基于流量感知随机平滑的 LLM 网络入侵检测

arXiv 一篇论文提出 Traffic-Aware Randomized Smoothing (TA-RS)，一种面向基于 LLM 的网络入侵检测系统的认证防御方法。该方法仅在攻击者可操控的特征子空间注入高斯噪声，在微调和认证阶段对齐噪声分布。实验显示，标准随机平滑在干净训练的 LLM-IDS 上认证精度低至 14-57%，而 TA-RS 结合噪声增强微调后，在 CIC-IDS-2018 和 HIKARI-2021 数据集上达到 55-100% 的认证精度，中位认证半径比阈值大 1.8-5 倍。

此前基于 LLM 的入侵检测系统缺乏针对攻击者流量操纵的鲁棒性保证，仅靠经验验证。TA-RS 首次给出认证级别防御，在多个数据集上显著提升认证精度，表明通过噪声增强微调可以弥补训练-认证不匹配，使防御实用化。

TA-RS 假设攻击者只能修改部分特征（直接可控子空间 DC），因此只在 DC 上注入高斯噪声进行随机平滑，保留不可控特征不变。这样既匹配攻击者实际能力，又在认证时避免扰动无辜特征。结合噪声增强微调（使用 DC 噪声训练），有效提升干净模型的弱认证表现。

采用 TA-RS 需要在微调阶段加入 DC 高斯噪声，可能增加训练计算开销，但认证阶段只需单次前向传播，推理延迟影响较小。该方法分类器无关，可间接提升现有 IDS 产品的鲁棒性，但需针对特定网络特征子空间重新微调。

• 在自身网络入侵检测数据集上复现 TA-RS，评估认证精度提升幅度及对误报率的影响。
• 将 TA-RS 作为插件模块整合到现有基于 Transformer 的 IDS 产品中，提供可认证的防御能力。

• TA-RS 在不同 LLM 架构（如 LLaMA、BERT）上的推广性尚未被该论文验证。
• 真实网络流量中的可操控特征子空间如何准确界定，目前依赖假设。
• 高斯噪声注入对模型在其他攻击（如对抗性示例）下的鲁棒性是否有折中？