Toward Real-World IoT Security: Concept Drift-Resilient IoT Botnet Detection via Latent Space Representation Learning and Alignment

📄 arXiv: 2512.22488v1 📥 PDF

作者: Hassan Wasswa, Timothy Lynar

分类: cs.LG, cs.CV

发布日期: 2025-12-27

💡 一句话要点

提出基于潜在空间对齐的IoT僵尸网络检测框架，解决概念漂移问题

🎯 匹配领域: 支柱二：RL算法与架构 (RL & Architecture)

关键词: IoT安全 僵尸网络检测 概念漂移 潜在空间学习 图神经网络 自适应学习 网络流量分析

📋 核心要点

  1. 现有基于AI的IoT威胁检测模型依赖静态数据集，无法反映真实IoT网络流量的动态性，易受概念漂移影响。
  2. 论文提出一种自适应IoT威胁检测框架，通过潜在空间表示学习和对齐，避免了频繁的分类器重训练。
  3. 实验表明，该框架在真实IoT流量数据集上，即使存在概念漂移，也能保持稳健的检测性能。

📝 摘要（中文）

本文提出了一种可扩展的自适应IoT威胁检测框架，旨在解决现实世界IoT网络流量中概念漂移带来的挑战。该框架无需持续的分类器重训练，通过在历史流量的潜在空间表示上训练分类器，并使用对齐模型将新流量映射到该潜在空间，从而保留先前观察到的攻击知识。为了捕获攻击样本间的关系，低维潜在表示被转换为图结构，并使用图神经网络进行分类。在真实异构IoT流量数据集上的实验结果表明，该框架在概念漂移下保持了稳健的检测性能，突显了其在动态和大规模IoT环境中实际部署的潜力。

🔬 方法详解

问题定义：现有基于AI的IoT威胁检测方法在实际部署中面临概念漂移的挑战。真实世界的IoT网络流量是动态变化的，攻击模式也在不断演变，而传统的AI模型依赖于静态数据集进行训练，无法适应这种变化，导致检测性能下降。频繁的分类器重训练虽然可以缓解这个问题，但会带来巨大的计算开销，并且可能导致灾难性遗忘。

核心思路：本文的核心思路是利用潜在空间表示学习和对齐技术，将新出现的流量映射到历史流量的潜在空间中，从而使分类器能够利用先前学习到的知识。通过这种方式，可以避免频繁的分类器重训练，降低计算开销，并保留对先前攻击的识别能力。同时，利用图神经网络对潜在空间中的攻击样本关系进行建模，进一步提升检测性能。

技术框架：该框架主要包含两个阶段：离线训练阶段和在线检测阶段。在离线训练阶段，首先利用历史流量数据学习一个潜在空间表示，然后在该潜在空间上训练一个分类器。同时，训练一个对齐模型，用于将新流量映射到该潜在空间。在在线检测阶段，首先利用对齐模型将新流量映射到历史流量的潜在空间，然后利用训练好的分类器进行分类。为了捕获攻击样本之间的关系，将潜在表示转换为图结构，并使用图神经网络进行分类。

关键创新：该论文的关键创新在于提出了一个基于潜在空间对齐的自适应IoT威胁检测框架，该框架能够有效地解决概念漂移问题，避免了频繁的分类器重训练。此外，利用图神经网络对潜在空间中的攻击样本关系进行建模，进一步提升了检测性能。与现有方法相比，该方法具有更高的效率和更好的泛化能力。

关键设计：论文中使用了自编码器来学习流量数据的潜在空间表示。对齐模型的设计目标是最小化新流量映射到历史流量潜在空间后的距离。图神经网络采用GCN或GAT等结构，用于学习图中节点的表示。损失函数包括分类损失和对齐损失，用于优化分类器和对齐模型。具体的参数设置和网络结构需要根据实际数据集进行调整。

📊 实验亮点

实验结果表明，该框架在真实异构IoT流量数据集上，即使存在概念漂移，也能保持较高的检测准确率。与传统的分类器重训练方法相比，该框架在计算开销方面具有显著优势。具体性能数据未知，但摘要强调了其在概念漂移下的鲁棒性。

🎯 应用场景

该研究成果可应用于各种IoT安全场景，例如智能家居、工业控制系统和智慧城市等。通过部署该框架，可以有效地检测和防御IoT僵尸网络攻击，保护IoT设备和网络的安全。该研究对于提升IoT安全水平，促进IoT技术的广泛应用具有重要意义。

📄 摘要（原文）

Although AI-based models have achieved high accuracy in IoT threat detection, their deployment in enterprise environments is constrained by reliance on stationary datasets that fail to reflect the dynamic nature of real-world IoT NetFlow traffic, which is frequently affected by concept drift. Existing solutions typically rely on periodic classifier retraining, resulting in high computational overhead and the risk of catastrophic forgetting. To address these challenges, this paper proposes a scalable framework for adaptive IoT threat detection that eliminates the need for continuous classifier retraining. The proposed approach trains a classifier once on latent-space representations of historical traffic, while an alignment model maps incoming traffic to the learned historical latent space prior to classification, thereby preserving knowledge of previously observed attacks. To capture inter-instance relationships among attack samples, the low-dimensional latent representations are further transformed into a graph-structured format and classified using a graph neural network. Experimental evaluations on real-world heterogeneous IoT traffic datasets demonstrate that the proposed framework maintains robust detection performance under concept drift. These results highlight the framework's potential for practical deployment in dynamic and large-scale IoT environments.