《娜璋带你读论文》系列主要是督促自己阅读优秀论文及听取学术讲座，并分享给大家，希望您喜欢。由于作者的英文水平和学术能力不高，需要不断提升，所以还请大家批评指正，非常欢迎大家给我留言评论，学术路上期待与您前行，加油。

前一篇博客带来了意大利团队JISA’24的少样本学习的攻击流量分类方法。本文将详细介绍四川大学团队在Applied Soft Computing发表的基于大型语言模型（LLM）的新型异常用户行为检测方法，能在资源匮乏条件下检测新型攻击。本文通过从系统日志中提取简单因果关系构建行为图谱，并采用无标签图对比不变学习生成因果特征向量。通过引入叙述者与决策执行者等多智能体框架优化文本描述生成，同时借助Translator高效将因果向量转化为有意义的描述。注意，由于我们团队还在不断成长和学习中，写得不好的地方还请海涵，希望这篇文章对您有所帮助，这些大佬真值得我们学习。fighting！

  • 欢迎关注作者新建的『网络攻防和AI安全之家』知识星球（文章末尾）

文章目录

在这里插入图片描述

原文作者：Yijia Xu, Qiang Zhang, Huaxin Deng, Zhonglin Liu, Cheng Yang, Yong Fang
原文标题：Unknown web attack threat detection based on large language model
原文链接：https://www.sciencedirect.com/science/article/abs/pii/S1568494625002169
发表期刊：Applied Soft Computing（中科院SCI二区）
研究机构：四川大学网络空间安全学院
笔记作者：贵大0624团队 杨子轩

一、研究背景与摘要

随着网络攻击形式的多样化和复杂化，传统防御手段难以应对 未知攻击（如零日漏洞、新颖攻击方式）。

主要挑战：

  • 行为内容不稳定：攻击行为可能被加密或混淆；
  • 攻击路径不确定：攻击者常采用非常规路径；
  • 数据稀缺性：缺乏标注数据，传统监督学习难以适用。

研究思路：
结合 大语言模型（LLM）与因果关系建模，通过构建 Web 攻击行为图、引入 GCIL（图对比不变学习） 和 GraphTranslator 模块，在低资源条件下实现可解释的异常行为检测。

二、相关研究综述

1. 异常行为检测方法

  • 攻击图优化：最小攻击图、A*剪枝等方法提升效率，但易丢失关键信息；
  • 概率建模与贝叶斯方法：用于评估系统脆弱性，但依赖专家经验；
  • 深度学习与图建模：如 Transformer 分析日志，BERT 解析语义，能提升识别能力，但对行为隐性联系考虑不足。

2. 潜在攻击者识别

  • 行为类型：良性行为、探测行为、攻击行为；
  • 关键探测行为：注入位置扫描、错误报告利用、后台地址探测、异常文件上传、敏感文件下载等。

三、任务定义与挑战

1.研究目标

  • Web 攻击行为图建模：融合显性 + 隐性因果关系；
  • 无监督特征学习：通过 GCIL 提取因果特征向量；
  • 多智能体辅助分析：Narrator、Decision-maker、Translator 协同增强分析与解释。

2.研究挑战

类别 说明
因果关系 显性因果可直接观测，隐性因果需依赖推理挖掘
数据标注 大量未标注数据，需无监督/弱监督方法
可解释性 检测结果需人类专家理解与验证

四、方法框架

框架概述：原始图的节点来源于数据源。首先，通过提取显式因果关系构建图中的边缘，并进一步分析隐式因果关系以完善图的结构。GCIL模块负责在Web攻击行为图上执行图嵌入，从而为行为节点生成因果特征向量。生产者模块通过管道生成描述性文本，指导LLM从三个维度（行为、邻近行为、因果关系）生成与行为相关的信息。最后，GraphTranslator模块将图模型与LLM对齐，训练Transformer模型，使其能够理解图信息并将其转化为自然语言编码目标。

在这里插入图片描述

包括以下模块：

(1) 图构建：基于日志和用户行为，捕捉显性+隐性因果关系；

  • 原始图的构建：原始图的构建是通过系统日志和用户行为数据来捕捉和表示用户行为之间的因果关系。原始图的目标是基于显性和隐性因果关系构建一个初步的行为图，用于捕捉和分析用户行为的依赖关系。
  • 原始图的构建：原始图的构建是通过系统日志和用户行为数据来捕捉和表示用户行为之间的因果关系。原始图的目标是基于显性和隐性因果关系构建一个初步的行为图，用于捕捉和分析用户行为的依赖关系。

(2) GCIL（Graph Contrastive Invariant Learning）：在无监督条件下学习稳定的因果特征向量；

  • 图对比不变学习（GCIL）是一种无监督学习方法，旨在从行为图中学习到稳定且鲁棒的因果特征向量，而无需依赖大量标注数据。通过GCIL，模型能够捕捉到行为图中的隐性因果关系，增强对未知攻击的识别能力。GCIL的目标是从图的多视图中学习一致的因果关系，进而提高图的表现力和模型的泛化能力。

