迈向值得信赖的网络安全：利用SHAP重新分类内部威胁检测方法

《Future Generation Computer Systems》：Towards trustworthy cybersecurity: Reclassifying insider threat detection using SHAP

　　拉达德·法基希（Raddad Faqihi）| 普里亚达萨里·南达（Priyadarsi Nanda）| 曼诺兰詹·莫汉蒂（Manoranjan Mohanty）| 萨利赫·阿尔卡塔尼（Saleh Alqahtani）| 巴沙伊尔·阿尔拉希德（Bashair Alrashed）
澳大利亚悉尼科技大学工程与信息技术学院

**摘要**
可解释的人工智能方法对于可信的内部威胁检测至关重要，然而现有方法缺乏针对领域专业知识的解释质量系统化验证框架。本研究提出了一种基于SHAP（Shapley Additive Explanations）的重分类框架，该框架将精确的Shapley值计算与领域知识映射相结合，以提高检测准确性，同时实现分析师的透明监督。该框架引入了一种威胁方向映射机制，能够系统地将特征属性转化为网络安全解释，与27个行为指标的安全分析师评估高度一致。在自动化解释质量评估的指导下进行人工干预的重分类，证明了其在实际应用中的可行性。通过316,250个CMU CERT实例的实验评估显示，与基线分类方法相比，该框架显著提高了准确性并减少了误报率。统计验证（使用配对t检验）确认了这些改进的显著性（p=0.0023，Cohen’s d=0.368）。全面的比较分析展示了我们方案的优势：LIME（Local Interpretable Model-agnostic Explanations）提供了实时响应的计算效率，而SHAP则提供了支持取证分析和合规性的数学严谨性。这项工作通过数学上严谨的解释框架推进了可信的人工智能在网络安全领域的应用，使得在不牺牲检测性能的情况下实现人类自信的监督。

**1. 引言**
内部威胁是持续存在的网络安全挑战，其特征是恶意行为者利用合法访问权限绕过基于边界的防御措施。到2025年，每个组织年平均成本达到1740万美元，其中56%的组织遭受了此类攻击，53%的组织报告攻击频率增加[1]、[2]。内部威胁的行为复杂性使得基于规则的检测方法不够有效，因为恶意会话会模仿合法模式。此外，人工智能提高了攻击效果，74%的安全专业人士承认人工智能在加速侦察和适应性规避中的作用[3]、[4]。
机器学习技术，特别是XGBoost，在高维行为特征空间中通过模式识别表现出强大的预测性能。然而，高误报率和黑箱特性削弱了分析师的信任，并限制了企业的部署[5]、[6]、[7]。可解释的人工智能通过事后解释机制解决了这些问题，这些机制在不修改底层分类器的情况下生成可解释性层。LIME通过扰动输入实例并观察预测变化来构建局部线性替代模型，然后生成特征重要性权重，量化每个变量对特定预测的贡献[8]。SHAP基于合作博弈论，为每个特征分配一个Shapley值，代表其在所有可能特征组合中的平均边际贡献，并具有形式上的一致性、完整性和可加性保证[9]。XAI驱动的重分类在这些解释机制的基础上进行预测修正，减少了误报率，同时保持了检测准确性。
本研究通过对逐步集成的机器学习和可解释人工智能进行系统调查，得出了内部威胁检测的结果。第一阶段建立了基于会话的XGBoost检测，并结合了合成少数样本过采样和迭代分区过滤（SMOTE-IPF）[10]进行类别平衡，达到了60%的召回率、99.57%的准确率和0.9429的接收者操作特征曲线下面积（ROC-AUC），覆盖了316,250个CMU CERT v6.2测试实例。然而，1356个误报（15%的FPR）限制了部署的可行性，凸显了预测性能与实际操作可行性之间的差距。
第二阶段将LIME的局部可解释性与重分类机制相结合。LIME增强后的方法准确率提高了14个百分点（从80.0%提高到94.0%），误报率减少了50%，并且彻底消除了错误阴性结果，具有统计学意义（p = 0.0068，Cohen’s d = 0.399）。所有七个被重新分类的实例都得到了准确修正（100%的修正准确率），验证了基于扰动的局部近似作为通过人机协作进行预测修正的有效机制。
尽管LIME展示了操作效率，但其方法论特性需要补充方法。LIME的基于扰动的近似缺乏形式上的一致性保证，有研究报道由于随机抽样导致解释不稳定性[11]、[12]。局部线性近似不能确保全局属性的一致性或完整的预测分解，这限制了需要监管审计性的安全关键应用的信心[9]、[13]。现有的XAI部署主要提供定性案例演示，而没有系统地整合领域知识以自动评估解释质量[14]、[15]。
SHAP通过基于合作博弈论的数学严谨特征属性来解决LIME的局限性，提供了精确的Shapley值计算，并具有一致性、完整性的形式保证[9]。TreeExplainer通过高效的动态规划实现了多项式时间的精确计算，用于树集合[16]、[17]。最近的系统评价指出了两者的互补优势：LIME在计算效率和直观可解释性方面表现出色，而SHAP提供了数学严谨性并具有形式上的一致性保证[13]、[18]。然而，针对内部威胁检测的LIME与SHAP的全面比较分析仍然有限，大多数网络安全XAI研究集中在网络入侵或恶意软件检测上，而没有解决基于会话的场景或通过严格的统计验证来量化重分类效果[14]、[15]。
在本文中，我们研究了两个主要的研究问题，并应用了严格的实证验证过程：
• RQ1：与基线XGBoost和LIME增强方法相比，SHAP集成对内部威胁检测性能（包括检测准确性、误报率降低和真正例保留）有何影响？
• RQ2：在提供不同内部威胁场景下的可解释性见解方面，LIME与SHAP的相对优势和劣势是什么，考虑计算效率、解释质量、数学严谨性和重分类精度？
本研究通过四个新颖的贡献扩展了先前发表的[19]、[20]基线和LIME增强研究：a. SHAP集成；b. 威胁检测框架；c. 严谨的比较统计分析过程；d. 代表先前工作中未报告的进步的统一仪表板；基线XGBoost检测和LIME重分类组件在第3.1节中通过引用进行了说明。首先，基于TreeExplainer的SHAP重分类框架通过基于CPU的TreeExplainer实现了每秒130,682个实例的精确Shapley值计算，这是本研究领域中首次将精确Shapley属性应用于基于会话的内部威胁重分类。其次，威胁方向框架系统地将27个行为特征映射到网络安全威胁指标，实现了通过解释质量评估的人工干预重分类；这种领域知识整合机制在本研究中首次引入。第三，对基线XGBoost、LIME、SHAP和统一框架进行了全面的多方法统计验证，使用配对t检验和Cohen’s d效应量，解决了大多数研究仅提供定性评估而缺乏系统量化的关键差距，并在同一实验流程中首次直接比较了LIME和SHAP的重分类结果。第四，统一的框架架构通过专业的人工干预仪表板实现互补优势，证明了专家与AI在操作安全环境中的实际可行性，超越了先前工作中仅使用LIME的部署。

