大家读完觉得有帮助记得关注和点赞摘要边界分诊面临延迟/语义权衡签名引擎快速且格式安全但对未见攻击视而不见生成模型具有语义能力但速度慢且产生不可解析输出。2026年末一类商用System One决策模型TypeSafe JevMicrosoft-Decision-1开始将类型化决策原语——二元门、闭集选择、有序评分——作为产品API出售但尚无学术处理或独立评估。我们提出VX-One一个小型多头网络10万–1000万参数其输出正是这些原语——一个校准门、一个在始终包含显式unknown选项的闭候选集上的选择以及一个有序评分条件有序回归多任务训练逐头温度校准CPU上单事件延迟p50约0.7–1.7 ms。我们在三个公开基准UNSW-NB15、CIC-IDS2017、EMBER2024上对照校准后的XGBoost、Random-Forest、MLP和Kitsune基线评估它并在CIC-IDS2017的五天数据上测量两阶段级联Suricata加52,674条Emerging-Threats规则→VX-One。我们的发现有意具有双面性iVX-One在UNSW-NB15上以及CIC-IDS2017时间漂移下0.711对0.637在检测指标AUROC/FPR95%TPR上胜过所有校准基线但校准XGBoost在全部三个基准上赢得多类归因ii在留一攻击家族外评估下门在9/9个UNSW折上检测到从未见过的家族但在CIC的recon家族上低于随机水平且在一个基准上校准的弃权阈值迁移到另一个基准效果很差iii在CIC-IDS2017各天的无载荷重建上签名引擎仅解析约0.1%的每日流——载荷不透明下的灰区约占流量的99.9%第二阶段恢复了它组合召回≥0.978iv所有方法的概率校准在时间漂移下崩溃ECE 0.04→0.40而排序部分存活。我们贡献的不是新估计器而是对类型化校准决策在边界分诊中有何帮助、何处失败的测量性说明。关键词入侵检测、校准决策、分布外检测、恶意软件分类、两阶段分诊1 引言在网络边界运行缓解策略需要同时满足火线上的纳秒级决策、控制器可设定阈值的校准置信度以及对训练从未见过事件的诚实行为。三类现有技术各至少缺失一项要求。1确定性引擎Snort [32]、Suricata [28]、Zeek/Bro [30]、YARA [40]快速且格式安全但在结构上对零日和低慢攻击视而不见反复出现的失败模式是规则爆炸没有运营团队能够维护。2安全文本LLM例如SecureBERT [1]——双向编码器而非自回归模型我们纠正这一混用——带来领域语义但作为火线上的细粒度决策引擎它们很重而解码器式LLM代理增加生成延迟和输出格式脆弱性缓解控制器无法容忍。3经典入侵检测ML在表格归因上表现良好——XGBoost [5]赢得我们的归因基准——但将每个事件视为成员测试在模型从未见过的家族上产生自信的错误归因第5.2节。2026年10月一类正好定位在这一缺口的商用模型开始出货System One决策模型作为API出售接收结构化状态加类型化问题并返回校准选项概率TypeSafe的Jev [36, 37]Microsoft Decision-1 [23, 24]。尚无同行评审学术文献覆盖该类其评估由供应商报告且不存在安全领域评估。本文通过自己构建原语而非远程调用供应商API来占据这一缺口。VX-One在单次前向传播中将固定大小的事件状态映射到三个类型化决策然后在公开数据上评估整个流水线——包括其前面的真实签名引擎——并采用反稻草人基线。贡献是•类型化决策引擎第3节共享编码器三个原语头——门校准sigmoid、选择在声明的闭集上softmax闭集始终包含unknown、评分CORN条件有序回归[34]——在验证数据上逐头温度校准使用同方差加权方案[17]多任务训练。•未知攻击诚实性已测量第5.2节在9个UNSW-NB15和7个CIC-IDS2017家族上做留一攻击家族外评估加上EMBER2024四个月的家族漂移报告未见家族检测门AUROC和归因诚实性unknown选项吸收模型不应声称知道的内容的频率。