이 논문은 악성코드 탐지 설명에 표준적으로 쓰이는 SHAP이 실제 악성 행동이 아니라 분석가가 선택한 '특징-연합 게임'만을 설명한다고 주장한다. 정적 PE 특징 공간에서 바이트 히스토그램, 문자열, 헤더, 임포트 등은 독립적 신호가 아니라 파일 구조·패킹·컴파일러 관행에 의해 함께 형성되는데, 이 의존성이 조건부 SHAP의 특징 기여도를 중복 특징 수만큼 희석시키고 모델이 실제로 쓰지 않은 특징에도 중요도를 부여하며, 데이터 분포가 바뀌면 미사용 특징의 기여도 부호까지 뒤집을 수 있음을 증명했다. 개입적 SHAP은 실제 실행파일에 존재할 수 없는 특징 조합을 질의하는 문제가 있다. EMBER-2018, EMBER-2024, BODMAS 데이터셋에서 LightGBM·XGBoost 탐지기로 이 효과들을 실증했으며, 저자들은 SHAP을 명시적 데이터 분포 진술과 도메인 검증이 필요한 제한적 진단 도구로 자리매김해야 한다고 결론짓는다.

• •SHAP이 실제 악성코드 행동이 아니라 분석가가 정의한 특징-연합 게임만을 설명한다고 주장
• •PE 정적 특징들의 상호 의존성이 조건부 SHAP 기여도를 희석하고 미사용 특징에도 중요도를 부여함을 증명
• •데이터 분포 변화 시 미사용 특징의 기여도 부호까지 뒤집힐 수 있음을 확인
• •EMBER-2018/2024, BODMAS에서 LightGBM·XGBoost로 실증, SHAP을 제한적 진단 도구로 재정의 제안