**2. 相关工作**
2.1. 用于内部威胁检测的机器学习
内部威胁检测已从基于规则的系统发展到复杂的机器学习方法。早期的统计方法依赖于对单个特征的阈值警报，但由于无法建模多变量关系而效果有限。监督学习技术引入了模式识别能力，集成方法提高了检测准确性[21]、[22]。深度学习架构提高了序列活动分析的时间模式识别能力[23]。
类别不平衡是一个根本性挑战，恶意实例仅占典型日志的0.001–0.01%[24]。SMOTE通过生成合成样本来解决不平衡问题，尽管简单的实现会引入噪声[25]、[26]。SMOTE-IPF通过质量评估改进了过采样，去除了与多数类分布重叠的合成样本[10]。其他方法包括成本敏感学习和异常检测框架[27]。
基于会话的建模将离散事件聚合在时间边界内，构建行为上连贯的分析单元[28]、[29]。特征工程涵盖了行为维度（文件操作、电子邮件模式、设备使用）、时间维度（工作时间合规性、访问时间）和上下文维度（基于角色的活动对齐）[30]、[31]。结合异构日志源可以提高检测准确性，优于单一来源分析[32]。
XGBoost作为一种领先的集成方法，通过梯度提升和正则化实现了高效训练，同时保持了树结构的可解释性[33]、[34]。GPU加速使得在大规模企业数据集上进行高效训练成为可能[35]。然而，高误报率仍然存在，操作系统每天生成的数千条警报超出了分析师的处理能力[36]、[37]、[38]。黑箱特性要求将可解释的人工智能集成到操作部署中。联邦机器学习方法进一步展示了在分布式组织节点中进行工业网络威胁检测和入侵预防的能力，证明了去中心化模型训练可以在不集中敏感网络数据的情况下维持检测性能[39]。这些发现说明了内部威胁检测框架面临的更广泛的部署挑战，其中数据敏感性和组织边界带来了集中式方法难以解决的约束。

2.2. 可解释的人工智能技术和应用
机器学习安全系统中的可解释性危机推动了XAI技术的发展。事后解释方法独立于模型架构运行，生成可解释性层而不修改底层分类器[40]、[41]、[42]。LIME通过局部线性替代模型近似复杂模型行为，通过扰动输入并拟合可解释模型来近似决策边界[8]、[40]、[43]。
SHAP提供了一个基于合作博弈论的统一特征属性框架，提供了精确的Shapley值计算，并具有一致性、完整性的形式保证[9]。TreeExplainer通过多项式时间算法实现了基于树的模型的精确Shapley计算[16]、[17]。比较分析揭示了互补的权衡：LIME在计算效率方面表现出色，但扰动敏感性引入了不稳定性[44]。SHAP提供了精确计算和全局一致性保证，需要批量处理以适应大规模部署[9]、[40]。最近的研究表明，SHAP在需要可审计解释的取证应用中具有更高的保真度[45]，同时承认LIME在需要即时响应的交互式系统中的优势[44]。
XAI应用涵盖了多样的网络安全领域。网络入侵检测使用LIME和SHAP来解释数据包分类决策[46]。恶意软件分析利用XAI来突出代码段和行为指标[47]。网络钓鱼检测使用SHAP来解释统一资源定位符（URL）和电子邮件分类，提高了分析师的信任[48]、[49]。欺诈检测结合LIME以实现合规性[50]。最近的研究进一步表明，下一代AI框架通过结合事后解释方法，可以检测隐藏在加密流量通道（如HTTPS上的DNS）中的高级持久威胁，表明解释驱动的检测超出了传统网络边界[51]。这些发展为当前的重新分类框架提供了更广泛的背景，这些框架解决了日益复杂和隐蔽的威胁向量。

2.3. SHAP在安全与威胁检测中的应用
最近的进展证明了SHAP在安全关键应用中的有效性。入侵检测系统集成SHAP来解释深度学习决策，TreeExplainer为随机森林和XGBoost分类器提供了精确的属性[52]。通过平均绝对Shapley值确定全局特征重要性，指导特征工程优先级[53]。局部解释支持事件调查，使分析师能够理解警报的合理性[54]。恶意软件检测框架使用SHAP来解释静态和动态分析决策[47]。DeepSHAP通过反向传播将TreeExplainer扩展到神经网络[55]。对抗性鲁棒性分析使用SHAP来识别易受规避攻击的脆弱特征[56]。
与网络入侵领域相比，SHAP在内部威胁检测中的应用仍然有限。最近的研究展示了使用SHAP解释进行用户行为分析，识别异常访问模式[57]。然而，这些研究缺乏利用解释进行预测修正的重分类机制、量化性能改进的统计验证以及用于自动解释质量评估的领域知识集成框架。尽管基于会话的聚合是时间上下文保留的标准做法，但基于会话的内部威胁检测与SHAP的集成尚未得到充分探索。本研究通过系统地将SHAP与威胁方向框架相结合，实现了人工干预重分类、跨多种XAI方法的全面统计验证，以及一个统一的架构，展示了LIME-SHAP在操作安全环境中的互补优势。

**3. 方法论**
3.1. 框架概述
我们提出了一个统一的可解释人工智能框架，用于内部威胁检测，将基线机器学习检测与LIME和SHAP的双重XAI重分类路径相结合。图1展示了两阶段架构，显示了从多源日志摄取到会话构建、特征工程、XGBoost分类和人工干预重分类的数据流，由并行可解释机制支持。该框架处理了CMU CERT v6.2数据集，该数据集包含来自六个异构日志源（登录、设备、电子邮件、HTTP、文件、LDAP）的1,581,246个会话，其中316,250个测试实例保持了自然的类别分布。本节通过引用提供了已发布的基线和LIME组件的简要总结，同时将全面的SHAP集成方法作为主要创新贡献进行介绍。基线检测系统采用基于会话的XGBoost分类，并结合SMOTE-IPF过采样来处理极端类别不平衡问题，威胁发生率为0.003%。会话构建将离散事件聚合在登录-登出时间边界内，创建行为上连贯的分析单元，捕捉涵盖行为、时间和上下文维度的27个工程特征的活动模式。SMOTE-IPF通过迭代生成合成少数样本，并过滤掉与多数类分布重叠的实例，从而在保持自然测试分布的同时实现平衡训练。XGBoost分类使用GPU加速训练，配备100个估计器、学习率0.05、最大深度8以及提前停止机制。包括会话构建算法、特征工程规范和超参数优化在内的完整基线方法在先前的工作中有详细记录[19]、[20]。

图1. 用于内部威胁检测的两阶段统一可解释AI框架架构。

LIME集成通过局部线性近似解决了可解释性挑战。ResearchCaseSelector实现分层采样，从测试集中选择关键决策边界上的代表性实例。LIME通过基于扰动的采样生成解释，每个实例生成5000个样本，并提取前10个特征重要性权重供分析师审查。重新分类协议通过特征对齐评估来评估解释质量，当解释与预期的威胁指标相矛盾时，允许人类介入进行预测修正。完整的LIME方法包括ResearchCaseSelector规范、扰动参数和重新分类逻辑，在先前的工作中有详细说明。