•测量的灰区第5.4节Suricata 7加52,674条实时Emerging-Threats规则在流重建的CIC-IDS2017流量上载荷不透明下仅解析约0.1%的每日流组合级联以召回≥0.978恢复它代价是在第一阶段完全盲的Web攻击日上测得精度下降。•负结果已测量第5.1–5.5节所有方法的校准在漂移下崩溃ECE 0.04→0.40帮助弱标签归因的类权重倾斜在饱和基准上可能伤害归因固定弃权阈值不能跨校准移植去掉unknown选项可使宏F1提高最多11.2个百分点——诚实性/效用权衡真实且可量化。2 相关工作System One决策模型。Microsoft的公告[23]和文档[24]定义了原语三元组二元门/闭集选择/有序评分具有校准选项概率和单遍评分TypeSafe的Jev [36, 37]在2026年更早将这一框架商业化。两者都是供应商公告无同行评审评估引用的基准快193.6倍、便宜444.6倍是行业声明。我们的工作是该三元组的首个学术实例化和安全领域评估我们仅将其名称用于归属定义自己的形式对象第3节并有意避免将供应商术语当作中性词汇继承。单遍推理。“非自回归”起源于神经机器翻译[13]一次前向传播给出完整输出无解码循环。我们严格用于架构共享主干、并行类型化头。我们不从单遍性声称新颖性——BERT家族分类器也是单遍——我们的基线包括适当编码器区别因素是类型化校准输出而非仅单遍性。用于逐事件动作的快速早退决策层在精神上先于该设计——Viola–Jones级联[39]是其祖先。校准与弃权。Platt缩放[31]、多类概率变换[42]、经验逐家族校准差距[27]和温度缩放[14]定义我们的后处理协议共形预测[3, 41]是我们推迟为保证的可选包装器但在时间划分上经验审计附录A并指出无分布覆盖声明需要可交换性而时间划分违反它[4]。Chow的拒绝选项[6]和选择性分类[11]奠定我们的弃权语义对称拒绝成本下贝叶斯最优阈值为1−λ_r 0.5这是我们最初设置的阈值我们测量它在模型过度自信处迁移得多差第5.2节。签名引擎及其局限。Snort [32]、Zeek [30]、YARA [40]和Suricata [28]锚定确定性层。DARPA批评传统[21, 22]设定了数据集怀疑标准对CICIDS2017的审计[10, 20]记录了系统性标注错误。我们使用分层和时间划分并对照校正标签审计。网络流量和恶意软件ML。Kitsune [25]是典型的包级无监督集成我们将其适配到流有文档并报告其Platt校准但判别力弱的AUROC约0.61作为“校准不创造信号”的具体实例。提升树[5]是我们的引擎在全部三个基准上输给的归因基线——我们用相同协议校准它们使比较非稻草人。EMBER2018 [2]和EMBER2024 [16]、UNSW-NB15 [26]和CIC-IDS2017 [33]提供数据层。Viola–Jones [39]是我们第二阶段仅在需要时级联的祖先。3 VX-One设计3.1 状态对象每个遥测事件编译为扁平状态S {x_num ∈ R^d, x_txt}其中d ∈ {39UNSW、77CIC-IDS2017、2568EMBER2024}x_txt是基准提供时的协议级分类字段proto、service、state仅UNSW。特征阶段φ非有限值中位数插补并带行标志有符号log1p按训练中位数/IQR稳健缩放裁剪到±8将任意重尾基准特征归一化为固定大小向量。一切可从冻结JSON配置和单一SEED42字节级复现。3.2 主干与类型化头小型pre-norm MLP主干L ∈ {2..8}个[Linear → LayerNorm → GELU → Dropout 0.1]块从第2块起残差将φ(S)加文本查找嵌入映射到共享表示h f_θ(S)馈送四个头——每个类型化原语一个门gate(S) σ(w₁ᵀh b) ∈ [0,1]选择p softmax(W_C h)C ∋ unknown评分π_k σ(q_k(h))i ≤ kCORN其中评分头是对四个严重性级别——benign、low、high、critical——的条件有序回归CORN [34]选择头是每数据集声明的闭候选集。