在这里插入图片描述

(3) Producer 模块：生成辅助文本，增强图特征表达；

  • Producer模块的核心任务是通过生成描述性文本来增强图的特征表达。
  • 在GCIL中，图嵌入学习不仅仅依赖于图结构信息，还需要生成文本来补充和解释图中的节点及其行为。

在这里插入图片描述

(4) GraphTranslator 模块：对接 LLM，将因果特征转化为自然语言描述。GraphTranslator的工作流程分为两个主要阶段：

  • 在Stage 1，模型接收图嵌入 作为输入，通过共享自注意力机制处理这些嵌入，学习图中节点之间的关系，生成新的表示Tv 。接着，交叉注意力（Cross Attention）机制通过查询（Query）与图嵌入 Zv进行交互，进一步捕捉因果关系和行为特征。模型通过这一步骤的学习，生成一个新的向量表示 Hv，并通过损失函数优化图嵌入表示，使其更适合下游任务，提升因果关系的表达能力。
  • 在Stage 2，第一阶段生成的图嵌入Hv被送入一个冻结的LLM，LLM将图嵌入向量转化为自然语言描述。通过这一阶段，模型依据图中的因果关系和行为特征生成相应的文本。损失函数在这一阶段的作用是优化生成的文本，使其与目标文本（即准确描述图嵌入的文本）之间的差异最小化，从而确保生成的自然语言文本能够准确、流畅地反映图中的信息。

在这里插入图片描述

五、实验设计与结果分析

1. 实验

  • 数据集：WAB-21 / WAB-24：四川大学网络科学与工程学院构建的 Web 攻击数据集，包含正常行为与攻击行为。

在这里插入图片描述

  • 实验结果：在有监督学习的条件下，WAB-21 和 WAB-24 数据集在各自环境中的识别任务都表现良好。然而，当测试样本之间存在时间差时，识别性能显著下降。具体来说，当使用 WAB-21 训练并在 WAB-24 上测试时，AUC值降至 0.737，这表明在未知的网络攻击环境中，如何克服知识限制和时效性问题非常重要。

在这里插入图片描述

2. 因果实验

  • 比较含/不含隐性因果关系的图模型；研究者构建了两种图结构：一种包含隐式因果关系，另一种不包含隐式因果关系。通过这两种图模型的比较，评估隐式因果关系的引入对图模型表现的影响。使用 GCIL（图对比不变学习） 对这两种图模型进行节点嵌入，生成可比的节点向量对。这些嵌入向量用于表示图中节点的特征，作为后续异常行为检测的基础。为了评估信息聚合的效果，研究者观察了节点向量对之间的差异，并分析了相似节点的聚合情况。通过确保两个图中节点数量一致，评估隐式因果关系是否能够更好地聚合相似行为节点的特征。

  • 结果表明：引入隐性因果关系能更好聚合相似节点特征，提高检测性能。

在这里插入图片描述

3. 异常检测实验

  • 为了验证 GCIL 生成的因果特征向量是否能够提供更好的表示，研究者将GCIL生成的嵌入向量与其他自监督训练方法生成的嵌入进行比较。通过比较不同方法在用户行为表示上的效果，评估GCIL在因果特征提取上的优势。在未知攻击威胁的场景下，研究者使用多种 异常检测算法 来评估图嵌入的效果。这些算法用于检测异常行为（例如探测行为和攻击行为），并将其分类为异常。通过对八种异常检测算法的比较，实验结果表明 GCIL 生成的因果特征向量在大多数算法中表现最佳，优于其他方法。

在这里插入图片描述

4. LLM 实验

  • LLM实验 主要目的是验证 大语言模型（LLM） 在分析用户行为方面的有效性，特别是在通过代理策略对行为描述进行生成和分析时，LLM是否能准确地对用户行为进行分析和分类。
  • 对描述性文本的总结部分进行对比实验：通过测试不同的LLM平台，比较不同平台生成的描述性文本的效果，实验结果如表3所示。实验表明，基于问题引导的多代理模型是有效的。ChatGLM3-6B 在实验中与 ChatGPT-4 表现接近，说明 ChatGLM3-6B 能生成高质量的描述文本。

在这里插入图片描述

  • 为了验证生成的分析部分文本的合理性和逻辑一致性，研究者随机选择了60个已正确分类的行为数据点（每个行为类型20个），并要求20位具有5年以上安全领域工作经验和10年以上英语学习经验的专业参与者评估：分析结论的合理性：评估从“完全不合理”到“完全合理”（0-3）。分析过程的逻辑一致性：评估从“完全没有逻辑”到“高度有逻辑”（0-3）。

在这里插入图片描述

  • 另外，研究者随机选择了60个行为数据点，并让专业参与者分别在两种条件下判断行为类型：仅提供行为内容和提供行为内容加决策者代理的分析文本。该实验旨在评估 决策者代理的分析文本 是否有助于提高专家对行为类型的判断准确性。