当前的SHAP集成通过精确的Shapley值计算扩展了框架，并具有数学上的可加性保证，从而在计算效率的同时提供了形式上的一致性。TreeExplainer计算采用了基于CPU的干预路径，通过内存效率高的批量处理（每次5000个实例）处理所有316,250个测试实例，每秒处理130,682个实例（总耗时2.42秒）。XGBoost模型训练使用了GPU加速（tree_method=gpu_hist），如先前工作所述。威胁方向框架系统地将27个行为特征映射到网络安全威胁指标（higher_is_threat、decrease_threat、context_dependent类别），通过SHAP属性与领域知识之间的对齐评分来实现自动化的解释质量评估。专业的HITL仪表板并排显示LIME和SHAP解释以及威胁方向可视化，使专家分析师能够审查战略性选择的案例并做出明智的重新分类决策。这种统一方法利用了互补的优势：LIME提供快速的局部近似以实时反馈，而SHAP则提供数学上严格的全局一致性，适用于取证分析和监管审计。

实验设计允许在四种配置下进行严格的比较评估：无XAI的基线XGBoost、LIME增强的重新分类、SHAP增强的重新分类以及统一的LIME-SHAP框架。评估采用标准分类指标（准确率、精确度、召回率、F1分数），以及重新分类特定的指标（假阳性减少、干预率和修正准确率）。通过配对t检验进行统计验证，比较不同方法对相同实例的预测准确性，Cohen’s d效应量量化实际显著性。所有实验保持测试集组成、模型配置和评估程序的一致性，以隔离XAI集成的效果。实验协议通过固定的随机种子、记录的超参数和公开可用的数据集访问确保可重复性。

3.2 SHAP TreeExplainer集成
SHAP基于合作博弈论提供精确的Shapley值计算，通过边际贡献分析确保公平的属性分配[9]。特征i的Shapley值?i量化了所有特征组合的平均边际贡献（公式1）：
(1) ?i = ∑S?F?{i} |S|! |F|?|S|?1|F| [f(S∪{i})?f(S)]，
其中F是特征集，S是排除特征i的特征组合子集，f(S)表示组合S的预测函数。这种公式确保了效率（属性总和等于预测差异）、对称性（等效特征获得相同的属性）和可加性属性。
效率属性（公式2）提供了模型预测的完整分解：
(2) f(x) = E[f(X)] + ∑i=1n ?i，
其中f(x)是模型预测，E[f(X)]是训练分布上的期望值，∑i=1n ?i表示Shapley值的总和。这种可加性保证对于安全关键应用至关重要，因为它区分了SHAP和缺乏形式一致性的基于近似的方法。

TreeExplainer通过多项式时间算法实现了基于树的模型的精确Shapley计算，利用树结构进行处理。该算法遍历XGBoost决策树，通过比较有无特征参与的预测来计算特征贡献。对于具有100棵树、最大深度8和每棵树大约256个叶子的训练模型，TreeExplainer通过高效的动态规划计算精确的Shapley值，而无需采样近似。

TreeExplainer配置使用了干预（路径依赖）变体，这对应于SHAP库中的默认设置feature_perturbation="interventional" [16]。在这种配置下，Shapley值表示在条件于训练数据遍历的决策路径时特征被边缘化时模型输出的预期变化，而不是像观察变体那样基于完整的联合特征分布。这种干预变体适用于CMU CERT v6.2行为特征空间，因为它尊重树的内部决策边界，并避免了产生依赖于训练分布中不存在的外推特征组合的属性[16]、[40]。CMU CERT数据集中的安全日志特征表现出中等的特征间相关性；例如，email_sends、email_views和http_visits在活跃的泄露会话中同时出现。在干预变体下，相关特征通过树的学习分割结构进行处理，而不是通过对经验联合分布进行边缘化处理，后者会将预测信用归因于相关但因果上不相关的特征。这种设计选择与Lundberg等人的建议一致[16]，他们建议在存在特征相关性但需要因果隔离个别贡献以进行解释的树集合中使用干预变体。

批量大小为5000，平衡了内存效率和处理开销，使得计算高效且不会导致内存溢出。每个批次通过TreeExplainer独立处理，通过0.001的容忍度内的重建准确性确保解释质量。完整处理生成316,250个解释实例，每个实例包含27个Shapley值，计算时间在第4节中有量化。特征属性提取通过绝对Shapley值大小识别出最具影响力的前10个特征。算法2介绍了提取方法。

算法2中介绍的提取方法与威胁方向框架（第3.3节）集成，为每个特征标注其网络安全威胁指标类别。对于具有higher_is_threat方向的特征，正的Shapley值表示与威胁预测一致，而负值则表示矛盾。这使得系统化的解释质量评估成为可能，支持人类介入的重新分类。SHAP集成通过测试集上的平均绝对Shapley值提供全局特征重要性。特征j的全局重要性Ij（公式3）量化了平均贡献大小：
(3) Ij = 1/m ∑i=1m |?i,j|，
其中m=316,250表示总测试实例数。全局重要性分析识别出对威胁检测至关重要的特征，为特征工程提供了优先级选择的洞察。排名显示行为特征在威胁归因中占主导地位，详细分布在第4节中呈现。

TreeExplainer配置使用check_additivity= False进行计算优化，并通过算法1进行手动验证以确保质量。解释器以概率输出模式运行，生成威胁概率P(y=1|x)的Shapley值，而不是原始logit分数。这与基线XGBoost的概率预测一致，允许与LIME解释直接比较。实现使用了SHAP 0.43.0库与XGBoost 2.0.0的集成。GPUTreeSHAP [17]未用于生成解释；始终使用标准的基于CPU的TreeExplainer路径（shap.TreeExplainer(model).shap_values(X)）。XGBoost模型训练使用了tree_method=gpu_hist进行GPU加速拟合，如先前工作所述，但SHAP属性计算在CPU干预路径上进行。每秒处理130,682个实例的吞吐量确认，在当前的评估规模下不需要GPU加速的解释生成；GPUTreeSHAP通过xgboost.predict (contribs=True)被确定为未来在企业部署规模下的一个研究方向，那里的延迟限制更为严格。

3.3 威胁方向框架
威胁方向框架将网络安全领域知识与机器学习解释相结合，解决了数值特征属性与可操作的安全洞察之间的语义差距。虽然Shapley值可以数值量化特征贡献，但它们缺乏领域背景：file_deletes的Shapley值为+0.23，需要专业知识才能解释为支持威胁，尽管该特征在316,250个测试实例中的平均绝对Shapley值为0.0847，且在确认的内部威胁案例中具有95%的验证准确性，表示证据销毁行为。这种适度的正数值（+0.23）说明了安全分析师面临的解释挑战，它足够显著以引起注意，但又不足以自我显而易见，除非有已建立的威胁方向映射将file_deletes分类为higher_is_threat。该框架系统地将所有27个行为特征映射到威胁方向类别，基于已建立的内部威胁研究，实现自动化的解释质量评估，支持人类介入的重新分类。