我们有意使用中性头名称而非供应商命名惯例。按规模的主干深度/宽度L,w2/224Nano、3/576Small、4/1280Base在EMBER2024上减少输入投影其2568维特征投影主导参数预算UNSW-NB15上验证的参数计数为97K / 914K / 5.9M处于由单元测试强制执行的硬预算10万/100万/500–1000万内。选择头的开集语义是混合的训练数据提供真实unknown群体处EMBER2024的219万文件unknown真实值该选项是训练类不提供处UNSW、CICunknown在决策时通过(max_k p_k τ_abs)实现为弃权τ_abs及任何组合策略属于缓解控制器而非网络。3.3 训练公式多任务损失L Σ_q L_q采用修改的同方差平衡[17]每任务参考不确定度经过修改使任务尺度差异选择与门的ln K对ln 2不主导初始化。选择上的每类损失权重使用sqrt归一化、均值1的倾斜ω_k并在推理中应用解析去倾斜z ↦ z − log ω后再校准使恢复的后验保持总体正确。门损失是无权重BCE加权将最优logit移动log(ω₊/ω₋)这是温度校准无法撤销的偏移。训练使用AdamW仅2D权重矩阵上权重衰减10⁻²、线性预热5%余弦衰减、梯度裁剪1.0、混合精度以及验证损失上的早停patience 4。所有骨干超参数跨数据集和规模冻结类似D11的纪律。3.4 决策控制器语义控制器从校准头输出组合三个二元门训练门p_cal ≥ τ_det默认0.5在精确CORN边际C₂ P(sev ≥ 2 | x)上的降级门以及选择头recon坐标上的低紧迫性门。严重性评分标准使两个蕴含精确——sev ≥ 2 ⇒ attack且recon ⇒ sev1——并在309万标注流上以零规则违反验证因此每个门的目标事件恰好与其自己的头估计的事件重合。门按设计是单头函数。对于单头函数后处理去倾斜、温度、阈值化使校准误差保持在由头自身缺陷决定的界内附录A引理1。跨头则不存在有用的组合界两个完美校准的头可组合成联合策略其校准误差最坏为1/4无论边际ECE如何附录A命题4——而达到它的AB情形两个头估计同一底层问题在安全中是现实情形。因此控制器在门之间组合布尔决策从不跨头组合概率任何未来组合门必须可评分标准归约为单头或测量其自身联合校准。阈值是成本陈述不是常数。均匀误分类成本和升级成本λ_r下带拒绝的贝叶斯规则当且仅当max_k p_k 1−λ_r时弃权[6, 7]τ_abs 0.5是陈述λ_r 0.5unknown与错误归因代价相同τ_det 0.5是陈述漏掉攻击与虚警代价相同。对于持有不同成本比的操作员映射是标准成本敏感映射τ* c_FP/(c_FPc_FN) [9]——例如10:1漏报:报警比意味着τ* ≈ 0.091我们保留0.5作为声明默认值并暴露映射而非静默调参。具有完整成本矩阵的一般策略位于控制器中——成本不对称时最大概率抽象可能偏离真实贝叶斯max_k p_k高于阈值的事件可能在其他地方有更低期望成本——我们在验证数据上测量抽象偏差而非假设它不存在。4 实验设置数据。UNSW-NB15 [26]149,039 / 26,302 / 82,332流官方划分9个攻击家族。CIC-IDS2017 [33]MLCVE校正变体283万流两个划分分层健全性和按天时间漂移。EMBER2024 [16]385万二进制按周时间划分公开挑战集留出219万真实unknown训练行。原始CICIDS2017中的标签错误有记录[10, 20]在审计变体之上我们修复原始标签编码伪影Web攻击标签中的UFFFD乱码和单复数命名漂移Backdoor朴素摄入会静默将其路由到unknown类微类11个Heartbleed、36个Infiltration流保留而非丢弃并精确分层。每个计数在任何实验运行前对照代码中的冻结模式检查。基线。XGBoost500棵提升树hist模式、Random Forest300棵树min-leaf 1、MLP2×256和Kitsune9自编码器集成特征bagging在验证上Platt校准——全部用相同特征阶段、相同每类损失权重存在类似处和与VX-One相同的逐头温度缩放校准训练。