ỨNG DỤNG PHƯƠNG PHÁP HỌC TRỰC TUYẾN BỀN VỮNG ROPU TRONG PHÁT HIỆN MÃ ĐỘC ANDROID TRÊN BỘ DỮ LIỆU LAMDA

Abstract

Sự gia tăng nhanh chóng về số lượng và mức độ tinh vi của mã độc Android đã đặt ra nhiều thách thức đối với các hệ thống phát hiện dựa trên học máy. Trong thực tế, bài toán này đồng thời phải đối mặt với hai vấn đề quan trọng, gồm khó khăn trong việc xây dựng dữ liệu gán nhãn hoàn toàn tin cậy, do việc xác định một ứng dụng là mã độc có thể phụ thuộc vào mức độ đồng thuận giữa các công cụ antivirus, và hiện tượng trôi dạt khái niệm (Concept Drift), trong đó đặc trưng và phân bố của dữ liệu mã độc có thể thay đổi theo thời gian, làm suy giảm hiệu năng của các mô hình được huấn luyện trên dữ liệu trước đó. Để khảo sát bài toán trong điều kiện nhãn dương tính không được quan sát đầy đủ, nghiên cứu ứng dụng thuật toán Robust Online Positive-Unlabeled Learning (ROPU) trên bộ dữ liệu Longitudinal Android Malware Dataset (LAMDA) trong giai đoạn 2013-2025, ngoại trừ năm 2015. Trong quá trình thực nghiệm, dữ liệu LAMDA được chuyển sang thiết lập Positive Unlabeled Learning có kiểm soát bằng cách sử dụng chỉ số đồng thuận VirusTotal (vt_count) để xác định các mẫu mã độc được giữ lại dưới dạng dương tính đã quan sát và các mẫu mã độc được ẩn nhãn theo nhiều chiến lược lựa chọn ngưỡng. Giả định Missing in a Subset Area (MSA) được sử dụng như một giả định làm việc nhằm mô hình hóa cơ chế thiếu nhãn có cấu trúc, đồng thời ROPU được cập nhật tuần tự qua các năm để khảo sát khả năng duy trì hiệu năng khi dữ liệu thay đổi theo thời gian. Kết quả thực nghiệm trên 12 mốc dữ liệu theo năm cho thấy ROPU duy trì hiệu năng tương đối tốt trong nhiều giai đoạn, đặc biệt ở các chỉ số F1-score và Recall, nhưng suy giảm rõ rệt khi số lượng mẫu dương tính được quan sát giảm mạnh ở các năm cuối của chuỗi thời gian. Những kết quả này cho thấy ROPU là một hướng tiếp cận khả thi cho bài toán phát hiện mã độc Android trong thiết lập nhãn dương tính không được quan sát đầy đủ và dữ liệu biến đổi theo thời gian, đồng thời cho thấy hiệu năng của mô hình còn phụ thuộc đáng kể vào cách xây dựng tập dương tính đã quan sát và đặc điểm của dữ liệu tại từng giai đoạn.The rapid growth in both the number and sophistication of Android malware has posed significant challenges to machine learning-based detection systems. In practice, this problem faces two major challenges, including the difficulty of constructing fully reliable labeled data and concept drift. Malware identification may depend on the level of agreement among antivirus engines, while malware features and data distributions may change over time, leading to degraded performance of models trained on earlier data. To investigate this problem under conditions where positive labels are not fully observed, this study applies the Robust Online Positive Unlabeled Learning (ROPU) algorithm to the Longitudinal Android Malware Dataset (LAMDA) covering the period from 2013 to 2025, excluding 2015. In the experimental setup, LAMDA is converted into a controlled Positive-Unlabeled Learning setting by using the VirusTotal consensus score (vt_count) to determine which malware samples remain as observed positives and which malware samples have their labels hidden under different threshold selection strategies. The Missing in a Subset Area (MSA) assumption is used as a working assumption to model a structured label-missing mechanism, while ROPU is updated sequentially across years to investigate its ability to maintain detection performance as the data change over time. Experimental results across 12 yearly data points show that ROPU maintains relatively good performance during many periods, particularly in terms of F1-score and Recall, but exhibits substantial degradation when the number of observed positive samples decreases sharply in the later years of the data stream. These results suggest that ROPU is a feasible approach to Android malware detection in settings where positive labels are not fully observed and the data evolve over time, while also indicating that model performance depends considerably on how the observed positive set is constructed and on the characteristics of the data at each stage.