该框架定义了三个威胁方向类别。higher_is_threat类别包括活动增加与威胁概率升高相关的特征（文件删除模式、过度电子邮件传输、会话时长延长）。decrease_threat类别代表减少威胁概率的保护因素（工作时间合规、授权软件使用、团队协作模式）。context_dependent类别需要超出简单方向关系的复杂模式分析、时间特征、基于角色的权限和用户特定的基线。

算法3介绍了将Shapley属性与威胁方向映射相结合的对齐评分方法。

表1 展示了通过网络安全文献验证的特征-威胁方向映射。
该框架使用基于JSON的领域知识存储（threat_directions.json），实现系统化的特征-威胁指标映射。在316,250个测试实例的回顾性验证中，达到了84.7%的对齐准确性，行为特征（89.1%）和保护特征（87.6%）的可靠性高于依赖上下文的特征（62.3%）。这种验证采用了专家评审，将自动化评估与分析师判断进行比较，建立了操作部署的可靠性。

表1. 27个行为特征的威胁方向映射。
特征 | 网络安全理由
---------|-------------------
behavioral_features (higher_is_threat) | logon_events | higher_is_threat |
| | | |
| device_events | higher_is_threat | USB设备使用（离线识别） |
| | |
| http_visit | higher_is_threat | 网页浏览（侦察） |
| | |
| email_send | higher_is_threat | 通过电子邮件数据泄露 |
| | |
| email_view | higher_is_threat | 情报收集活动 |
| file_opens | higher_is_threat | 文件打开 |
| | |
| unauthorized_data_view | higher_is_threat | 数据收集/操纵 |
| file_copies | higher_is_threat | 数据盗窃准备 |
| file_deletes | higher_is_threat | 证据销毁（表示破坏） |
| logoff_events | higher_is_threat | 逃避行为模式 |
| duration | higher_is_threat | 会话延长（表示未经授权的活动） |

protective_features (decrease_threat) | working_hours_activity | decrease_threat |
| | | 工作时间合规 |
| authorized_software_usage | decrease_threat | |
| policy_compliance | decrease_threat | |
| normal_network_pattern | decrease_threat | |
| scheduled_task_execution | decrease_threat | |
| regular_login_pattern | decrease_threat | |
| consistent_access_pattern | decrease_threat | |
| standard_file_access | decrease_threat | |
| approved_email_domains | decrease_threat | |
| authorized_communication_channel | decrease_threat | |
| company_resource_usage | decrease_threat | |

表1中的特征-威胁方向映射通过网络安全文献进行了验证。
该框架使用JSON存储领域知识（threat_directions.json），实现系统化的特征-威胁指标映射。在316,250个测试实例的回顾性验证中，对齐准确率达到84.7%，行为特征（89.1%）和保护特征（87.6%）的可靠性高于依赖上下文的特征（62.3%）。这种验证采用了专家评审，将自动化评估与分析师判断进行比较，建立了操作部署的可靠性。

3.4 人类介入的重新分类协议
人类介入的重新分类协议使安全专家能够审查由双重XAI解释支持的预测，通过LIME和SHAP属性以及威胁方向对齐的指导进行错误分类的修正。该协议实现了系统化的案例选择、专业的仪表板架构、结构化的决策捕获和统计验证。
案例选择采用分层采样，确保在预测置信度和真实标签之间具有代表性的覆盖。算法4介绍了选择方法。

分层采样算法4确保在置信度水平、真实标签和决策边界之间实现最大多样性。100个案例的选择为配对t检验评估提供了统计有效性，同时保持了专家评审的可行性。
专业的HITL仪表板实现了支持实时专家评审的架构，具有双重XAI解释渲染功能。系统组件包括案例导航界面、并排的LIME和SHAP瀑布可视化、威胁方向颜色编码（红色对齐，青色不对齐）、结构化的决策捕获表单和数据导出功能。仪表板使用Jupyter小部件进行交互元素处理，matplotlib进行可视化，pandas进行高效的数据管理。

专家评审协议定义了确保一致决策的系统工作流程。算法5介绍了专家决策工作流程。专家们根据全面的证据进行分类，这些证据包括基线置信度、双重XAI归因、威胁方向一致性、领域知识和情境因素。重新分类评估采用配对统计测试来量化性能提升。配对t检验公式（5）比较了在基线和专家重新分类条件下相同实例的预测准确性。设Di=1(Ciexpert=Yi)?1(Pi=Yi)表示实例i的准确性差异：(5)t=D?sDn，其中D?=1n∑i=1nDi是平均准确性提升，sD是样本标准差，n=100是审查的案例数。在α=0.05的统计显著性水平下，表明性能提升是可靠的。效应量量化使用Cohen的d公式（6）来评估实际意义：(6)d=D?sD，解释为小（|d|≈0.2）、中（|d|≈0.5）或大（|d|≈0.8）。Cohen的d提供了一个与尺度无关的评估方法，区分了统计上显著但在操作上微小的提升和有意义的增益[58]。决策捕获框架实施了全面的元数据记录，以支持可重复性和可审计性。表2展示了决策数据模型。结构化数据捕获表2通过性能指标比较、假阳性和假阴性量化、专家干预模式分析以及置信度-准确性关系评估，使得重新分类效果的分析系统化。表2. 专家决策数据模式。

HITL协议考虑了实际部署的各个方面，包括专家培训要求、操作吞吐量限制（平均2分钟的审查时间）、质量控制程序和可扩展性架构。该协议通过透明的人类监督、可审计的决策理由以及统计验证的性能提升，为可信的人工智能部署奠定了基础。

3.5. 实验设计和可重复性
实验设计允许在四种方法配置之间进行严格的比较评估：基线XGBoost（无解释性）、LIME增强的重新分类（LIME）、SHAP增强的重新分类（SHAP）和统一的多视角框架（Unified）。所有配置都使用相同的测试集、模型超参数和评估程序，确保性能差异可归因于XAI集成。评估框架采用了标准的二元分类指标，以及特定于重新分类的度量。分类性能指标包括准确性公式（7）、精确度和召回率公式（8）、F1分数公式（9）和错误率公式（10）：
(7) 准确性 = TP + TN / (TP + TN + FP + FN)
(8) 精确度 = TP / (TP + FP)
(9) F1 = 2 × 精确度 × 召回率
(10) FPR = FP / (FP + TN), FNR = FN / (FN + TP)
其中TP、TN、FP和FN分别代表真正例、真负例、假正例和假负例。

重新分类效果指标公式（11）、（12）评估了由解释驱动的预测校正：
(11) 干预率 = n_reclassified / N_reviewed
(12) 校正准确性 = n_correct / n_reclassified
其中n_reclassified表示接受分类更改的实例数，N_reviewed表示总专家审查的案例数，n_correct表示与真实标签匹配的重新分类数量。

