[论文阅读] (42)ASC25 基于大语言模型的未知Web攻击威胁检测

《娜璋带你读论文》系列主要是督促自己阅读优秀论文及听取学术讲座，并分享给大家，希望您喜欢。由于作者的英文水平和学术能力不高，需要不断提升，所以还请大家批评指正，非常欢迎大家给我留言评论，学术路上期待与您前行，加油。

前一篇博客带来了意大利团队JISA’24的少样本学习的攻击流量分类方法。本文将详细介绍四川大学团队在Applied Soft Computing发表的基于大型语言模型（LLM）的新型异常用户行为检测方法，能在资源匮乏条件下检测新型攻击。本文通过从系统日志中提取简单因果关系构建行为图谱，并采用无标签图对比不变学习生成因果特征向量。通过引入叙述者与决策执行者等多智能体框架优化文本描述生成，同时借助Translator高效将因果向量转化为有意义的描述。注意，由于我们团队还在不断成长和学习中，写得不好的地方还请海涵，希望这篇文章对您有所帮助，这些大佬真值得我们学习。fighting！

• 欢迎关注作者新建的『网络攻防和AI安全之家』知识星球（文章末尾）

原文作者：Yijia Xu, Qiang Zhang, Huaxin Deng, Zhonglin Liu, Cheng Yang, Yong Fang
原文标题：Unknown web attack threat detection based on large language model
原文链接：https://www.sciencedirect.com/science/article/abs/pii/S1568494625002169
发表期刊：Applied Soft Computing（中科院SCI二区）
研究机构：四川大学网络空间安全学院
笔记作者：贵大0624团队 杨子轩

---

一、研究背景与摘要

随着网络攻击形式的多样化和复杂化，传统防御手段难以应对 未知攻击（如零日漏洞、新颖攻击方式）。

主要挑战：

• 行为内容不稳定：攻击行为可能被加密或混淆；
• 攻击路径不确定：攻击者常采用非常规路径；
• 数据稀缺性：缺乏标注数据，传统监督学习难以适用。

研究思路：
结合 大语言模型（LLM）与因果关系建模，通过构建 Web 攻击行为图、引入 GCIL（图对比不变学习） 和 GraphTranslator 模块，在低资源条件下实现可解释的异常行为检测。

---

二、相关研究综述

1. 异常行为检测方法

• 攻击图优化：最小攻击图、A*剪枝等方法提升效率，但易丢失关键信息；
• 概率建模与贝叶斯方法：用于评估系统脆弱性，但依赖专家经验；
• 深度学习与图建模：如 Transformer 分析日志，BERT 解析语义，能提升识别能力，但对行为隐性联系考虑不足。

2. 潜在攻击者识别

• 行为类型：良性行为、探测行为、攻击行为；
• 关键探测行为：注入位置扫描、错误报告利用、后台地址探测、异常文件上传、敏感文件下载等。

---

三、任务定义与挑战

1.研究目标

• Web 攻击行为图建模：融合显性 + 隐性因果关系；
• 无监督特征学习：通过 GCIL 提取因果特征向量；
• 多智能体辅助分析：Narrator、Decision-maker、Translator 协同增强分析与解释。

2.研究挑战

类别	说明
因果关系	显性因果可直接观测，隐性因果需依赖推理挖掘
数据标注	大量未标注数据，需无监督/弱监督方法
可解释性	检测结果需人类专家理解与验证

---

四、方法框架

框架概述：原始图的节点来源于数据源。首先，通过提取显式因果关系构建图中的边缘，并进一步分析隐式因果关系以完善图的结构。GCIL模块负责在Web攻击行为图上执行图嵌入，从而为行为节点生成因果特征向量。生产者模块通过管道生成描述性文本，指导LLM从三个维度（行为、邻近行为、因果关系）生成与行为相关的信息。最后，GraphTranslator模块将图模型与LLM对齐，训练Transformer模型，使其能够理解图信息并将其转化为自然语言编码目标。

包括以下模块：

(1) 图构建：基于日志和用户行为，捕捉显性+隐性因果关系；

• 原始图的构建：原始图的构建是通过系统日志和用户行为数据来捕捉和表示用户行为之间的因果关系。原始图的目标是基于显性和隐性因果关系构建一个初步的行为图，用于捕捉和分析用户行为的依赖关系。
• 原始图的构建：原始图的构建是通过系统日志和用户行为数据来捕捉和表示用户行为之间的因果关系。原始图的目标是基于显性和隐性因果关系构建一个初步的行为图，用于捕捉和分析用户行为的依赖关系。

