HYDRA: Proactive Android Malware Drift Adaptation via Hierarchical Graph Contrastive Learning

📄 arXiv: 2609.26352v1 📥 PDF

作者: Han Chen, Hanchen Wang, Hongmei Chen, Lu Qin, Wenjie Zhang, Ying Zhang

分类: cs.CR, cs.LG

发布日期: 2026-09-22

备注: Accepted at ACM CCS 2026. Author's version with full appendix. 17 pages

DOI: 10.1145/3830454.3832684

💡 一句话要点

提出HYDRA框架以解决Android恶意软件概念漂移问题

🎯 匹配领域: 支柱二：RL算法与架构 (RL & Architecture)

关键词: 恶意软件检测 概念漂移 对比学习 图结构 机器学习 主动适应 安全应用

📋 核心要点

  1. 现有的恶意软件检测方法在面对快速演变的Android恶意软件时，往往只能被动适应，导致性能下降。
  2. HYDRA框架通过分层图结构学习漂移不变的表示，并引入跨域对比学习目标，实现主动适应。
  3. 实验结果显示，HYDRA在假阴性和假阳性率上显著优于现有方法，同时减少了对标记样本的需求。

📝 摘要（中文）

概念漂移是由Android恶意软件的快速演变引起的，严重降低了机器学习检测器的性能。现有的适应策略往往是反应性的，仅在性能下降后才做出响应，并且需要大量人工标注，或者是前瞻性的但依赖不稳定的对抗训练和不完整的单层图表示。为了解决这些问题，我们提出了HYDRA（混合漂移适应）框架，该框架通过分层结构数据学习漂移不变的表示。HYDRA首先使用混合图结构建模应用程序，结合细粒度的控制流图（CFG）和粗粒度的函数调用图（FCG），以捕捉全面的行为模式。接着引入了一种新颖的跨域对比学习目标，旨在对齐历史（源）和新（目标）数据分布。通过为未标记的目标样本生成伪标签，我们的方法将语义相似的应用程序的表示拉近，无论其域如何，均在单一稳定的优化过程中实现。这种方法统一了特征学习和域对齐，消除了复杂对抗目标的需求。大规模时间序列恶意软件数据集的广泛实验表明，HYDRA在假阴性和假阳性率上显著低于最先进的基线，同时需要高达87.5%的标记样本更少。

🔬 方法详解

问题定义：本论文旨在解决Android恶意软件检测中的概念漂移问题。现有方法通常是反应性的，无法及时适应恶意软件的快速演变，导致检测性能下降，并且需要大量的人工标注。

核心思路：HYDRA框架的核心思路是通过分层结构的数据建模，结合细粒度的控制流图（CFG）和粗粒度的函数调用图（FCG），以捕捉全面的行为模式，并通过跨域对比学习对齐源和目标数据分布。

技术框架：HYDRA的整体架构包括数据建模模块、对比学习模块和伪标签生成模块。首先，应用程序通过混合图结构建模；然后，利用对比学习目标对齐不同域的数据；最后，为未标记的目标样本生成伪标签。

关键创新：HYDRA的主要创新在于其跨域对比学习目标的引入，能够在单一稳定的优化过程中实现特征学习和域对齐，避免了复杂的对抗训练。

关键设计：在技术细节上，HYDRA采用了混合图结构，结合了CFG和FCG，并设计了适应性强的损失函数，以确保在不同数据分布下的有效学习。

🖼️ 关键图片

fig_0
fig_1
fig_2

📊 实验亮点

实验结果表明，HYDRA在假阴性率和假阳性率上显著低于最先进的基线，假阴性率降低了XX%，假阳性率降低了YY%。此外，HYDRA在标记样本需求上减少了高达87.5%，显示出其高效性。

🎯 应用场景

HYDRA框架在Android恶意软件检测领域具有广泛的应用潜力，能够有效应对恶意软件的快速演变，提升检测系统的鲁棒性和准确性。未来，该方法可扩展至其他领域，如网络安全、金融欺诈检测等，具有重要的实际价值和影响。

📄 摘要（原文）

Concept drift, driven by the rapid evolution of Android malware, severely degrades the performance of machine learning detectors. Current adaptation strategies are often reactive, responding only after performance has dropped and imposing a significant manual annotation burden, or they are proactive but rely on unstable adversarial training and incomplete, single-level graph representations. To overcome these limitations, we propose HYDRA (Hybrid Drift Adaptation), a proactive adaptation framework that learns drift-invariant representations from hierarchically structured data. HYDRA first models applications using a hybrid graph structure, combining fine-grained Control Flow Graphs (CFGs) and coarse-grained Function Call Graphs (FCGs) to capture comprehensive behavioral patterns. It then introduces a novel cross-domain contrastive learning objective that aligns historical (source) and new (target) data distributions. By generating pseudo-labels for unlabeled target samples, our method pulls representations of semantically similar applications together, regardless of their domain, within a single, stable optimization process. This approach unifies feature learning and domain alignment, eliminating the need for complex adversarial objectives. Extensive experiments on large-scale, time-ordered malware datasets demonstrate that HYDRA achieves substantially lower False Negative and False Positive Rates than state-of-the-art baselines while requiring up to 87.5% fewer labeled samples. Our work thus offers a robust and efficient solution to combat concept drift in security applications.