软件学报:jos:7726 · 记录 #1

威胁情报驱动的多智能体Android反运行时分析方法

来源日期 2026-09-23

来源记录日期 2026-09-23

雷达观测 2026-11-01 16:34

摘要

Android生态系统的开放性与碎片化使其面临着持续演进且日益复杂的安全威胁, 越来越多的恶意攻击者使用运行时分析技术来窥探应用逻辑、篡改执行流程, 从而规避Android安全措施, 加强恶意行为的持久性与影响范围. 反运行时分析(anti-runtime analysis)技术通过检测运行时分析行为, 使用户与开发者能够及时发现并采取防护措施, 保障应用完整性与数据安全. 目前, 研究人员已提出多种基于静态数据库的反运行时分析方法, 即收集已知运行时分析技术的特征情报, 将从设备中提取的信息与其进行匹配, 从而发现运行时分析技术的痕迹. 但这类方法存在“知识滞后”问题, 且分析深度和结果可解释性不足, 使其在高速迭代的运行时分析技术面前愈发乏力. 为此, 提出并实现一个基于威胁情报驱动的多智能体Android反运行时分析方法——AIntel-Agent, 该方法利用智能体技术构建动态知识库, 从Root、Hook、调试、虚拟环境、篡改这5类运行时分析技术的特征出发对设备指纹进行深度分析, 自动化、智能化地完成Android反运行时分析任务. AIntel-Agent通过智能体协作框架的设计, 提出一种从互联网实时获取威胁情报构建动态知识库的方法, 并构建循环推理机制使智能体将设备指纹与运行时分析技术的特征关联, 形成设备反运行时分析报告. 基于现实设备数据集的实验结果表明, AIntel-Agent在Android设备达到88.5%的精确率与93.9%的召回率, 其风险报告具备充足证据与可解释性, 证明了其在Android反运行时分析中的有效性.