(2) GCIL（Graph Contrastive Invariant Learning）：在无监督条件下学习稳定的因果特征向量；

• 图对比不变学习（GCIL）是一种无监督学习方法，旨在从行为图中学习到稳定且鲁棒的因果特征向量，而无需依赖大量标注数据。通过GCIL，模型能够捕捉到行为图中的隐性因果关系，增强对未知攻击的识别能力。GCIL的目标是从图的多视图中学习一致的因果关系，进而提高图的表现力和模型的泛化能力。

(3) Producer 模块：生成辅助文本，增强图特征表达；

• Producer模块的核心任务是通过生成描述性文本来增强图的特征表达。
• 在GCIL中，图嵌入学习不仅仅依赖于图结构信息，还需要生成文本来补充和解释图中的节点及其行为。

(4) GraphTranslator 模块：对接 LLM，将因果特征转化为自然语言描述。GraphTranslator的工作流程分为两个主要阶段：

• 在Stage 1，模型接收图嵌入 作为输入，通过共享自注意力机制处理这些嵌入，学习图中节点之间的关系，生成新的表示Tv 。接着，交叉注意力（Cross Attention）机制通过查询（Query）与图嵌入 Zv进行交互，进一步捕捉因果关系和行为特征。模型通过这一步骤的学习，生成一个新的向量表示 Hv，并通过损失函数优化图嵌入表示，使其更适合下游任务，提升因果关系的表达能力。
• 在Stage 2，第一阶段生成的图嵌入Hv被送入一个冻结的LLM，LLM将图嵌入向量转化为自然语言描述。通过这一阶段，模型依据图中的因果关系和行为特征生成相应的文本。损失函数在这一阶段的作用是优化生成的文本，使其与目标文本（即准确描述图嵌入的文本）之间的差异最小化，从而确保生成的自然语言文本能够准确、流畅地反映图中的信息。

---

五、实验设计与结果分析

1. 实验

• 数据集：WAB-21 / WAB-24：四川大学网络科学与工程学院构建的 Web 攻击数据集，包含正常行为与攻击行为。

• 实验结果：在有监督学习的条件下，WAB-21 和 WAB-24 数据集在各自环境中的识别任务都表现良好。然而，当测试样本之间存在时间差时，识别性能显著下降。具体来说，当使用 WAB-21 训练并在 WAB-24 上测试时，AUC值降至 0.737，这表明在未知的网络攻击环境中，如何克服知识限制和时效性问题非常重要。

2. 因果实验

• 比较含/不含隐性因果关系的图模型；研究者构建了两种图结构：一种包含隐式因果关系，另一种不包含隐式因果关系。通过这两种图模型的比较，评估隐式因果关系的引入对图模型表现的影响。使用 GCIL（图对比不变学习） 对这两种图模型进行节点嵌入，生成可比的节点向量对。这些嵌入向量用于表示图中节点的特征，作为后续异常行为检测的基础。为了评估信息聚合的效果，研究者观察了节点向量对之间的差异，并分析了相似节点的聚合情况。通过确保两个图中节点数量一致，评估隐式因果关系是否能够更好地聚合相似行为节点的特征。

• 结果表明：引入隐性因果关系能更好聚合相似节点特征，提高检测性能。

3. 异常检测实验

• 为了验证 GCIL 生成的因果特征向量是否能够提供更好的表示，研究者将GCIL生成的嵌入向量与其他自监督训练方法生成的嵌入进行比较。通过比较不同方法在用户行为表示上的效果，评估GCIL在因果特征提取上的优势。在未知攻击威胁的场景下，研究者使用多种 异常检测算法 来评估图嵌入的效果。这些算法用于检测异常行为（例如探测行为和攻击行为），并将其分类为异常。通过对八种异常检测算法的比较，实验结果表明 GCIL 生成的因果特征向量在大多数算法中表现最佳，优于其他方法。