在这里插入图片描述

5. Translator实验

  • 转换器实验 主要目的是验证 GraphTranslator 模块的有效性，尤其是在将 因果特征向量 转换为 描述性文本 时，转换器是否能够准确地将图模型中的信息传递给大语言模型（LLM），并有效生成可理解的文本。
  • 在实验中，研究者随机选择了 500对文本 进行对比。每对文本分别由 GraphTranslator 生成的翻译文本和原始描述性文本组成。通过比较这些文本对的相似度，评估转换器生成文本的质量。除了文本相似度评估外，实验还对整个行为检测流程中的每个模块进行了性能测试，重点测试转换器模块是否能够显著减少检测过程中的时间消耗。

在这里插入图片描述

  • 实验结果显示，GraphTranslator 模块显著提高了整个异常行为检测框架的运行效率。在将节点向量转换为描述性文本的过程中，转换器仅消耗了 16% 的时间，相比于从原始图生成描述性文本的时间，这一性能提升非常显著。

在这里插入图片描述

六、研究结论与展望

关键贡献

  • Web 攻击行为图构建：通过显式和隐式因果关系的引入，构建了更全面的图模型，有效地帮助识别潜在攻击者。
  • 大语言模型应用：通过设计基于大语言模型的代理策略，生成了高质量的行为分析报告，从而能够在低资源环境下实现异常行为检测。
  • 转换器模块优化：转换器模块通过将因果特征向量转换为描述性文本，显著提高了方法的执行效率，减少了计算时间，提升了整体检测框架的响应速度。

展望

  • 增强对抗鲁棒性：引入记忆管理机制，抵御对抗性输入；
  • 改进多智能体稳定性：通过纠偏与去偏策略优化决策者代理；
  • 拓展实际应用：面向大规模实时检测，提升性能与效率。

2024年4月28日是Eastmount的安全星球——『网络攻防和AI安全之家』正式创建和运营的日子，该星球目前主营业务为 安全零基础答疑、安全技术分享、AI安全技术分享、AI安全论文交流、威胁情报每日推送、网络攻防技术总结、系统安全技术实战、面试求职、安全考研考博、简历修改及润色、学术交流及答疑、人脉触达、认知提升等。下面是星球的新人券，欢迎新老博友和朋友加入，一起分享更多安全知识，比较良心的星球，非常适合初学者和换安全专业的读者学习。

目前收到了很多博友、朋友和老师的支持和点赞，尤其是一些看了我文章多年的老粉，购买来感谢，真的很感动，类目。未来，我将分享更多高质量文章，更多安全干货，真心帮助到大家。虽然起步晚，但贵在坚持，像十多年如一日的博客分享那样，脚踏实地，只争朝夕。继续加油，再次感谢！

(By:Eastmount 2025-10-05 周日夜于贵阳 http://blog.csdn.net/eastmount/ )

前文赏析：

# 论文阅读 # 人工智能
Logo
北京朝阳AI社区

更多推荐

二、制造业大模型存储系统优化：Ceph三级存储池的分层设计与数据访问加速实践

本文针对制造业大模型落地中的存储挑战，提出基于Ceph的"三级存储池"解决方案。该方案通过高性能存储池（NVMe SSD）、容量型存储池（SATA SSD）和归档存储池（HDD）的分层设计，适配训练、预处理、归档等不同阶段的数据需求。结合二级缓存、数据预加载、类型化优化等手段，某制造企业实现了数据加载时间降低83%、存储成本下降65%的显著效果。建议企业在实施时注重数据特性分析

avatar 北京朝阳AI社区

四、混合云算力调度：本地集群与公有云（阿里云）弹性扩展的无缝协同与资源统一管理

摘要： 本文探讨大模型算力建设中混合云架构的优化方案，解决传统“本地+云”模式的管理割裂、数据协同难、调度低效等问题。通过构建统一管理平面（Kubernetes联邦）、安全数据链路（专线+分层访问）、一致运行环境（容器镜像同步），实现本地与云资源的无缝协同。智能调度策略结合自动/手动触发机制、任务分层优先级和成本管控（预算限制、计费优化），提升资源利用率与响应效率。实践表明，该方案可将运维效率提升

avatar 北京朝阳AI社区

六、制造业数据处理流水线：多源数据（ERP/MES/设备日志）接入、清洗规则与行业专属数据增强策略

摘要： 制造业大模型开发面临数据分散、质量差、标注少三大挑战。本文提出“统一接入层+场景化适配器”架构，高效整合ERP、MES等多源数据，并针对结构化、时序、文本、图像数据设计行业化清洗规则，如空值补全、噪声过滤、术语标准化等。通过自动化预处理和领域知识融合，构建适配制造业特点的数据流水线，为大模型训练提供高质量输入，解决传统方法效率低、适配差的问题。

avatar 北京朝阳AI社区