/256、Dropout 0.5、Sigmoid输出）提取层次嵌入；嵌入经相似度正则（Top-K平均相似度Sim_Avg，权重λ）约束后输至梯度提升机（GBM）分类。超参经网格搜索确定（学习率1e-3、批64、 epoch 20–40、Adam）。实验在Windows 10 i7-7500U/32GB用Java实现，移动端部署仅作设计考量。

研究结果

引言（Introduction）

界定静态/动态分析优劣，指出深度学习检测在安卓端受算力制约、误报高、特征工程重，提出三研究问题：降假阳、降运行时开销、降误分类；明确CNN-GBM三大贡献对应上述目标。

相关作品（Related works）

分静态分析、动态与混合分析、深度学习检测、资源受限与IoT、优化与提升方法五类综述，指出已有混合或XGBoost+CNN工作仍未能同时压制误报、时延与误差，确立本研究缺口。

方法论（Methodology）

给出CNN-GBM十步流程：数据预处理→训练/测试切分→熵特征选择→1D-CNN提取（Sigmoid激活S(x)=1/(1+e^-x)）→含λ·Sim_Avg的正则误差估计→梯度下降与GBM树迭代更新权重W_i^k+1=W_i^k?η?e/?W_i^k→收敛停止→输出预测→指标评估。嵌入交接机制中CNN表征不全时由GBM补救。配置表列明卷积/全连接/GBM超参；特征敏感分析显示字节、操作码、n-gram下熵选择均稳，字节与操作码基线好，n-gram抗混淆佳。

数据集准备（Dataset preparation）

自Android Studio抽API/权限，Kaggle数据集10万×35，均值插补式X=ΣX_i/n，Min–Max式(Dq_i?Min_(Q))/(Max_(Q)?Min_(Q))，五折循环。

消融研究（Ablation study）

设GBM-only、Entropy+GBM、CNN-only、Entropy+CNN、全模型五变体；结论：熵选择降噪稳FP，CNN提召回/AUC，GBM细化边界提精确/F1，全模型各项最优。

实验过程与正则（Experimental procedure & Similarity-based regularization）

前向用Sigmoid与阶跃近似，误差e=1/(nΣ(Y_i?OA_i))+λ·Sim_Avg，Sim_Avg=1/KΣSim(X,D_ij)；将Top-K近邻平均相似度并入GBM目标，使低邻域一致性样本获更强修正。

维度控制（Dimensionality control）

原始CNN嵌入d=256，熵选后d′=64–96，缓解距离集中效应，提近远邻对比、稳相似估计、降FP。

讨论与结论（Discussion）

研究人员将CNN层次特征学习与GBM序列决策提升在熵降维与相似度正则下耦合，使准确率+3%、精确+1%、召回+5%、AUC+3.5%，FP率?52%、FN率?15%、错误率?35%，全面优于对照深度学习模型。该混合范式在静态分析低成本前提下，显著压制安卓端误报与计算开销，为资源受限移动设备提供可量化部署路径；作者指明真机评估与轻量化（剪枝/量化）部署留作未来工作。

（注：全文未引文献角标、未带图号，上标下标以呈现，无HTML转义、无svg、无表格。）