利用CMAE和大型语言模型实现的对有效载荷敏感的入侵检测

《ACM Transactions on Privacy and Security》：Payload-Aware Intrusion Detection with CMAE and Large Language Models

入侵检测系统（IDS）面临传统方法高误报率和难识别新威胁的挑战，本文提出双路径架构Xavier-CMAE和LLM-CMAE，前者实现99.97%准确率与0.018%误报率，后者通过预训练语言模型提升检测能力，但计算成本更高。实验表明效率与Contextually Adept and Scalable（CAS）能力存在权衡，模块化设计可兼顾实时性与深度威胁分析。

　　

摘要

入侵检测系统（IDS）在网络安全中发挥着至关重要的作用，然而基于签名检测的方法由于高误报率（FPR）以及无法检测新型威胁而受到限制。最近基于人工智能的方法提供了更好的适应性，但大多数方法依赖于流量级或统计特征，这限制了它们分析复杂基于载荷的攻击的能力。为了解决这些挑战，我们提出了一个双路径IDS框架：Xavier-CMAE，该模型采用Hex2Int标记化和Xavier初始化技术，无需预训练即可实现99.9718%的准确率和0.0182%的误报率；而LLM-CMAE则利用预训练的LLM标记器来增强检测能力，虽然计算成本较高，但也能达到99.9696%的准确率和0.0194%的误报率。在CIC-IDS2017数据集上的实验结果表明，在效率和上下文适应性与可扩展性（CAS）之间存在明显的权衡，表明模块化方法可能同时实现实时可扩展性和深入的威胁分析。本工作通过以下方式推动了人工智能驱动的入侵检测技术的发展：（1）引入了一种模块化、以载荷为中心的双路径架构，结合了轻量级检测和CAS检测技术，以实现自适应的、分层的安全防护；（2）证明了Xavier-CMAE无需预训练即可实现实时可扩展性和先进的准确率；（3）探索了集成预训练LLM标记器在精细、选择性威胁分析以及鲁棒IDS设计方面的有效性和未来潜力。