LLMEdgeSec：基于大语言模型的日志推理技术，用于检测物联网领域的零日威胁

《IEEE Internet of Things Journal》：LLMEdgeSec: LLM-Enabled Log Reasoning for Zero-Day IoT Threat Detection

　　

摘要：

物联网设备的激增扩大了攻击面，使得零日威胁检测成为当务之急。本文提出了LLMEdgeSec这一框架，它利用大型语言模型对日志进行推理，从而实时检测并分析零日攻击。与传统依赖静态特征或预定义规则的异常检测器不同，LLMEdgeSec通过对系统日志、通信元数据以及设备遥测数据进行基于提示的推理，能够主动识别此前未曾出现过的攻击向量。该框架采用双流架构：1）在边缘节点上使用轻量级的变换器编码器进行本地特征提取；2）通过基于云的大型语言模型接口进行上下文推理及跨设备威胁关联分析。此外，还采用零样本校准方法来减少错误预测。在TON_IoT、CIC-IDS2018以及实际智能工厂数据集上的测试表明，该框架在零日攻击样本上的准确率超过92%，且每轮联邦学习过程中的通信开销低于8MB。实验结果显示，与现有的最佳方法相比，该框架在准确性、可解释性以及适应性方面都有显著提升。

I. 引言

物联网设备的数量呈指数级增长，到2030年预计将超过293亿台，这带来了前所未有的攻击面。零日攻击是最为严重的威胁，它们利用那些无法通过特征匹配被发现的漏洞来实施攻击[1]。传统的机器学习方法存在标注数据不足、概念漂移以及可解释性差等问题[2]，而物联网网络的分布式特性又要求实现能够保护隐私的协作学习。大型语言模型在模式识别以及人类可理解的推理方面具有出色能力[3]，但将其应用于资源受限的边缘环境时，会面临计算开销大和部署复杂等挑战[4]。近期在6G-IoT医疗领域以及基于大型语言模型的威胁检测方面的研究取得了进展[5][6]，不过现有方法仍受限于传统的特征工程技术[7]，而且缺乏将大型语言模型推理与联邦学习方法相结合的方案。