4. LLM 实验

• LLM实验 主要目的是验证 大语言模型（LLM） 在分析用户行为方面的有效性，特别是在通过代理策略对行为描述进行生成和分析时，LLM是否能准确地对用户行为进行分析和分类。
• 对描述性文本的总结部分进行对比实验：通过测试不同的LLM平台，比较不同平台生成的描述性文本的效果，实验结果如表3所示。实验表明，基于问题引导的多代理模型是有效的。ChatGLM3-6B 在实验中与 ChatGPT-4 表现接近，说明 ChatGLM3-6B 能生成高质量的描述文本。

• 为了验证生成的分析部分文本的合理性和逻辑一致性，研究者随机选择了60个已正确分类的行为数据点（每个行为类型20个），并要求20位具有5年以上安全领域工作经验和10年以上英语学习经验的专业参与者评估：分析结论的合理性：评估从“完全不合理”到“完全合理”（0-3）。分析过程的逻辑一致性：评估从“完全没有逻辑”到“高度有逻辑”（0-3）。

• 另外，研究者随机选择了60个行为数据点，并让专业参与者分别在两种条件下判断行为类型：仅提供行为内容和提供行为内容加决策者代理的分析文本。该实验旨在评估 决策者代理的分析文本 是否有助于提高专家对行为类型的判断准确性。

5. Translator实验

• 转换器实验 主要目的是验证 GraphTranslator 模块的有效性，尤其是在将 因果特征向量 转换为 描述性文本 时，转换器是否能够准确地将图模型中的信息传递给大语言模型（LLM），并有效生成可理解的文本。
• 在实验中，研究者随机选择了 500对文本 进行对比。每对文本分别由 GraphTranslator 生成的翻译文本和原始描述性文本组成。通过比较这些文本对的相似度，评估转换器生成文本的质量。除了文本相似度评估外，实验还对整个行为检测流程中的每个模块进行了性能测试，重点测试转换器模块是否能够显著减少检测过程中的时间消耗。

• 实验结果显示，GraphTranslator 模块显著提高了整个异常行为检测框架的运行效率。在将节点向量转换为描述性文本的过程中，转换器仅消耗了 16% 的时间，相比于从原始图生成描述性文本的时间，这一性能提升非常显著。

---

六、研究结论与展望

关键贡献

• Web 攻击行为图构建：通过显式和隐式因果关系的引入，构建了更全面的图模型，有效地帮助识别潜在攻击者。
• 大语言模型应用：通过设计基于大语言模型的代理策略，生成了高质量的行为分析报告，从而能够在低资源环境下实现异常行为检测。
• 转换器模块优化：转换器模块通过将因果特征向量转换为描述性文本，显著提高了方法的执行效率，减少了计算时间，提升了整体检测框架的响应速度。

展望

• 增强对抗鲁棒性：引入记忆管理机制，抵御对抗性输入；
• 改进多智能体稳定性：通过纠偏与去偏策略优化决策者代理；
• 拓展实际应用：面向大规模实时检测，提升性能与效率。

2024年4月28日是Eastmount的安全星球——『网络攻防和AI安全之家』正式创建和运营的日子，该星球目前主营业务为 安全零基础答疑、安全技术分享、AI安全技术分享、AI安全论文交流、威胁情报每日推送、网络攻防技术总结、系统安全技术实战、面试求职、安全考研考博、简历修改及润色、学术交流及答疑、人脉触达、认知提升等。下面是星球的新人券，欢迎新老博友和朋友加入，一起分享更多安全知识，比较良心的星球，非常适合初学者和换安全专业的读者学习。

目前收到了很多博友、朋友和老师的支持和点赞，尤其是一些看了我文章多年的老粉，购买来感谢，真的很感动，类目。未来，我将分享更多高质量文章，更多安全干货，真心帮助到大家。虽然起步晚，但贵在坚持，像十多年如一日的博客分享那样，脚踏实地，只争朝夕。继续加油，再次感谢！

(By:Eastmount 2025-10-05 周日夜于贵阳 http://blog.csdn.net/eastmount/ )

