快慢结合学习：用于实时恶意软件检测的 Propedeutica

基于摘要分析。本文针对安全关键设备上恶意软件运行时检测开销较大的问题，提出 Propedeutica 框架：由传统机器学习检测器快速处理常规情况，再将分类处于边界区间的软件转交深度学习检测器，以兼顾检测效果与计算效率。研究对象是 Windows 软件执行行为，而非神经信号或 BCI。 机制上，框架在软件开始执行时先将其视为良性并持续监测；当传统分类器给出接近决策边界的结果时，调用计算开销更高的 DeepMalware。该深度架构采用多流输入，旨在处理软件执行的时空动态与异质性。摘要未披露输入特征、网络细节、训练目标及概率校准方式，不能据此确定其具体实现。 作者报告，在包含 9115 个恶意软件样本与 1338 个良性软件、覆盖多种 Windows 软件类别的评估中，采用 [30%, 70%] 的边界区间时，Accuracy 为 94.34%，假阳性率为 8.75%，41.45% 的样本被转交 DeepMalware 分析。作者另报告仅使用 CPU 即可在低于 0.1 s 内检测恶意软件；该时延对应的硬件配置、观测窗口及统计口径尚未验证。数据划分、对照实验、消融及统计信息也尚未验证。 平台推测（待验证）：可迁移的机制是假设通过置信度分流，让轻量 EEG 分类器处理明确样本、复杂模型处理疑难样本，从而降低平均推理开销；这不等于原方法已在 BCI 中有效。需重新定义 EEG 输入、任务标签与观测窗口，并在独立验证集上校准分流阈值。低信噪比、跨被试分布变化和小数据可能使轻量模型出现高置信度错误，导致困难样本无法进入后级。一个可证伪的小实验是在固定 EEG 任务与同一数据划分下，对比轻量模型、全量复杂模型及级联方案，同时记录 Accuracy、平均与尾部时延、转交比例，并将跨被试结果单独报告。相关 EEG 工作尚未检索确认。