Cost-Aware Hierarchical Multi-Agent Ransomware Detection and Family Attribution

📄 arXiv: 2609.04820v1 📥 PDF

作者: Mubashar Iqbal, Asifullah Khan

分类: cs.CR, cs.AI

发布日期: 2026-09-04

备注: 19 Pages

💡 一句话要点

提出成本感知的层次化多智能体勒索软件检测方法

🎯 匹配领域: 支柱一：机器人控制 (Robot Control) 支柱九：具身大模型 (Embodied Foundation Models)

关键词: 勒索软件检测 多模态分析 智能体系统 成本感知 网络安全

📋 核心要点

  1. 现有的勒索软件检测方法在处理多模态数据时，往往导致不必要的计算开销和延迟。
  2. 本文提出的HMAS通过层次化的智能体系统，优化了模态的选择和使用，以降低成本并提高检测效率。
  3. 实验结果表明，HMAS在准确性和成本效益上均优于传统的静态和动态分析方法，显著提升了检测性能。

📝 摘要（中文）

勒索软件检测和家族归属需要分析多种模态，但传统的多模态方法通常对每个样本使用所有可用模态，导致不必要的计算成本和延迟。本文提出了一种成本感知的层次化多智能体系统（HMAS），通过将专门的智能体组织成层次化的域控制器，并由元协调器进行协调。初始使用静态分析作为低成本模态，当信心不足或专家智能体存在分歧时，选择性地使用额外的动态和内存模态。成本模型结合模态使用和处理开销，使得分析性能与计算成本之间的平衡成为可能。实验评估显示，HMAS在二进制勒索软件检测中达到了96.57%的准确率，0.96的F1-score和0.99的ROC-AUC，同时在家族归属中达到了0.90的宏观F1。HMAS还将平均分析成本降低了43.97%。

🔬 方法详解

问题定义：本文旨在解决传统勒索软件检测方法在多模态分析中存在的高计算成本和延迟问题。现有方法通常对每个样本使用所有模态，导致资源浪费和效率低下。

核心思路：论文提出的HMAS通过层次化的智能体系统，首先使用低成本的静态分析进行初步检测，只有在信心不足时才引入其他动态和内存模态，从而实现成本与性能的平衡。

技术框架：HMAS的整体架构包括多个层次的域控制器和一个元协调器，专门的智能体负责不同模态的分析。初步使用静态分析，后续根据需要选择性地引入动态和内存分析。

关键创新：HMAS的主要创新在于其成本感知的分析策略，通过动态选择模态来优化检测过程，显著降低了计算成本并提高了检测效率。与传统方法相比，HMAS能够在保持高准确率的同时，减少不必要的资源消耗。

关键设计：在设计中，成本模型结合了模态使用和处理开销，确保了分析性能与计算成本之间的有效平衡。实验中，56.05%的案例仅依赖静态证据解决，只有4.33%需要完整证据管道。

🖼️ 关键图片

img_0
img_1
img_2

📊 实验亮点

实验结果显示，HMAS在二进制勒索软件检测中达到了96.57%的准确率和0.99的ROC-AUC，相较于传统的全面分析方法，平均分析成本降低了43.97%。此外，HMAS在家族归属任务中也表现出色，取得了0.90的宏观F1分数，展示了其在多模态分析中的优势。

🎯 应用场景

该研究的潜在应用领域包括网络安全、恶意软件检测和信息安全管理等。通过优化勒索软件检测的成本和效率，HMAS可以帮助企业和组织更有效地防范网络攻击，降低安全风险。未来，该方法还可以扩展到其他类型的恶意软件检测和分析任务中，具有广泛的实际价值。

📄 摘要（原文）

Ransomware detection and family attribution require analysis of different modalities because it can use packing, obfuscation, process manipulation and runtime evasion techniques. However, conventional multimodal usually uses all available modalities for every sample resulting in unnecessary computational cost and increased latency. In this paper, we present a Cost Aware Hierarchical Multi-Agent System (HMAS) for adaptive ransomware detection. The proposed architecture organizes specialized agents into hierarchical domain controllers coordinated by a Meta Orchestrator. Static analysis is used as the initial low-cost modality while additional dynamic and memory modality is selectively used when confidence is insufficient or specialist agents exhibit disagreement. A cost model incorporates modality use and processing overhead. It enables the orchestration policy to balance analysis performance against computational cost. A locally deployed large language model provides verification for selected difficult cases without replacing the deterministic pipeline. Experimental evaluation compares adaptive HMAS with static only, static plus dynamic and exhaustive analysis policies across binary ransomware detection and multiclass family attribution. The complete HMAS achieved 96.57% accuracy, 0.96 F1-score and 0.99 ROC-AUC for binary detection. It also achieved 0.90 macro-F1 for family attribution. At the same time, the HMAS reduced average analysis cost by 43.97% relative to exhaustive analysis and substantially reduced average analysis latency except for the case where LLM is used. Routing analysis showed that 56.05% of cases were resolved using static evidence alone. Only 4.33% required the complete evidence pipeline. These findings demonstrate that adaptive HMAS can provide accuracy cost tradeoff for ransomware analysis while retaining support for heterogeneous and incomplete modalities.