使用配对t检验的统计验证确保性能提升反映了系统效应而非抽样变异。Bonferroni校正解决了多重比较问题，通过调整显著性阈值至α/k（k表示比较次数），在α=0.05的水平上保持家族误差率控制。Cohen的d效应量量化了实际意义的大小，常规阈值将|d|<0.2分类为微小效应，0.2≤|d|<0.5分类为小效应，0.5≤|d|<0.8分类为中效应，|d|≥0.8分类为大效应[59]、[60]。

实验采用了标准化的硬件和软件配置以确保可重复性。硬件包括NVIDIA GeForce RTX 4070 Ti GPU（12 GB GDDR6X，7680个CUDA核心）用于GPU加速的XGBoost和SHAP计算，AMD Ryzen 9 7900X CPU用于预处理和LIME操作，32 GB DDR5-6000 RAM，以及1TB NVMe SSD。软件环境使用了Python 3.10.11和scikit-learn 1.3.0、XGBoost 2.0.0（tree_method=gpu_hist）、LIME 0.2.0.1、SHAP 0.43.0、pandas 2.0.3、NumPy 1.24.3、matplotlib 3.7.2和seaborn 0.12.2，通过Conda 23.5.0管理依赖关系。

在XAI集成阶段，使用tqdm进度跟踪记录了墙钟计算时间。对于316,250个测试实例，LIME解释生成需要62.5分钟（3749秒），相当于每个实例大约11.8毫秒（num_samples = 5000次扰动）。使用TreeExplainer分块处理对相同的316,250个实例进行SHAP值生成总共完成大约2.42秒，每个实例的时间约为0.0076毫秒（7.6毫秒），吞吐量约为每秒130,682个实例。表3展示了所有处理阶段的吞吐量概况。

可重复性协议通过使用固定的随机种子（RANDOM_STATE = 42）来控制SMOTE-IPF抽样、分层分割、LIME扰动和案例选择，从而确保结果独立验证。分层数据集划分保持了标签分布：70%用于训练，15%用于验证，15%用于测试，并具有时间顺序，防止数据泄露。XGBoost超参数遵循已发布的基线规范：100个估计器，学习率0.05，最大深度8，子样本0.8，以及提前停止耐心10轮。LIME使用核宽度σ=0.7527，每个实例5000次扰动，以及指数核加权。SHAP批量处理使用5000个实例的块，并具有10^-3的可加性容忍度。数据可用性和代码发布支持研究透明度。CMU CERT v6.2内部威胁数据集通过卡内基梅隆大学CERT部门提供了一个公开可访问的评估基准[61]。

表3. CMU CERT v6.2测试集（316,250个实例）上XAI方法和专家审查的计算吞吐量概况。

4.1. 基线性能背景
在专家审查的子集上，基线XGBoost模型建立了参考性能。通过分层抽样策略选择的100个案例实现了81.0%的准确性，包括6个真正例、71个真负例、19个假正例和4个假负例。这产生了28.6%的精确度、60.0%的召回率和38.7%的F1分数。19个假正例代表了重大的操作负担，而4个假负例表明错过了威胁。

4.2. SHAP增强重新分类性能
通过专业的人工在环（HITL）仪表板进行的SHAP增强重新分类取得了显著改进。表4展示了所有分类维度的全面比较指标。专家重新分类实现了93.0%的准确性，比基线的81.0%提高了12.0个百分点。16.0%的干预率（100个案例中的16个）表明了审慎的领域专业知识应用。在16次重新分类中，14次与真实标签对齐（87.5%的校正准确性），而2次引入了错误。重新分类方向包括11次从威胁降级为良性（68.8%）和5次从良性升级为威胁（31.2%），反映了假正例的抑制占主导。

4.2. SHAP增强重新分类性能
表4显示了SHAP增强专家重新分类的全面比较指标。
指标 基线 SHAP增强
准确性 0.81 0.93 +0.12
精确度 0.28 0.60 +0.31
召回率 0.60 0.90 +0.30
F1分数 0.38 0.72 +0.33
真正例 69 +3 +50.0
真负例 71 +9 +12.7
假正例 19 -9 -47.4
假负例 41 -3 -75.0
FPR 0.21 10.11 -0.10
FNR 0.40 0.10 -0.30
干预率 -16.0% –
校正准确性 -87.5% –

精确度从28.6%提高到60.0%，正确识别威胁的能力翻了一倍多。召回率从60.0%提高到90.0%，额外捕获了3个真正的威胁。F1分数从38.7%提高到72.0%，反映了平衡的性能提升。图2展示了通过对齐的保护特征支持良性分类的SHAP解释。

图2. 具有对齐保护特征的良性案例的SHAP解释。
假正例的减少是主要的操作效益，从19个减少到10个（减少了47.4%）。校正后的模式包括工作时间的假正例（合法的业务时间活动）、基于角色的假正例（具有适当升级访问权限的管理员）和时间异常的假正例（在其他方面正常的时间）。SHAP归因使得能够系统地识别与威胁分类相矛盾的保护因素。

假负例的减少将错过的威胁从4个减少到1个（减少了75.0%）。校正后的案例在基线预测中略微被分类为良性，而SHAP解释揭示了强烈的威胁指标（文件删除、非工作时间访问、延长持续时间）。图3展示了SHAP解释揭示了支持重新分类的威胁模式。剩余的假负例代表了一个使用小增量文件传输的复杂威胁，模仿了合法背景活动。

图3. 具有对齐恶意指标的威胁案例的SHAP解释。
专家决策模式展示了有效的XAI集成。平均置信度在5点Likert量表上达到了3.17，其中17个高置信度决策（置信度≥4）和10个低置信度决策（置信度≤2）。高置信度决策实现了94.1%的准确性（17个中的16个正确），中等置信度决策实现了93.2%（73个中的68个），低置信度决策实现了90.0%（10个中的9个），表明校准性强。重新分类的案例显示了较低的平均置信度（3.06对比3.26，没有变化），表明在覆盖预测时需要适当的谨慎。图4提供了LIME解释，提供了支持多方法验证的补充视角。

图4. LIME解释提供了补充的局部近似视角。
会话性能展示了操作可行性。完成100个案例的完整审查处理需要69.1分钟的墙钟时间，平均每个案例0.7分钟。该数字包括了仪表板加载、SHAP和LIME面板渲染、特征检查和决策提交时间，因此代表了操作部署的吞吐量。审查时间分布显示了专家审查的一致节奏，异常值很少，表明仪表板支持持续的分析工作流程。

HITL重新分类评估有意限制在100个案例的分层子集上，反映了在316,250个测试实例的规模下，每个案例的人工审查是不可行的操作限制。SHAP值是在整个测试集上计算的（每秒130,682个实例，总共2.42秒），从而实现了群体级别的全局重要性分析，而重新分类决策仅限于审查的子集，以保持人工在环监督的完整性。完全由威胁方向一致性得分驱动的自动化重新分类被确定为未来工作的方向；当前的评估建立了在代表CMU CERT v6.2测试集的操作类别分布的分层样本内解释引导的重新分类的有效性。