这是反稻草人纪律提升树受益于校准修复[27]我们报告原始和校准后。来自商用System One类的零样本API基线第5.6节已计划本轮未执行。指标。检测AUROC和FPR95%TPR捕获95%真实攻击的阈值处的FPR——准确率式指标隐藏的火线操作数字。归因标签感知宏F1GT-unknown行按标签排除因为它们没有已知对应。校准15-bin ECE、MCE、Brier、NLL和可靠性图在原始和校准头上报告。延迟单线程、batch1、3,000个计时事件每个结果记录模型精确硬件。基础设施。在无服务器GPUL4上训练带原子检查点和测试过的恢复评估从转储的原始logits本地计算使所有指标代码可检查。60个单元测试包括端到端冒烟训练pytest60/60通过。5 结果5.1 E1/E3——检测、归因、校准表1总结测试集上的两层比较校准温度。三个发现iVX-One赢得检测而非归因。在UNSW-NB15和时间CIC上VX-One在AUROC和FPR95%TPR上居首。在按天CIC上每种方法的可达到FPR95都退化但树的退化是彻底的FPR95 1.0——没有阈值在非平凡FPR下达到95% TPR而VX-One保留部分可用的操作点。归因宏F1反转这一点校准XGBoost在UNSW、分层CIC和EMBER2024上获胜——高出4–8个百分点。我们报告反转而非隐藏它我们的贡献不依赖归因胜利我们明确说明损失。ii饱和使分层CIC成为健全性基准而非卖点。所有方法都落在约1.0ECE ≤0.001。饱和基准划分上的头条数字最好视为流水线正确性检查。四个主表运行的种子方差。为确定噪声底UNSW-Small、CIC strat-Small、CIC by-day和EMBER temporal用种子{42,43,44}从头重跑并用相同离线评估器评估。种子42重跑将表1的官方UNSW行复现到小数点后第四位VX-One流水线的确定性而非运气。跨种子AUROC除by-day CIC0.734±0.018外各处移动≤0.002宏F1恰在基准最不稳定处携带真实散布分层CIC 0.831±0.074一个种子跌至0.73而其AUROC和校准保持饱和和by-day CIC 0.344±0.085散布0.24–0.45而UNSW 0.456±0.001和EMBER 0.746±0.012检测结论对种子稳健CIC上的归因结论不是且在任何规模上都不是——归因主张依赖UNSW和EMBER。iiiKitsune校准不等于信号。在验证上Platt校准后Kitsune校准良好ECE 0.037但判别力接近随机AUROC 0.608。其自编码器集成的信号在仅良性数据的敌对阶段重拟合后不存活——我们将其特征阶段重拟合到自己的训练分布仅良性如真实无监督部署会做。Platt在一个无用分数上校准出无用概率。校准E3所有方法的分布内ECE在UNSW-NB15上保持≤0.065但在时间CIC上漂移到0.39–0.45表1。策略级含义精确“Noul/门反馈已校准”Noul是供应商对门头校准损失的名称我们称其为门第3节是关于训练分布的声明它恰在新攻击压力出现时静默退化而那一刻正是该声明被购买的原因。第5.5节显示该效应在类倾斜选择之上是加性的而非独立于它。Choiceval的逐类校准在所有四个主运行上保持≤0.007馈送g_recon的recon坐标在0.003UNSWn1,574和0.0001CIC strat上校准——最大概率校准不蕴含逐类校准因此这是此处测量的性质而非假设。表1测试集比较校准。VXVX-One三种规模。FPR95为FPR95%TPR。†时间漂移下。a归因受益于漂移b饱和检测平台所有模型≈1.0。完整逐数据集表在发布结果中。