结论：伦敦大学学院、鲁汶大学、艾伦·图灵研究所与伦敦国王学院等团队在上海时间2026年8月31日对应的arXiv公告批次（Mon 31 Aug 2026，提交于28 Aug 16:29 UTC、按14:00 UTC截点公告于31 Aug 00:00 UTC即上海8时）公开预印本REPLICANT，提出在严格标签独显黑盒下以深度强化学习学习可复用、可迁移的问题空间躲避与加固策略。作者在7个安卓检测器与3个特征空间的379680次评估中报告平均攻击成功率78.8%且查询最省，对抗训练后可将攻击成功率压至17%以下；该结论仅来自作者实验，尚未经同行评审或独立验证，不能外推为跨平台或部署级鲁棒性保证。

研究对象与方法

研究针对机器学习恶意软件检测在真实黑盒约束下的脆弱性评估不足：现有最强攻击多依赖训练数据、特征空间或置信度等特权信息，且按样本贪心优化、可迁移性差，并混淆能力集与策略的增益。REPLICANT将问题空间躲避形式化为马尔可夫决策过程，状态为当前修改样本在攻击者特征空间的表示，动作为分层策略：高层决定提交查询或继续修改，低层在可用且掩码后的gadget能力中选择具体移植操作。采用分层近端策略优化PPO训练，实例化时以从良性应用收割移植自包含代码片段的0到1特征添加作为能力集，保证可实现性、语义保持与合理性，奖励兼顾躲避成功与最小化修改与查询次数。

数据范围与评估条件

评测聚焦安卓恶意软件检测，因AndroZoo提供大规模时间戳与去偏数据集。特征空间为Drebin、APIGraph与RAMDA三类高维二值静态特征，检测器覆盖线性SVM与SecSVM、随机森林、DeepDrebin、RAMDA、HCC与DRMD等7种。采用Tesseract与时间感知划分、约10%恶意比例的真实分布并显式评估时间漂移，设定黑盒仅回标签、白盒可回置信度两档威胁模型。为公平比较，所有基线与REPLICANT共用同一gadget能力集与威胁模型，分离策略与能力集的增益，最大规模评测达379680次攻击与1764个代理目标组合。

主要发现（作者报告，未独立验证）

作者报告：Replicant在严格标签黑盒下平均攻击成功率78.8%，相对8类最强基线相对提升20.9%至39.2%，且平均查询数最低；策略迁移比样本迁移相对提升82.0%，证实学习任务优于记忆样本。以白盒ReplicantWB做对抗训练，AT-Replicant对两类白盒攻击均降至17%以下，而AT-APG对ReplicantWB仍超过5倍脆弱，说明Replicant提供的梯度信号更具泛化性；但当攻击者能力集超出防御时能力集，鲁棒性递减。在随时间漂移的评估中，直接对AT模型做主动学习可恢复清洁性能却削弱鲁棒性，作者提出的鲁棒主动学习RAL则同时保持主动学习的时序性能与对抗训练的鲁棒性。

局限与同行评审状态

该工作为arXiv:2608.28499v1预印本，尚未经期刊或会议正式同行评审与独立复现。关键限制包括：仅安卓静态特征与特定gadget移植，未覆盖动态行为、混淆、加密及iOS和Windows；检测器与特征空间限于作者选定的7乘3组合，超参与训练稳定性、奖励设计及1764组合的方差披露有限；时间漂移结论依赖特定时间窗口、AndroZoo划分与RAL配置，外推至其他数据分布或运营策略需谨慎；白盒对抗训练假设防御方可无限制访问自身模型，黑盒下的防御增益未同等评估，结果不应直接视为线上安全承诺。

潜在意义

若后续获同行评审与跨数据集、跨能力集的独立复现支持，REPLICANT为以可学习、可复用策略评估与加固恶意软件检测提供了一个更贴近真实黑盒约束的框架：既揭示当前检测器在标签独显下的高可躲避性，也为通过策略学习分离能力集与策略增益，以及用RAL兼顾漂移与鲁棒性提供实践路径。落地前仍需在更广恶意软件家族、真实对抗成本与人工审查闭环中验证其稳健性与可维护性。