Self-Supervised Representations for Binary Program Clustering: From Empirical Study to Retrieval-Augmented Learning
该研究首次系统调查了自监督学习（SSL）和表格表示学习（TRL）方法在二进制程序聚类中的应用，在公共 Ember 和 Bodmas 数据集上分两个阶段进行。第一阶段，通过监督对生成适配视觉 SSL 模型（BYOL、SimSiam、Barlow Twins、VICReg），发现 BYOL 和 SimSiam 性能与全监督模型相当，而 Barlow Twins 和 VICReg 显著落后。第二阶段，评估纯无监督 TRL 方法，与 PCA、Autoencoder、UMAP 等强基线比较，VIME 在二进制程序聚类上达到新最优。基于此，提出 VIME-R，一种检索增强的 VIME 扩展，替换随机掩码。
Development
- First ReportSelf-Supervised Representations for Binary Program Clustering: From Empirical Study to Retrieval-Augmented LearningarXiv cs.LG
- Current Assessment该研究为恶意软件聚类提供了新的技术路径，表明自监督方法可减少对标注数据的依赖，在威胁发现和家族演化分析中具有潜力。VIME 和 VIME-R 可能成为安全运营中自动化样本分诊的工具，但需在真实场景中验证其鲁棒性和可扩展性。Agent Pulse · analysis
该研究首次系统调查了自监督学习（SSL）和表格表示学习（TRL）方法在二进制程序聚类中的应用，在公共 Ember 和 Bodmas 数据集上分两个阶段进行。第一阶段，通过监督对生成适配视觉 SSL 模型（BYOL、SimSiam、Barlow Twins、VICReg），发现 BYOL 和 SimSiam 性能与全监督模型相当，而 Barlow Twins 和 VICReg 显著落后。第二阶段，评估纯无监督 TRL 方法，与 PCA、Autoencoder、UMAP 等强基线比较，VIME 在二进制程序聚类上达到新最优。基于此，提出 VIME-R，一种检索增强的 VIME 扩展，替换随机掩码。
该研究将视觉 SSL 方法（BYOL、SimSiam）适配到表格数据，通过监督对生成实现与全监督相当的聚类性能，表明对比学习在二进制程序特征上有效。VIME 作为无监督 TRL 方法，在二进制程序聚类上超越传统降维和自编码器基线，说明掩码重建预训练能捕获恶意软件特征。VIME-R 通过检索增强替换随机掩码，可能进一步提升表征质量，但具体效果未在摘要中给出。
该研究为恶意软件聚类提供了新的技术路径，表明自监督方法可减少对标注数据的依赖，在威胁发现和家族演化分析中具有潜力。VIME 和 VIME-R 可能成为安全运营中自动化样本分诊的工具，但需在真实场景中验证其鲁棒性和可扩展性。
对安全厂商而言，该方法可降低恶意软件聚类的人工标注成本，提升威胁响应速度。对安全运营团队，VIME-R 可能提供更准确的样本分群，辅助优先处理高危家族。但商业化需考虑计算资源和实时性要求。
后续可关注 VIME-R 的完整实验结果，以及该方法在更大规模、更复杂二进制数据集上的表现。若验证有效，可能推动自监督学习在恶意软件分析中的实际部署。