基于同配 - 异配解耦增强图对比学习的物联网入侵检测

《Expert Systems with Applications》：IoT Intrusion Detection Based on Reinforced Graph Contrastive Learning with Homophily-heterophily Decoupling

　　

摘要

近年来，图神经网络（GNNs）在物联网（IoT）入侵检测领域得到了广泛应用。然而，其有效性受到两个基本挑战的限制。首先，图异质性——即恶意节点连接到良性节点以逃避检测——破坏了 GNN 消息传递背后的同质性假设。其次，类别不平衡导致稀缺的恶意节点特征在聚合过程中被大量的良性节点特征稀释，从而导致特征过度平滑。与现有方法不同，本文提出了 GCL-IoT，一种基于具有同质性 - 异质性解耦的图对比学习的稳健物联网入侵检测框架，以解决图异质性和类别不平衡的双重挑战。为此，GCL-IoT 提出了一种增强的邻居节点选择策略，识别前 k 个最优邻居节点以代表中心节点，缓解类别不平衡引起的特征过度平滑。随后，GCL-IoT 提出了一种利用同质性 - 异质性解耦的新型图对比学习方法，分层捕捉同质性和异质性入侵模式，减轻图异质性对信息聚合的影响。实验结果表明，GCL-IoT 框架优于现有的最先进方法，在 TON-IoT 和 IM-IoT 数据集上分别实现了 2.46%～6.10% 和 7.37%～10.35% 的 Micro-F1 提升。

引言

物联网作为一种变革性技术已经出现，彻底改变了工业自动化、医疗保健、智能家居和智慧城市 Johnpeter & Karuppanan (2025); Wu & Wang (2025)。然而，由于这些物联网设备的默认配置较弱且加密保护不足，它们可能会带来重大的安全风险，使其极易受到网络攻击 Gao, Zhao, Wang, & Shao (2025); Sun, Wan, Wu, Fang, & Li (2025)。特别是物联网攻击，如僵尸网络攻击（例如 Mirai、Reaper）、勒索软件和分布式拒绝服务（DDoS）攻击，已严重影响网络生态的安全性 Zhou, Wang, Yang, He, & Chan (2025a)。因此，提出一种稳健的入侵检测方法以有效识别和阻止物联网入侵至关重要且紧迫。

近年来，基于图神经网络（GNNs）的入侵检测方法应运而生并展现出令人信服的性能 Dong et al. (2023a); Nguyen, Ngo, & Le (2020)。通常，GNNs 依赖于同质性假设——即社会学理论中“物以类聚”的原则 McPherson, Smith-Lovin, & Cook (2001)——描述连接的节点应具有相似表示的倾向 Kipf & Welling (2017)。然而，如图 1 所示，在物联网入侵场景中，攻击者故意违反这一假设，使受感染的设备与良性设备通信以逃避检测，造成显著的图异质性——即连接具有不同标签（即恶意和良性）节点的边。最近的工作表明，标准 GNNs 在异质性下性能严重下降 Pei, Wei, Chang, Lei, & Yang (2020); Zhu et al. (2020)。此外，在真实的物联网流量中，恶意节点的数量远少于良性节点，造成类别不平衡。这种不平衡使得在信息聚合过程中，稀缺恶意节点的特征被大量良性节点的特征主导和稀释，导致表示过度平滑。这两个挑战严重阻碍了 GNNs 在物联网入侵检测中的有效性。

尽管提出了各种基于 GNN 的入侵检测方法，但它们仍未系统地解决图异质性和类别不平衡的挑战。例如，FT-GCN Deng et al. (2022) 和 GIN Zhang, Yang, Huang, & Li (2023) 侧重于在有限标签下改进检测，但假设图同质性，使其容易受到异质性连接的脆弱影响。HAA-GNN Zhou et al. (2021) 采用对抗训练来增强鲁棒性，但未考虑类别不平衡。基于注意力的方法如 E-GRACL Lin, Zhong, Qiu, & Liang (2025) 和 PdGAT-ID Zhang, Wang, Bu, Yu, & Yang (2025) 学习权重邻居重要性，但无法从根本上分离同质性模式和异质性模式。这促使我们提出 GCL-IoT 框架，以系统地解决由图异质性和类别不平衡引起的双重挑战。本文的关键贡献总结如下：

