ActDroid：一种用于 Android 恶意软件检测的主动学习框架
内容提要
该文综述了安卓恶意软件检测的机器学习方法，包括DroidOL在线学习框架、DL-Droid动态分析系统和MaMaDroid静态分析系统，利用控制流子图、API调用序列等特征，结合主动学习、对比学习及一致性预测应对概念漂移，检测准确率最高达98%。
延伸解读
主动学习如何应对概念漂移
文章指出，恶意软件不断进化会导致传统机器学习模型失效，即概念漂移。主动学习通过选择最有价值的样本进行标注，能更高效地更新模型。例如，层次对比学习方案结合主动学习，在七年时间内保持了更一致的性能，并降低了误识别率。这表明主动学习是应对概念漂移的有效策略。
静态与动态分析的检测思路差异
文章对比了静态和动态分析方法。静态分析如MaMaDroid，通过抽象API调用序列建模行为，无需运行应用，效率较高；动态分析如DL-Droid，通过状态输入生成在运行中检测，能捕捉实际行为。两者各有优势，实际系统常结合使用以提高检测率。
检测置信保证的实际意义
文章提到一种基于一致性预测的方法，能为每个检测结果提供可证明有效的置信保证，且对恶意和良性类别都适用，不受数据偏差影响。这意味着在实际部署中，安全人员可以依据置信度决定是否进一步分析，减少误报和漏报带来的风险。
Q&A
ActDroid 是什么？它主要解决 Android 恶意软件检测中的什么问题？
ActDroid 是一种用于 Android 恶意软件检测的主动学习框架，旨在解决恶意软件不断进化导致传统基于机器学习的检测方法失效的问题。
DroidOL 在线学习框架采用了哪些特征和分类器？其检测准确率如何？
DroidOL 采用了过程间控制流子图特征和在线主动-被动分类器，在比较试验中准确率高达 84.29%，能有效检测不断进化的恶意软件。
如何解决 Android 恶意软件检测中的概念漂移问题？
可以通过结合主动学习和对比学习的新层次对比学习方案和样本选择技术进行持续训练，或者采用重新训练技术和概念漂移检测机制，以维持检测器性能。
MaMaDroid 系统是如何检测 Android 恶意软件的？它有什么优势？
MaMaDroid 是一种基于静态分析的系统，通过抽象的 API 调用序列建立行为模型来检测恶意软件。与基于 API 调用频率的检测系统相比，它具有更高的检测准确率和更稳定的检测能力。
DL-Droid 系统是什么？它采用什么方法进行恶意软件检测？
DL-Droid 是一种通过状态输入生成实现动态分析的深度学习系统，可成功检测安卓手机应用中的恶意程序。
有哪些方法可以为 Android 恶意软件检测提供置信保证？
可以采用基于一致性预测的机器学习框架，结合随机森林分类器，为每个恶意软件检测提供可证明有效的置信保证，且该保证对恶意和良性类别都适用并不受数据偏差影响。
