DEFEAT 框架通过重构文件 I/O 上下文检测勒索软件
先了解这件事
2026 年 10 月 23 日，arXiv 发布论文介绍 DEFEAT 框架。该框架旨在解决勒索软件利用分散的临时和中间文件操作破坏语义上下文的问题，使依赖孤立文件流或统计证据的检测器失效。DEFEAT 将因果相关的文件事件分组为“文件事件小工具”（FEGs），这些单元捕获跨越多个动态创建文件的完整意图，并在单个用户资产的文件操作上下文中进行轻量级分析，无需全系统仪器化。评估显示，在包含 67 个勒索软件家族的 97,816,471 个文件 I/O 事件语料库上进行了测试。
AI 根据报道生成 · 3 小时前更新
报道时间线
沿着报道，了解事件的不同侧面。
- arXiv cs.CRDEFEAT 框架通过重组碎片化文件 I/O 上下文实现早期勒索软件检测
该论文提出 DEFEAT 框架，旨在解决勒索软件通过分散临时和中间文件操作来破坏语义上下文的问题，使依赖孤立文件流或统计证据的现有检测器失效。DEFEAT 将因果相关的文件事件分组为“文件事件小工具”（FEGs），这些是捕获跨越多个动态创建文件的完整意图的语义连贯单元，并在单个用户资产的文件操作上下文中进行轻量级分析，无需全系统仪器化。 评估显示，在包含 67 个勒索软件家族的 97,816,471 个文件 I/O 事件语料库上，DEFEAT 实现了 99.2% 的检测准确率，比 UNVEIL、RWGuard 和 Peeler 等最先进方法高出 6.57% 至 7.56%。其核心机制是将每个 FEG 建模为属性控制流图（ACFG）并通过图神经网络进行无监督聚类，使得分析师只需标记整个行为簇而非单个样本，从而将标注工作量减少了 94%。由于每个 ACFG 代表一个 FEG，一旦第一个文件操作完成即可分配簇标签，从而实现首个加密文件时的检测。 事实层面，该方法基于 2026 年 9 月提交的 arXiv 论文，已接受 ACSAC 2026 会议。推断层面，这种从“多文件统计证据”转向“单文件上下文重构”的思路可能改变端侧安全产品的架构设计，使其不再依赖长窗口历史数据。猜测层面，该框架在实际生产环境中的计算开销与部署复杂度仍需验证，且针对非标准文件操作模式的泛化能力未在文中详述。
本事件热度走势
当前热度 9·可比范围峰值 9（10月23日 14:00）·近 24 小时可比范围变化 –
趋势仅比较持续完整观测到的相同主体，范围可能小于当前热度统计。移动指针或点击图表查看每小时热度；键盘可用左右方向键切换。