Jev-IDS: System One Models for Network Intrusion Detection

📄 arXiv: 2610.01079v1 📥 PDF

作者: Paulo Severo, Silvio E. Quincozes, Amanda Dias

分类: cs.CR, cs.AI

发布日期: 2026-10-01

💡 一句话要点

提出JEV-IDS以解决网络入侵检测中的标签稀缺问题

🎯 匹配领域: 支柱九：具身大模型 (Embodied Foundation Models)

关键词: 网络入侵检测 机器学习 大型语言模型 零日攻击 标签稀缺 流量分析 系统一模型 误报率

📋 核心要点

  1. 现有的网络入侵检测系统依赖于大量标记数据，导致在标签稀缺情况下难以有效检测零日攻击。
  2. 论文提出的JEV-IDS利用Jev系统一模型，通过序列化流并提出二元问题来实现高效的入侵检测。
  3. 实验结果显示，JEV-IDS在速度、成本和新攻击召回率上均优于现有的基线方法，表现出显著的性能提升。

📝 摘要（中文）

机器学习网络入侵检测系统（IDS）依赖于大量标记数据集和特定任务的训练，而大型语言模型（LLMs）能够直接分析流记录，但推理成本和延迟较高，输出不够受限。本文提出了JEV-IDS，一个基于Jev系统一模型（SOM）的开放实验性通用网络入侵检测系统，旨在在标签稀缺的情况下检测零日攻击。JEV-IDS每个请求序列化一个流，并向JEV提出两个问题：二元攻击概率和有限选择的流量类别。实验结果表明，在k=1时，JEV的速度是GPT-5.6 Luna的4.8倍，成本是其3.8倍，同时新攻击的召回率提高了1.5倍；与低数据随机森林相比，产生的误报减少了15倍。JEV在5400个决策中，F1分数为0.859，精确率为0.941，召回率为0.790，新攻击召回率为0.838。将k增加到2时，F1分数降至0.839。

🔬 方法详解

问题定义：本文旨在解决网络入侵检测中由于标签稀缺而导致的检测效率低下的问题。现有方法通常需要大量标记数据进行训练，难以适应零日攻击的检测需求。

核心思路：JEV-IDS的核心思路是利用Jev系统一模型（SOM）直接分析流记录，通过序列化每个请求的流并提出二元问题来实现高效的入侵检测。这样的设计使得系统在标签稀缺的情况下仍能有效工作。

技术框架：JEV-IDS的整体架构包括数据输入模块、流序列化模块、问题生成模块和决策模块。数据输入模块负责接收网络流量数据，流序列化模块将每个流序列化为单个请求，问题生成模块向JEV提出攻击概率和流量类别的问题，最后决策模块根据JEV的输出做出检测决策。

关键创新：JEV-IDS的最重要创新在于其利用大型语言模型进行网络入侵检测的方式，尤其是在标签稀缺的情况下，能够有效提高检测速度和准确性。这与传统方法依赖大量标记数据的本质区别显著。

关键设计：在设计中，JEV-IDS设置了k值以控制每次请求的流数量，实验中k=1时表现最佳。此外，系统采用了特定的损失函数和网络结构，以优化攻击概率和流量类别的预测性能。通过这些设计，JEV-IDS在保持高效性的同时，显著降低了误报率。

🖼️ 关键图片

fig_0
img_1
img_2

📊 实验亮点

实验结果显示，JEV-IDS在k=1时的速度是GPT-5.6 Luna的4.8倍，成本是其3.8倍，同时新攻击的召回率提高了1.5倍。此外，与低数据随机森林相比，JEV-IDS产生的误报减少了15倍，F1分数达到0.859，精确率为0.941，召回率为0.790。

🎯 应用场景

JEV-IDS可广泛应用于网络安全领域，尤其是在需要实时检测和响应的环境中，如金融机构、政府网络和大型企业网络。其高效的检测能力和低误报率使其在实际应用中具有重要价值，未来可能推动更多基于AI的网络安全解决方案的发展。

📄 摘要（原文）

Machine-learning Network Intrusion Detection Systems (IDS) depend on substantial labeled datasets and task-specific training, whereas Large Language Models (LLMs) detection can analyze flow records directly but incurs higher inference cost and latency, with less constrained outputs. This paper presents JEV-IDS, an open experimental general NIDS based on the Jev System One Model (SOM) to detect zero day intrusions Under label scarcity. JEV-IDS serializes one flow per request and asks JEV two questions: a binary attack probability and a finite-choice traffic category. Our results show that, at k=1, JEV was 4.8 times faster and 3.8 times cheaper than GPT-5.6 Luna, with 1.5 times higher novel-attack recall; it also produced 15 times fewer false alarms than a low-data Random Forest. Across 5,400 decisions on a 300-flow NSL-KDD pilot split, JEV achieved F1-Score 0.859, precision 0.941, recall 0.790, and novel-attack recall 0.838. Increasing k to 2 reduced its F1-Score to 0.839.