基于Wasserstein GAN与自编码器混合模型的物联网鲁棒入侵检测研究

为解决物联网(IoT)设备资源受限环境下传统入侵检测系统(IDS)训练不稳定、计算成本高的问题，研究人员提出了一种结合Wasserstein GAN(WGAN)与自编码器(AE)的混合模型WGAN-AE。该模型在5GNIDD和IDSIoT2024数据集上实现了99.8%的平均PR-AUC（精确率-召回率曲线下面积）和97.35%的攻击检测准确率，内存占用仅60.24 kB，检测延迟低至微秒级，为资源受限的IoT设备提供了高效安全的解决方案。

　　

随着物联网(IoT)设备的爆炸式增长，网络安全威胁日益复杂，尤其是针对资源受限设备的攻击如拒绝服务(DoS)、中间人攻击(MITM)等。传统基于签名(signature-based)的入侵检测方法难以应对新型攻击，而生成对抗网络(GAN)虽能生成对抗样本，但存在训练不稳定、模式坍塌等问题。为此，King Khalid University的研究团队在《CMES - Computer Modeling in Engineering and Sciences》发表研究，提出了一种融合Wasserstein GAN(WGAN)与自编码器(AE)的混合模型WGAN-AE，通过Wasserstein距离的稳定性与AE的特征提取能力，显著提升了IoT环境下的入侵检测效率。

研究采用标准化(Standardization)和独热编码(One-Hot Encoding)预处理数据，构建了包含编码器-解码器的生成器与判别器联合架构。关键创新在于结合重构损失(L_recon)与Wasserstein损失(L_Wasserstein)，通过对抗训练生成多样化攻击样本。实验使用5GNIDD（含ICMP Flood、SYN Scan等攻击）和IDSIoT2024（覆盖7类IoT设备流量）数据集，通过五折交叉验证评估性能。

数据预处理：采用z-score标准化特征矩阵X∈R^N×d，并通过LabelEncoder转换分类标签y∈{1,2,…,C}为数值形式。

混合模型设计：生成器通过f_θ压缩输入数据至潜在空间z∈R^z，解码器g_?重构数据；判别器D_ψ采用Wasserstein损失最大化真实与生成数据分布差异。

训练优化：交替更新判别器（最小化L_disc）与生成器（最小化λ_reconL_recon+λ_WassersteinL_Wasserstein），batch size=256，epochs=10。

5G-NIDD数据集结果：模型平均PR-AUC达99.87%，独立测试集准确率97.35%，内存占用60.24 kB。ICMP Flood检测延迟0.296 ms，UDP Flood仅0.067 ms。

IDSIoT2024数据集结果：PR-AUC 94.09%，路由攻击检测率99.35%，MITM攻击延迟0.115 ms，模型大小61.84 kB。

对比实验：WGAN-AE在ICMP Flood检测中完胜Vanilla GAN（100% vs 29.69% DR），且训练时间较InfoGAN缩短80%（59.2 s vs 214.9 s）。

研究通过引入Wasserstein距离解决了传统GAN梯度消失问题，而AE的特征压缩能力降低了计算复杂度。尽管在注入攻击(Injection)检测中表现稍逊（40.16% DR），但其微秒级响应和kB级内存占用使其成为边缘设备的理想选择。未来可通过模型剪枝(Pruning)和分布式推理进一步提升吞吐量。该成果为5G-IoT安全提供了兼顾效率与精度的新范式，相关代码已开源供学术研究。