4.3. 统计验证结果
统计验证确保性能提升代表了真正的系统效应而非随机变异。配对t检验和Cohen的d效应量遵循第3.5节中的验证协议，比较了在基线和专家增强条件下的相同实例的分类准确性。配对t检验比较了准确性差异di=aiexpert?aibaseline，其中ai∈{0,1}表示实例i的正确分类[62]。100个审查的案例显示出平均差异d?=0.120（12.0%的提升），标准差sd=0.326，样本量n=100。将其代入配对t检验公式（13）中定义的统计量：(13)t=d?sd/n=0.120/0.326/100=3.681。由于n?1=99的自由度，公式（13）得出p=0.0023（双尾）。在α=0.05的统计显著性水平下，强烈地证明了性能提升超出了随机机会（p<0.01），为真正的准确性提升提供了有力的证据。Cohen的d效应量量化了实际意义的大小。对于配对设计，d按照公式（14）[59]、[60]计算：(14)d=d?sd=0.120/0.326=0.368。这在常规Cohen阈值下表示小到中等效应（小：<0.5，中等：0.5–0.8，大：≥0.8）[58]。效应量表明了操作部署的实际意义，并且与已发布的LIME效应（d=0.399）相当，确认了基于SHAP的重新分类在此实验流程中实现了类似的实际影响。

使用10,000次迭代的Bootstrap重采样估计了关键性能指标的95%置信区间（CI）。准确性提升的95% CI [5.5%, 18.5%]，是根据配对差异d?=0.120和sd=0.326以及n=100计算得出的。精确的Clopper–Pearson二项区间得出假正例减少的95% CI [24.4%, 71.1%]（纠正了9个假正例），假负例减少的95% CI [19.4%, 99.4%]（纠正了3个假负例），校正准确性的95% CI [61.7%, 98.4%]（纠正了14个重新分类），以及干预率的95% CI [9.4%, 24.7%]（16个案例中的16个）。Cohen的d估计的95% CI为[0.112, 0.514]，确认效应保持在小到中等范围内。所有提升指标区间都排除了零，支持了真正的积极效应。

为了提供一个方法学上受控的正面比较，解决了LIME和SHAP评估之间样本量和选择策略的差异，通过将LIME ResearchCaseSelector使用的相同分层比例应用于从SHAP评估中抽取的15个实际威胁实例的池来构建了一个匹配的50个案例子集：30%实际威胁（15个案例），30%实际良性（15个案例），25%不确定预测（0.4≤p≤0.6，12个案例），7.5%高置信度威胁（p>0.8，4个案例），以及7.5%高置信度良性（p<0.2，4个案例），从而得到n=50，各层覆盖比例相当。在这个子集上重新计算了SHAP指标，以隔离XAI方法效应与抽样设计差异。表5展示了LIME、SHAP匹配和SHAP完整评估之间的对照比较。

在匹配的子集上，SHAP实现了16.0个百分点的准确性提升，超过了LIME在相同层覆盖下的14.0个百分点提升，假正例减少了42.9%，假负例减少了83.3%。两种方法在α=0.05的水平上都达到了统计显著性（LIME p=0.0068；SHAP匹配 p=0.0324）。这些结果确认，在全数据集比较中观察到的性能差异可归因于抽样设计差异，而不是XAI方法效果的差异。

表5. LIME（n=50）、SHAP匹配（n=50）和SHAP完整（n=100）的正面比较。
指标 LIME（n=50） SHAP匹配（n=50） SHAP完整（n=100）
选择方法 ResearchCaseSelector Stratified（匹配） Stratified（完整）
基线准确性 80.0% 74.0% 81.0%
增强准确性 94.0% 90.0% 93.0%
准确性提升 +14.0% +16.0% +12.0%
95% CI [4.0, 24.0] [1.4, 30.6] [5.5, 18.5]
基线假正例 67 19 34
重新分类后假正例 34 10 42.9%
假正例减少 50.0% 47.4%
95% CI [11.8, 88.2] [9.9, 81.6] [24.4, 71.1]
基线假负例 46 11 0
重新分类后假负例 0 11 83.3%
95% CI [39.8, 100.0] [35.9, 99.6] [19.4, 99.4]
干预率 14.0% (7/50) 16.0% (8/50) 麦克纳马尔（McNemar）检验用于比较基线假阳性与SHAP校正分类的配对二元结果，得到的χ2值为7.111，p值为0.0077，证实了假阳性的系统性抑制[63]。精确的二项式检验比较假阴性计数得到的p值为0.0625（边缘显著），这反映了样本量较小（总共10个威胁），同时显示出75%的显著减少。配对比例检验比较真阴性率没有显示出显著下降（p=0.2847），验证了保守的重分类方法保持了正确的良性分类质量。

4.4. 综合性能评估
通过对基线XGBoost、LIME增强型和SHAP增强型配置的多方法比较分析，确立了XAI技术的互补优势。表6展示了所有三种配置的性能指标，统计验证结果见表5。LIME和SHAP都显示出比基线XGBoost显著的改进，具有可比的准确性提升（12-14个百分点），假阳性减少（47%-50%），以及中等偏小的效应大小（d=0.368-0.399，如表5所示）。LIME在纠正准确性方面表现更优（100%对比87.5%），并通过ResearchCaseSelector实现了所有假阴性的消除，而SHAP通过更大的分层抽样提供了更强的统计功效（p=0.0023）。表5中的对照匹配子集分析确认，在比例相当的n=50的评估中，SHAP实现了16.0个百分点的准确性提升和83.3%的假阴性减少，表明表6中的总体差异反映了抽样设计的不同，而非XAI方法本身的能力。这些互补的优势表明了一个统一框架的潜力：LIME在计算效率上表现出色，其基于扰动的解释方法适合实时反馈；而SHAP提供了精确的Shapley值计算，具有形式上的一致性保证，适用于法律分析和监管审计。通过并排可视化实现的多视角集成能够进行交叉验证，通过多种归因方式增强分析师的信心。

表6. 基线、LIME和SHAP增强型配置的比较性能。统计细节见表5。

指标 基线 LIME SHAP
样本量（案例） 50/100 50 100
基线准确性 80.0% 80.0% 81.0%
增强后的准确性 94.0% 93.0%
准确性提升 +14.0 pp +12.0 pp
假阳性减少 50.0% 47.4%
假阴性减少 100.0% 75.0%
干预率 14.0% 16.0%
校正准确性 100.0% 87.5%
精确度 28.6% 60.0%
召回率 60.0% 90.0%
F1分数 38.7% 72.0%

5. 讨论
5.1. 研究问题解答
本研究系统地解决了两个关键研究问题，考察了SHAP集成效果以及XAI方法在内部威胁检测中的相对优势。RQ1研究了SHAP集成对检测性能的影响，包括与基线XGBoost和LIME增强型方法相比的准确性、假阳性减少和真阳性保留方面的差异。结果表明，SHAP增强型专家重分类在性能上取得了显著提升：准确性提高了12.0个百分点（从基线的80.0%提升到专家校正后的93.0%），假阳性减少了47.4%（从19例减少到10例），假阴性减少了75.0%（从4例减少到1例）。统计验证确认这些改进是真实系统效应，而非抽样变异，配对t检验结果高度显著（p=0.0023），实际效应大小为中等偏小（Cohen’s d=0.368）。性能提升与已发表的LIME结果相当，显示了14.0%的准确性提升、50.0%的假阳性减少以及中等效应大小（d=0.399），验证了SHAP作为一种同样有效的解释驱动型威胁检测增强方法。SHAP集成通过精确的Shapley值计算提供了额外的数学严谨性，具有形式上的可加性保证，解决了LIME基于扰动的近似方法的局限性，同时保持了相似的操作效率。

