Traffic-Aware Randomized Smoothing for LLM-Based Network Intrusion Detection

📄 arXiv: 2607.13801v1 📥 PDF

作者: Zhenpeng Li

分类: cs.CR, cs.AI, cs.LG

发布日期: 2026-07-15

备注: 44 pages, 14 figures, 14 tables. Submitted to Expert Systems with Applications

💡 一句话要点

提出交通感知随机平滑以增强LLM网络入侵检测的鲁棒性

🎯 匹配领域: 支柱一：机器人控制 (Robot Control) 支柱九：具身大模型 (Embodied Foundation Models)

关键词: 网络入侵检测 大型语言模型 随机平滑 高斯噪声 鲁棒性增强

📋 核心要点

  1. 现有的基于LLM的入侵检测系统在面对流量操控时的鲁棒性较差，认证准确率低。
  2. 论文提出的TA-RS方法通过向攻击者可控的特征子空间注入高斯噪声，提升了系统的鲁棒性。
  3. 实验结果显示，TA-RS在多个数据集上实现了55-100%的认证准确率，显著优于传统方法。

📝 摘要（中文）

基于大型语言模型（LLM）的入侵检测系统（IDS）在安全监控中受到越来越多的关注，但其对可行流量操控的鲁棒性仍然主要是经验性的。本文提出了一种交通感知随机平滑（TA-RS）方法，这是一种与分类器无关的认证防御机制，在微调和认证过程中仅向攻击者可控的特征子空间注入高斯噪声。研究发现，标准随机平滑在清洁训练的LLM-IDS上表现出较弱的认证准确率，噪声增强微调能够显著提升性能。TA-RS在多个数据集上达到了55-100%的认证准确率，且在不同数据集上表现出显著的优势。

🔬 方法详解

问题定义：本文旨在解决基于LLM的入侵检测系统在面对流量操控时的鲁棒性不足问题。现有方法在认证准确率上表现不佳，尤其是在攻击者可控特征的情况下。

核心思路：TA-RS方法的核心思路是将高斯噪声注入到攻击者可控的特征子空间，以此增强系统的鲁棒性。这种设计使得平滑分布与攻击者可控子空间相一致，从而提高了认证准确率。

技术框架：TA-RS的整体架构包括两个主要阶段：微调阶段和认证阶段。在微调阶段，系统通过噪声增强训练来提升模型的鲁棒性；在认证阶段，系统评估模型在攻击下的表现。

关键创新：TA-RS的主要创新在于其针对攻击者可控特征的噪声注入策略，这与传统的随机平滑方法不同，后者通常对所有特征施加噪声，导致鲁棒性不足。

关键设计：在参数设置上，TA-RS使用了sigma=0.25的噪声增强策略，并在多个数据集上进行了验证。实验结果表明，噪声增强微调能够显著提升认证准确率，达到68-100%。

🖼️ 关键图片

fig_0
fig_1

📊 实验亮点

实验结果显示，TA-RS在CIC-IDS-2018和HIKARI-2021数据集上实现了55-100%的认证准确率，且在sigma=0.25时的中位认证半径超过R_inf的1.8-5倍。与传统的随机平滑方法相比，TA-RS在多个数据集上表现出4-72个百分点的提升。

🎯 应用场景

该研究的潜在应用领域包括网络安全监控、入侵检测系统的开发与优化等。通过提升LLM-IDS的鲁棒性，TA-RS能够有效应对流量操控攻击，增强网络安全防护能力，具有重要的实际价值和未来影响。

📄 摘要（原文）

Large language model (LLM)-based intrusion detection systems (IDS) are increasingly studied for security monitoring, yet their robustness against feasible traffic manipulation remains largely empirical. We present Traffic-Aware Randomized Smoothing (TA-RS), a classifier-agnostic certified defense that injects Gaussian noise exclusively into the directly controllable (DC) subspace -- features a remote attacker can modify -- during both fine-tuning and certification, aligning the smoothing distribution with the attacker-controllable subspace. We identify a critical prerequisite: applying standard randomized smoothing to clean-trained LLM-IDS yields weak certified accuracy in three of four (model, dataset) pairs tested (14-33%, at or below random) and only 57% in the fourth (43 pp below the noise-augmented result); noise-augmented fine-tuning recovers to 68-100% on two of three benchmark datasets (at sigma=0.25). At the L_inf-equivalent threshold R_inf = epsilon*sqrt(|DC|) (epsilon=0.05), TA-RS achieves 55-100% certified accuracy on CIC-IDS-2018 and HIKARI-2021, with median certified radii (R approx 0.45-0.96) exceeding R_inf by 1.8-5x (across sigma=0.25-1.00). Against a fairly trained iso-trained RS baseline the residual advantage is dataset-dependent (4-19 pp on CIC-IDS-2018). The larger gap -- up to 72 pp against an isotropic RS baseline that shares the DC-noise-augmented training recipe -- primarily reflects the training-certification mismatch rather than DC alignment alone: isotropic test-time noise perturbs uncontrollable features the attacker cannot exploit, triggering abstention rates up to 68%. RT-IoT2022 probes the limits of the method: it fails under the default fine-tuning recipe but recovers to 76%/69% certified accuracy (LLaMA3-8B/Qwen3-8B) when noise augmentation is increased.