本申请公开了应用程序异常行为检测方法及装置，其中所述方法包括：提取系统调用序列；对系统调用序列进行格式化处理；将格式化处理后的系统调用序列送入经训练的异常行为检测模型；异常行为检测模型返回系统调用序列所对应的应用程序是否存在异常行为的预测结果；其中，异常行为检测模型包括词嵌入层、LSTM层、注意层及全连接层，词嵌入层将系统调用序列转换为适合LSTM层的词向量，LSTM层用于至少学习所述系统调用序列的前后单词之间的顺序关系、语义和抽象特征，注意层用于使得异常行为检测模型对不同敏感度的系统调用赋予不同注意力，及全连接层用于分类以输出所述预测结果。本发明方法使能高效、快速检测未知攻击。