arXiv cs.AI· Mubashar Iqbal, Asifullah Khan, Hifsa Asif, Saddam Hussain Khan, Umme Zahoora, Asifullah Khan·· 10 天前AI 评分24
成本感知的分层多智能体勒索软件检测与家族归因：在分析预算约束下
Cost-Aware Hierarchical Multi-Agent Ransomware Detection and Family Attribution under Analysis Budgets
AI 导读
研究者提出成本感知分层多智能体系统（HMAS），将证据获取建模为预算约束下的序贯决策问题，从静态证据起步，仅在置信度不足或控制器内智能体分歧时才升级到动态与内存证据。
正文 · AI 翻译
摘要：沙箱执行与内存取证是恶意软件分类中最受限的资源之一。静态分析可扩展到数百万个文件，而动态分析和内存分析则需要对每个样本投入数分钟由分析师控制的基础设施。尽管存在这一差异，多模态勒索软件检测器往往对每个样本都应用所有模态，导致分析成本和判定时间随样本量线性增长，即使静态证据已足以做出决策。我们提出一种成本感知的分层多智能体系统，将证据获取形式化为预算约束下的序贯决策问题。专家智能体为每种模态生成模式验证的风险信号，领域控制器聚合这些信号，元编排器从静态证据开始，仅在置信度不足或控制器内智能体意见不一致时才升级到动态和内存证据。一个可选的、有界的、本地托管的大语言模型审查器最多可将判定调整一个层级，但不能取代确定性流水线。每个决策都记录有完整的溯源轨迹。在对来自 16 个勒索软件家族及良性样本的 12439 个样本进行的多次运行中，确定性 HMAS 达到 F1 0.93 和宏 F1 0.97，仅使用静态证据即可解决 57.95% 的案例，加入动态证据后解决 35.83%，仅 6.21% 通过完整流水线解决。平均内部分析成本为 6.65 个单位，而穷举分析为 12，降低了 44.6%。独立的留一家族测试进一步表明，在调优期间留出的家族上，除 Benign 和高支持类别外，准确率降至 0.26 至 0.64。我们报告这些结果的同时，还提供了成本敏感性分析、部分留一组件消融实验，以及与学习式早期和晚期融合及级联基线的全面比较。
| 评论： | 19 页 |
| 主题： | 密码学与安全（cs.CR）；人工智能（cs.AI） |
| 引用为： | arXiv:2609.04820 [cs.CR] |
| （或 arXiv:2609.04820v2 [cs.CR] 用于此版本） | |
| https://doi.org/10.48550/arXiv.2609.04820 由 DataCite 颁发的 arXiv DOI |
提交历史
来自：Asifullah Khan [查看电子邮件]
[v1]
2026 年 9 月 4 日星期五 07:17:09 UTC（1,011 KB）
[v2]
2026 年 10 月 6 日星期二 13:30:24 UTC（702 KB）
来源：arXiv cs.AI · arxiv.org