---

前文赏析：

• [论文阅读] (01)拿什么来拯救我的拖延症？初学者如何提升编程兴趣及LATEX入门详解
• [论文阅读] (02)SP2019-Neural Cleanse: Identifying and Mitigating Backdoor Attacks in DNN
• [论文阅读] (03)清华张超老师 - GreyOne: Discover Vulnerabilities with Data Flow Sensitive Fuzzing
• [论文阅读] (04)人工智能真的安全吗？浙大团队外滩大会分享AI对抗样本技术
• [论文阅读] (05)NLP知识总结及NLP论文撰写之道——Pvop老师
• [论文阅读] (06)万字详解什么是生成对抗网络GAN？经典论文及案例普及
• [论文阅读] (07)RAID2020 Cyber Threat Intelligence Modeling Based on Heterogeneous GCN
• [论文阅读] (08)NDSS2020 UNICORN: Runtime Provenance-Based Detector for Advanced Persistent Threats
• [论文阅读] (09)S&P2019 HOLMES Real-time APT Detection through Correlation of Suspicious Information Flow
• [论文阅读] (10)基于溯源图的APT攻击检测安全顶会总结
• [论文阅读] (11)ACE算法和暗通道先验图像去雾算法（Rizzi | 何恺明老师）
• [论文阅读] (12)英文论文引言introduction如何撰写及精句摘抄——以入侵检测系统(IDS)为例
• [论文阅读] (13)英文论文模型设计（Model Design）如何撰写及精句摘抄——以入侵检测系统(IDS)为例
• [论文阅读] (14)英文论文实验评估（Evaluation）如何撰写及精句摘抄（上）——以入侵检测系统(IDS)为例
• [论文阅读] (15)英文SCI论文审稿意见及应对策略学习笔记总结
• [论文阅读] (16)Powershell恶意代码检测论文总结及抽象语法树（AST）提取
• [论文阅读] (17)CCS2019 针对PowerShell脚本的轻量级去混淆和语义感知攻击检测
• [论文阅读] (18)英文论文Model Design和Overview如何撰写及精句摘抄——以系统AI安全顶会为例
• [论文阅读] (19)英文论文Evaluation（实验数据集、指标和环境）如何描述及精句摘抄——以系统AI安全顶会为例
• [论文阅读] (20)USENIXSec21 DeepReflect：通过二进制重构发现恶意功能（恶意代码ROI分析经典）
• [论文阅读] (21)S&P21 Survivalism: Systematic Analysis of Windows Malware Living-Off-The-Land (经典离地攻击)
• [论文阅读] (22)图神经网络及认知推理总结和普及-清华唐杰老师
• [论文阅读] (23)恶意代码作者溯源(去匿名化)经典论文阅读：二进制和源代码对比
• [论文阅读] (24)向量表征：从Word2vec和Doc2vec到Deepwalk和Graph2vec，再到Asm2vec和Log2vec（一）
• [论文阅读] (25)向量表征经典之DeepWalk：从Word2vec到DeepWalk，再到Asm2vec和Log2vec（二）
• [论文阅读] (26)基于Excel可视化分析的论文实验图表绘制总结——以电影市场为例
• [论文阅读] (27)AAAI20 Order Matters: 二进制代码相似性检测（腾讯科恩实验室）
• [论文阅读] (28)李沐老师视频学习——1.研究的艺术·跟读者建立联系
• [论文阅读] (29)李沐老师视频学习——2.研究的艺术·明白问题的重要性
• [论文阅读] (30)李沐老师视频学习——3.研究的艺术·讲好故事和论点
• [论文阅读] (31)李沐老师视频学习——4.研究的艺术·理由、论据和担保
• [论文阅读] (32)南洋理工大学刘杨教授——网络空间安全和AIGC整合之道学习笔记及强推（InForSec）
• [论文阅读] (33)NDSS2024 Summer系统安全和恶意代码分析方向相关论文汇总
• [论文阅读] (34)EWAS2024 基于SGDC的轻量级入侵检测系统
• [论文阅读] (35)TIFS24 MEGR-APT：基于攻击表示学习的高效内存APT猎杀系统
• [论文阅读] (36)C&S22 MPSAutodetect：基于自编码器的恶意Powershell脚本检测模型
• [论文阅读] (37)CCS21 DeepAID：基于深度学习的异常检测（解释）
• [论文阅读] (38)基于大模型的威胁情报分析与知识图谱构建论文总结（读书笔记）
• [论文阅读] (39)EuroS&P25 CTINEXUS：基于大模型的威胁情报知识图谱自动构建
• [论文阅读] (40)CCS24 PowerPeeler：一种通用的PowerShell脚本动态去混淆方法
• [论文阅读] (41)JISA24 物联网环境下基于少样本学习的攻击流量分类
• [论文阅读] (42)ASC25 基于大语言模型的未知Web攻击威胁检测