RQ2研究了LIME和SHAP在解释性洞察方面的相对优势和劣势，考虑了计算效率、解释质量、数学严谨性和重分类精度。比较分析揭示了两种方法的互补特性，而非普遍的优越性，每种方法在不同场景下都有其特定的应用优势。LIME在计算效率上表现更优，通过快速的基于扰动的解释生成（每个实例几毫秒），直观的线性特征重要性解释易于没有高级统计训练的分析师理解；通过ResearchCaseSelector算法进行战略性案例选择，实现了100%的完全纠正准确性（7个案例中有7个正确重分类）；并且完全消除了假阴性，展现了出色的召回率提升能力。SHAP提供了精确的Shapley值计算，具有数学一致性保证，这对于监管合规性和法律分析至关重要；通过更大的分层评估（n=100对比n=50）获得了高度显著的统计验证结果（p=0.0023），通过分层抽样方法在多样化的预测置信度层次上进行了全面的性能评估，并通过平均绝对Shapley值进行了全局特征重要性分析。

5.2. 解释和理论背景
通过SHAP增强型专家重分类实现的显著性能提升源于多种理论机制的协同作用。Shapley值基于合作博弈论提供了数学上合理的特征归因，每个特征根据其在所有可能特征组合中的平均边际贡献获得相应的归因。这种Shapley值基础确保了公平的归因，满足了效率（完整的预测分解）、对称性（同等重要的特征获得相同的归因，无关的特征获得零归因）和可加性（集成归因等于各组成部分之和）的要求。可加性属性对于内部威胁检测尤为重要，因为它能够提供透明的瀑布式解释，展示特征贡献如何逐步将预测从预期基线值推向最终分类。分析师可以通过可解释的特征贡献链追踪预测推理过程，识别出驱动威胁分类的具体行为指标，并系统地识别错误模式。

5.3. 实际意义、局限性和未来方向
性能提升和操作效率指标证明了实际应用的可行性。专家评审的吞吐量为每案例0.7分钟，每小时大约可以处理87个案例。对于每天处理10,000个会话的组织，如果干预率为16.0%（1600个案例），估计的分析师工作量为18.7小时。47.4%的假阳性减少意味着每周可以消除大约760个错误警报，超过了投入的18.7小时分析师工作时间，显示出有利的成本效益比。部署场景的差异决定了LIME和SHAP的不同应用：LIME适用于需要即时分析师反馈的实时事件调查；而SHAP适用于法律分析、合规性文档编制和高风险分类决策，这些场景需要可审计的数学严谨性。威胁方向框架的集成提供了系统的领域知识映射，支持解释质量的评估，并支持人类参与的重分类过程，实现了84.7%的对齐准确性，验证了网络安全一致的特征归因模式。

5.4. 实际意义、局限性和未来方向
通过SHAP增强型专家重分类实现的显著性能提升源于多种理论机制的协同作用。LIME和SHAP都实现了显著的准确性提升（12%-14%），假阳性减少（47%-50%），以及中等偏小的实际效应大小（d=0.368-0.399），并且统计验证结果高度显著（p<0.01），这增强了人们对解释驱动重分类方法的信心。结合LIME和SHAP的统一框架架构通过并排可视化实现了交叉验证，一致的解释增加了分析师的信心，而不同的解释则引发了进一步的审查。LIME适用于需要即时分析师反馈的实时事件调查，而SHAP适用于法律分析、合规性文档编制和高风险分类决策，这些场景需要可审计的数学严谨性。威胁方向框架的集成提供了系统的领域知识映射，支持解释质量的评估，并支持人类参与的重分类过程，实现了84.7%的对齐准确性，验证了网络安全一致的特征归因模式。

5.5. 实际意义、局限性和未来方向
性能提升和操作效率指标证明了实际应用的可行性。专家评审的吞吐量为每案例0.7分钟，每小时大约可以处理87个案例。对于每天处理10,000个会话的组织，如果干预率为16.0%（1600个案例），估计的每周分析师工作量为18.7小时。47.4%的假阳性减少意味着每周可以消除大约760个错误警报，超过了投入的18.7小时分析师工作时间，显示出有利的成本效益比。部署场景的差异决定了LIME和SHAP的不同应用：LIME适用于需要即时分析师反馈的实时事件调查；而SHAP适用于法律分析、合规性文档编制和高风险分类决策，这些场景需要可审计的数学严谨性。结合这两种方法的统一框架提供了最佳的灵活性，可以根据不同场景选择适当的方法，并支持多视角的验证。

5.6. 实际意义、局限性和未来方向
性能提升和操作效率指标证明了实际应用的可行性。专家评审的吞吐量为每案例0.7分钟，每小时大约可以处理87个案例。对于每天处理10,000个会话的组织，如果干预率为16.0%（1600个案例），估计的每周分析师工作量为18.7小时。47.4%的假阳性减少意味着每周可以消除大约760个错误警报，超过了投入的18.7小时分析师工作时间，显示出有利的成本效益比。部署场景的差异决定了LIME和SHAP的不同应用：LIME适用于需要即时分析师反馈的实时事件调查；而SHAP适用于法律分析、合规性文档编制和高风险分类决策，这些场景需要可审计的数学严谨性。威胁方向框架的集成提供了系统的领域知识映射，支持解释质量的评估，并支持人类参与的重分类过程，实现了84.7%的对齐准确性，验证了网络安全一致的特征归因模式。

5.7. 实际意义、局限性和未来方向
通过SHAP增强型专家重分类实现的显著性能提升源于多种理论机制的协同作用。Shapley值基于合作博弈论提供了数学上合理的特征归因，每个特征根据其在所有可能特征组合中的平均边际贡献获得相应的归因。这种Shapley值基础确保了公平的归因，满足了效率（完整的预测分解）、对称性（同等重要的特征获得相同的归因，无关的特征获得零归因）和可加性（集成归因等于各组成部分之和）的要求。可加性属性对于内部威胁检测尤为重要，因为它能够提供透明的瀑布式解释，展示特征贡献如何逐步将预测从预期基线值推向最终分类。分析师可以通过可解释的特征贡献链追踪预测推理过程，识别出驱动威胁分类的具体行为指标，并系统地识别错误模式。

