引言
物联网（IoT）通过互联数十亿异构设备，已成为数字化转型的基石，广泛应用于医疗健康、工业、交通和农业等领域 Sobin (2020)。尽管物联网具有巨大的潜力，但由于传统网络基础设施的局限性，它面临着严峻挑战，这些基础设施无法应对数十亿设备的扩展需求，无法在不同协议之间无缝互操作，并且难以适应动态的应用需求 Alam et al. (2020)。
为解决这些挑战，软件定义网络（SDN）被提出作为一种有前景的方法，因为它将控制平面和数据平面解耦，并实现了集中式、可编程的网络管理。通过动态资源分配、实时策略执行和增强的可扩展性等功能，SDN提供了大型动态环境所需的灵活性。此外，凭借其集中式控制架构、基于策略的路由和软件驱动的控制，SDN不仅确保了动态可配置性和快速响应，还实现了经济高效且可靠的服务交付，进一步扩大了其在多样化网络场景中的适用性 Demirci & Sagiroglu (2019)。在此基础上，软件定义物联网（SD-IoT）将SDN原理整合到物联网基础设施中，为管理大规模异构物联网部署提供了高效且适应性强的框架 Karmakar, Varadharajan, Nepal, & Tupakula (2020)。
尽管SD-IoT具有显著优势，但确保安全仍是其最关键的挑战之一。赋予灵活性和高效性的集中式控制器和可编程数据平面也引入了独特的攻击面，使SD-IoT面临拒绝服务（DoS）、探测、欺骗和中间人攻击等威胁 Algamdi, Aujla, Jindal, & Trehan (2023)。由于SD-IoT的运营高度依赖于其控制平面和数据平面的完整性，即使一次成功的攻击也可能严重扰乱网络运行 Kumar, Jolfaei, & Islam (2025)。此外，物联网环境的动态和演进特性不断产生新的、前所未见的攻击行为。在这种环境下，无法识别这些新型威胁可能导致因集中式控制架构而迅速产生广泛影响。因此，除检测已知攻击外，处理未知攻击场景的能力对于维护安全且具有韧性的SD-IoT系统至关重要。
在现有文献中，已有大量基于机器学习（ML）和深度学习（DL）技术开发的入侵检测系统（IDS）Hassan, Hemdan, El-Shafai, Shokair, & El-Samie (2023); Heidari & Jabraeil Jamali (2023); Janabi, Kanakis, & Johnson (2024); Mustafa, Amin, Aldabbas, & Ahmed (2024); Sohn (2021)。尽管这些方法取得了令人瞩目的结果，但它们往往严重依赖人工设计的特征表示，或者在以表格向量形式表示的网络流量数据中，难以捕获长距离依赖关系和复杂的上下文关系。此外，在变化的网络条件和未知攻击模式下的泛化能力仍然是重大挑战 Guo (2023); Zhang, Muniyandi, & Qamar (2025)。
基于Transformer架构和自注意力机制构建的大语言模型（LLMs）的最新进展在跨多个领域建模序列和上下文数据方面展现了卓越的成功 Lai (2023)。LLMs能够学习丰富的表示并捕获输入数据中的复杂依赖关系，使其成为入侵检测任务的有前景的候选方案。与通常依赖人工设计特征的传统ML和DL方法不同，LLMs可以通过其预训练知识和注意力机制自动捕获网络流量中的复杂依赖关系和上下文交互。此外，传统方法将网络流视为刚性的表格向量，而LLMs允许将这些流表达为自然语言句子。这种转换使模型能够更好地捕获属性之间的关系，并检测可能被忽视的微妙攻击模式。它们通过微调跨任务泛化和适应不同数据分布的能力，进一步增强了其在SD-IoT等动态和演进网络环境中的适用性。
尽管具有这些优势，尽管基于LLM的入侵检测最近开始在其他领域如车联网、工业物联网（IIoT）、云计算和医疗物联网（IoMT）中得到探索 Ahsan et al. (2024); Ali et al. (2026); Cui et al. (2025); Gueriani, Kheddar, Mazari, 2024, Gueriani, Kheddar, Mazari, Sagiroglu, Ceran, 2025; Houssel et al. (2024); Muhammad, Shaaban, German & Al Sardy (2025)，其在SD-IoT环境中的应用仍很大程度上未被探索。据我们所知，尚无先前的研究专门针对SD-IoT架构研究基于LLM的入侵检测。尽管近期一项研究探索了SDN环境中的基于LLM的方法 Swileh & Zhang (2025)，但其并非面向SD-IoT，主要关注基本入侵检测任务而非更全面的目标（如多类攻击分类），同时缺乏在多样化和现实条件（如跨数据集泛化）下的系统评估。因此，在SD-IoT环境中对LLM架构进行入侵检测和攻击分类的系统性和全面评估仍是一个开放的研究挑战。
为解决这些空白，据我们所知，我们提出了首个面向SD-IoT环境的基于LLM的IDS框架，能够检测并分类多种类型的网络攻击。我们的主要贡献可总结如下：
- •
我们将结构化的网络流特征转换为自然语言表示，从而能够有效地利用基于LLM的模型进行入侵检测和分类。
- •
我们通过微调基于编码器的BERT和RoBERTa、基于编码器-解码器的Flan-T5和BART以及基于解码器的Qwen架构，开发了五个基于LLM的IDS模型，用于执行入侵检测和多类攻击分类。
- •
我们在以下场景中评估了所开发的模型：(i) 标准入侵检测和分类，(ii) 跨数据集泛化，以及 (iii) 未知攻击检测，以评估其鲁棒性和泛化能力。
- •
我们还开发了两个基于深度学习的基线模型——深度神经网络（DNN）和一维卷积神经网络（1D-CNN），以及一个基于Transformer的FT-Transformer，用于评估和比较基于LLM的IDS的性能。实验结果表明，基于LLM的模型在所有任务中均持续优于这些基线模型。
- •
最后，我们进行了与文献中最先进解决方案的全面对比，证明我们的基于LLM的模型在多个评估指标上取得了优越的性能。
本文的其余部分组织如下：第2节总结相关工作。第3节介绍所提出的SentineLLM框架，详细描述其方法设计和功能组件。第4节展示详细的实验结果。最后，第5节总结全文并提出未来工作的可能方向。
