Page 292 - 《软件学报》2026年第4期

凌祥 等: RMDroid: 基于多模态融合学习的安卓恶意软件鲁棒检测 1733

RMDroid(img)、RMDroid(api) 和 RMDroid(cfg) 的预测结果进行决策; RMDroid(pool) 中各模态学习的特征向量
⃗
⃗
⃗
img
{h z ,h z ,h z } 通过最大池化层 (MaxPooling) 降维并提取显著特征, 然后经过具有 150 个神经元的隐藏层以及最终
cfg
api
⃗
⃗
⃗
api
cfg
{h z ,h z ,h z } 进行拼接, 并经过 300 个神经元的隐藏层
img
的输出层预测结果; RMDroid(conc) 则将各模态的特征向量
以及输出层进行预测.

表 8 不同特征维度下 RMDroid 的检测性能 (%)

FPR=1% FPR=0.1%
数据集 特征维度 AUC
TPR bACC TPR bACC
200 99.51 94.29 96.65 80.68 90.30
250 99.19 90.24 94.62 73.35 86.63
300 99.52 93.55 96.27 75.84 87.87
D rand
350 99.68 94.94 96.97 82.36 91.14
400 99.54 93.83 96.42 65.35 82.63
200 82.80 31.69 65.35 15.38 57.64
250 79.16 32.02 65.52 9.32 54.61
D time 300 83.96 41.76 70.38 23.10 61.51
350 83.89 33.70 66.36 13.04 56.47
400 87.16 40.74 69.88 19.10 59.50
注: 加粗数据表示结果最佳, 下划线表示结果次优

从表 9 中实验结果可以观察到, 对 D rand 数据集而言, RMDroid 的检测性能显著优于使用其他特征融合策略的
RMDroid 变体. 特别地, 在 FPR=0.1% 时 TPR 和 bACC 分别达到 68.73% 和 84.32%. 另一方面, 对 D time 数据集而
言, RMDroid 在 FPR=1% 时检测性能与最高的 RMDroid(pool) 相差较小, 但是在更有挑战性的条件下 (误报率
FPR=0.1%), RMDroid 的检测性能达到最高, 反映出 RMDroid 在保持较低误报率时优秀的检测性能. 综上所述, 使
用投票、最大池化以及拼接等常见特征融合方法的检测性能 (特别在更有挑战性、在恶意软件检测场景下更重要
的误报率 FPR=0.1% 的条件下) 整体上低于 RMDroid, 证明了本文所提出的基于鲁棒融合学习的恶意软件鲁棒检
测模块 F robust 的有效性.

表 9 不同特征融合策略下的检测性能 (%)

FPR=1% FPR=0.1%
数据集 检测模型 AUC
TPR bACC TPR bACC
RMDroid(vote) 98.91 83.43 91.22 16.80 58.35
RMDroid(pool) 99.36 92.16 95.58 59.08 79.49
D rand
RMDroid(conc) 99.48 93.62 96.31 65.49 82.70
RMDroid 99.48 93.88 96.45 68.73 84.32
RMDroid(vote) 89.56 38.32 68.67 14.46 57.18
RMDroid(pool) 85.46 44.98 72.00 12.58 56.24
D time
RMDroid(conc) 82.03 37.98 68.50 20.19 60.05
RMDroid 83.96 41.76 70.38 23.10 61.51
注: 加粗数据表示结果最佳, 下划线表示结果次优

3.2.2 鲁棒性实验结果与分析
为了评估本文所提出检测方法能够准确地检测出对抗性恶意软件的能力, 即鲁棒性实验, 本文选择第 3.1.4 节
中介绍的 3 种最新的且最具有代表性的对抗性恶意软件生成方法 (即 COPYCAT、GADGET 与 HRAT) 来评估包

括与所有基线检测方法在内所有目标检测方法的鲁棒性评价指标 Robust.
值得注意的是, 由于现有的对抗性恶意软件生成方法只能攻击部分基于特定模态特征的恶意软件检测方法,
因此本实验中 COPYCAT、GADGET 与 HRAT 这 3 种对抗性恶意软件生成方法只能分别评估特定目标检测方法的
鲁棒性指标. 具体而言, 由于 COPYCAT 只会改变恶意软件的图像特征, 因此只能用于评估 IMCFN、RMDroid(img)