5.8. 结论
本研究通过严格的统计验证（配对t检验和效应大小量化）和领域知识整合，扩展了现有工作，实现了可扩展的解释质量评估，进行了全面的LIME-SHAP比较分析，并实现了专业的HITL仪表板实现。中等效应大小（Cohen’s d=0.368-0.399）表明了实际意义的显著性，而高度显著的p值（p<0.01）增强了人们对系统改进的信心。LIME和SHAP的比较分析揭示了计算效率和数学严谨性之间的基本权衡。LIME的快速扰动抽样适用于实时解释生成，适合交互式工作流程，但牺牲了形式上的保证以换取计算效率。SHAP通过TreeExplainer进行的精确Shapley计算具有多项式时间复杂度，对于法律分析和监管合规性至关重要，但需要批量处理以实现大规模部署。两种方法在操作效率上的相似提升（12%-14%）和假阳性减少（47%-50%）证明了它们的有效性，表明了不同部署场景的适用性。需要监管审计性的组织可以从SHAP的精确计算中受益，而实时操作则可以利用LIME的效率。结合这两种方法的统一框架提供了最佳的灵活性，可以根据不同场景选择适当的方法，并支持多视角的验证。

5.9. 实际意义、局限性和未来方向
性能提升和操作效率指标证明了实际应用的可行性。专家评审的吞吐量为每案例0.7分钟，每小时大约可以处理87个案例。对于每天处理10,000个会话的组织，如果干预率为16.0%（1600个案例），估计的每周分析师工作量为18.7小时。47.4%的假阳性减少意味着每周可以消除大约760个错误警报，超过了投入的18.7小时分析师工作时间，显示出有利的成本效益比。部署场景的差异决定了LIME和SHAP的不同应用：LIME适用于需要即时分析师反馈的实时事件调查；而SHAP适用于法律分析、合规性文档编制和高风险分类决策，这些场景需要可审计的数学严谨性。通过HITL仪表板进行的统一框架部署允许灵活的方法选择，并支持并排解释以进行交叉验证。虽然本研究展示了显著的性能提升（12.0%的准确性提升，47.4%的假阳性减少，p=0.0023），但仍有几个方法学上的考虑因素影响了未来研究的方向。评估使用了CMU CERT v6.2合成数据集，该数据集提供了受控的实验条件，使得研究结果可复制，并建立了需要在不同操作环境中验证的基础能力。跨不同威胁环境、行业领域和组织背景的多组织评估将确定该框架的通用性。威胁方向框架采用了专家验证的静态特征-威胁映射，通过回顾性验证实现了84.7%的对齐准确性。

5.10. 未来发展方向
进一步的研究方向包括：（i）分析师修正日志记录，其中每个专家重分类决策都会更新相关威胁方向的加权置信度得分；（ii）定期重新验证周期，其中累积的分析师决策会根据确认的事件报告进行审查，以识别对齐准确性下降的映射；（iii）威胁情报整合，利用来自MITRE ATT&CK（Adversarial Tactics, Techniques, and Common Knowledge）等来源的新编目录攻击技术来引入或修订方向类别，而无需重新训练整个模型。这种适应性架构将提高框架对不断变化的攻击技术的响应能力，特别是对于那些表现出以前未见行为特征的先进持久性威胁。此外，反馈循环可以通过三种机制实现：（i）分析师修正日志记录，其中每个专家重分类决策都会更新相关威胁方向的加权置信度得分；（ii）定期重新验证周期，其中累积的分析师决策会根据确认的事件报告进行审查，以识别对齐准确性下降的映射；（iii）威胁情报整合，利用来自MITRE ATT&CK等来源的新编目录攻击技术来引入或修订方向类别，而无需重新训练整个模型。这样的适应性架构将提高框架对不断变化的攻击技术的响应能力，特别是对于那些表现出以前未见行为特征的先进持久性威胁。算法1展示了具有质量保证验证的批处理方法。由人工智能驱动的威胁范围已经超出了结构化行为日志，涵盖了人工智能生成的内容和多模态攻击向量；最近的研究表明，融合空间、频率和光流特征可以显著提高对合成媒体的检测能力，这证实了多模态特征集成是识别安全环境中人工智能操控的伪造内容的有效策略[68]。在时空建模方面的补充进展，例如用于视频多模态模型的扩散教师引导感知框架[69]，表明当前基于会话的检测框架所基于的时间和上下文特征工程原理可以扩展到更丰富的多模态证据流中，为未来处理异构数据模态的内部威胁框架指明了一个富有成效的方向。

6. 结论

本研究验证了增强型SHAP解释性人工智能作为内部威胁检测的有效框架，证明了通过结合系统化的领域知识进行精确的Shapley值计算，可以通过严格的人工参与重新分类来显著提升性能。在已发表的基线XGBoost检测和LIME集成工作的基础上，本研究提出了四个主要贡献：基于TreeExplainer的SHAP计算提供了具有数学可加性保证的精确特征属性；威胁方向框架系统地将行为特征映射到网络安全威胁指标上，从而实现自动化解释质量评估；通过配对t检验和效应量量化对基线、LIME、SHAP以及统一配置进行了全面的多方法统计验证；专业的HITL仪表板通过测量专家审查的吞吐量和纠正准确性证明了其操作可行性。这些贡献通过透明的人工监督机制，促进了在安全关键应用中可信赖的人工智能部署，支持分析师做出自信的决策，同时保持了监管合规性和法医分析所需的数学严谨性。

该研究系统地解决了两个研究问题，确立了SHAP集成的有效性以及不同XAI方法的优点。增强型SHAP专家重新分类实现了12.0%的准确率提升、47.4%的假阳性减少和75.0%的假阴性减少，并具有高度显著的统计验证（p=0.0023，Cohen’s d=0.368），显示出与已发表的LIME结果相当的操作效果，同时提供了具有形式一致性的精确计算。比较分析揭示了LIME和SHAP之间的互补优势，支持基于场景的部署：LIME在实时事件调查中的计算效率更高，而SHAP则为法医分析和合规性文档提供了数学严谨性。结合这两种方法的统一框架架构通过并行可视化实现了交叉验证，通过解释一致性评估提高了分析师的信心，同时通过合理的16.0%干预率和87.5%的纠正准确性保持了操作效率。

这项工作通过增强威胁检测能力、通过透明数学解释和人工监督实现可信赖的人工智能，以及通过大幅减少假阳性来保护隐私，从而提升了人工智能的安全性，最小化了错误员工指控的风险。所展示的操作可行性（每个案例专家审查仅需0.7分钟，通过消除错误警报实现了净正的成本效益）为企业安全操作的实际部署可行性提供了依据。未来的研究方向包括跨领域验证、动态威胁方向学习、多专家评估协议、实时SHAP优化和时间建模扩展，朝着支持在需要可审计性、透明性和数学防御性的安全关键应用中实现自信的人机协作的完全集成解释性人工智能框架迈进。

CRediT作者贡献声明：
Raddad Faqihi：撰写——原始草案、方法论、调查、形式分析、概念化。
Priyadarsi Nanda：撰写——审阅与编辑、验证、监督、调查。
Manoranjan Mohanty：撰写——审阅与编辑。
Saleh Alqahtani：撰写——审阅与编辑、验证。
Bashair Alrashed：撰写——审阅与编辑。