•本文提出了 GCL-IoT，一种新颖且稳健的物联网入侵检测框架，解决了物联网入侵检测中的异质性和类别不平衡挑战。
•本文提出了一种增强的邻居节点选择策略，以识别代表中心节点的前 k 个最优邻居节点，有效缓解了类别不平衡对节点表示的影响。
•本文提出了一种有效的具有同质性 - 异质性解耦的图对比学习方法，使 GCL-IoT 能够通过高频和低频编码器分层捕捉同质性和异质性入侵特征。它减轻了图异质性对信息聚合的毒害。
•本文设计了一种基于干预的图增强方法，以生成符合现实世界同质性 - 异质性分布的图视图，使 GCL-IoT 能够捕捉更稳健的入侵特征。
•本文在两个真实世界数据集上进行了充分的实验以评估 GCL-IoT 的性能。实验结果表明，所提出的 GCL-IoT 框架优于现有的最先进方法。

本文其余部分安排如下：第 2 节回顾相关工作。第 3 节介绍本文使用的预备知识。GCL-IoT 的实现描述在第 4 节。第 5 节评估 GCL-IoT 框架的性能，第 6 节分析其复杂度和可扩展性。最后，第 7 节得出结论。

章节片段

相关工作

近年来，物联网入侵检测的技术范式已转向深度学习和图神经网络。表 1 总结了每项工作的核心技术、局限性，以及是否解决了异质性和类别不平衡。

基于深度学习的方法。为了对抗物联网入侵，提出了更多基于深度学习的入侵检测方法。特别是，卷积神经网络（CNNs）首次被引入入侵领域...

预备知识

本节介绍重要的预备知识，包括物联网的多关系图、图对比学习和图的异质性。

定义 1 物联网连接图
本文利用图结构来建模物联网设备之间的交互关系，形式化为图 ??=(??,??,??)，其中 ??={??1,??2,?,????} 表示节点集，??={??1,??2,?,????} 表示边集，??∈???×?? 是节点的特征集，其中 N 和 d 分别表示节点数量和特征维度。为了分析...

方法论

在真实的物联网入侵场景中，攻击者通常通过将受感染的设备连接到良性设备来隐藏恶意攻击行为，造成显著的图异质性。这促使我们提出 GCL-IoT 模型，该模型集成高低通滤波编码和双频对比学习，以有效捕捉同质性 - 异质性特征并识别入侵节点。如图 2 所示，我们提出的 GCL-IoT 框架包含四个模块：物联网图...

实验评估

本节进行充分的实验以评估 GCL-IoT 的性能，并旨在回答以下研究问题。

•Q1：GCL-IoT 的整体性能与最先进方法相比如何？（第 5.3 节）
•Q2：从统计角度来看，GCL-IoT 如何显著优于基线方法？（第 5.5 节）
•Q3：在不同异质性水平下，GCL-IoT 在检测恶意节点方面有多稳健？（第 5.6 节）
•Q4：高频编码器... 扮演什么角色？

复杂度与可扩展性

本节分析 GCL-IoT 的时间和空间复杂度，该模型由四个主要模块组成。每个模块的详细复杂度记录在表 12 中。

值得注意的是，成对边概率估计仅针对现有的边和候选逆对（O(E)）进行，而不是针对所有节点对（O(N2)）。对于逆操作估计中的邻居搜索，我们使用局部敏感哈希（LSH）算法 Indyk & Motwani (1998) 将每次查询的成本降低到 O(logE)。

结论

本文提出了 GCL-IoT，一个用于检测物联网入侵的创新且稳健的框架。更具体地说，GCL-IoT 引入了一种图结构来建模物联网设备之间的交互行为，这可以描绘受感染的物联网设备之间的隐蔽入侵线索。GCL-IoT 然后提出了一种增强的邻居节点选择策略，以识别中心节点的前 k 个相似邻居节点，以缓解类别不平衡引起的过度平滑。随后，GCL-IoT。

CRediT 作者贡献声明

Jun Zhao：写作 - 原稿、方法论。
Shenghong Liu：数据管理。
Hong Wang：数据管理。
Zhiquan Liu：项目管理。
Minglai Shao：方法论。

利益冲突声明

作者声明他们没有任何已知的竞争性经济利益或个人关系，这些关系可能被认为会影响本文报告的工作。

Jun Zhao|Shenghong Liu|Hong Wang|Zhiquan Liu|Minglai Shao