数据集模型AUROCFPR95macro-F1UNSW-NB15VX Small0.98340.12110.4571XGBoost0.98180.13690.4968RF0.97920.13990.4378MLP0.98210.12790.4445Kitsune0.60860.5617—CIC stratified^bVX Small0.99990.00030.8826XGBoost1.00000.00020.9416Kitsune0.62270.6910—CIC by-day^†VX Small0.71120.5731^a0.4518XGBoost0.63721.0000^a0.8336RF0.63081.00000.4207MLP0.59591.00000.4579EMBER2024VX Small0.99690.01190.7549XGBoost0.99810.00530.8094MLP0.99700.00980.77335.2 E2——未知攻击诚实性留一家族外LOAO训练时去掉家族F测试F的留出行。表2报告未见家族检测门AUROC/FPR95无任何再训练、归因诚实性选择头归因到unknown的程度和控制已知家族上的宏F1不得崩溃。UNSW门泛化。九个从未见过的家族中九个以门AUROC ≥0.85被检测到大多数高于0.95而已知家族的宏F1保持0.38–0.56。被排除家族的弃权率爬升3–92%——特征依赖而非调参依赖这正是我们想要的诚实性调制一个未见但门相似的家族仍有28–92%的时间实现unknown而非被吸收到normal。CIC失败是结构性的而非偶然的。在分层CIC-Small LOAO表3上门在家族文本上可区分处仍然强bruteforce 0.967、webattack 0.979、exploitation 0.970、dos_ddos 0.852但在recon上低于随机0.426在infiltration上接近随机0.533n5在77个流统计特征中来自数据中心的端口扫描看起来与良性端口接触客户端完全相同。范围单流分诊看不到什么。这种盲目性是结构性的说明其边界是贡献的一部分VX-One分类孤立事件一个流的统计、一个二进制的特征。侦察按定义是时间聚合现象——低慢扫描对逐事件统计不可见只有在时间窗口上的行为检测事件来源、每时间目标直方图、扫描可分性中才可检测。因此边界架构不依赖逐事件头做recon第一阶段Suricata端口扫描签名部分覆盖它及其前面的任何窗口化检测器或逐事件门旁边第5.4节当第一阶段载荷盲时残余recon覆盖被诚实声明而非夸大。默认测量的弃权阈值不可移植在UNSW上τ_abs0.5在排除家族上弃权3–92%在CIC上校准饱和表1ECE≤0.001同一固定阈值弃权零行——每个排除家族事件都以高置信度分配给normal。饱和模型下正确选择性过度饱和模型下自信错误。扫描可移植阈值不存在图1。我们在已计算的LOAO logits上扫描τ_abs∈{0.05..0.99}无再训练。在UNSW上扫描允许操作点τ0.5在37.5%的排除家族行上弃权55.0%错误归因到已知攻击类升到τ0.99时弃权97.3%、错误归因0.66%——操作员可选的单调诚实性/效用前沿。在CIC上没有操作点即使τ0.99弃权仅达排除家族行的17.8%主导失败模式是良性吸收94.5%的未见家族事件在饱和置信度下归因到normal而非散布到攻击类5.5%UNSW失败模式。排除行上的最大概率中位数在七个CIC折中的五个上≥0.999recon1.000边际替代量p(1)−p(2)recon中位数1.000继承饱和基于边际的选择性分类[11]失败的原因与固定阈值相同——后处理策略在置信度分布上操作而饱和已破坏策略所需的信息。拯救自信错误的模型需要在范围内数据上重新校准每窗口、在线而非更锐利的阈值这就是为什么弃权是有前提的缓解而非保证。EMBER2024漂移训练unknown作为诚实机制。EMBER运行训练第0–45周在后续周验证/测试测试时家族组成可测量地漂移。门稳健性高AUROC 0.997FPR95 0.012。按家族条件是更有趣的表berbew在测试中从34.5K增长到92K行保持召回0.998发生突变的wacatac降至召回0.12985%→unknowngrandoreiron226训练中几乎不存在降至0.22178%→unknown。模型不把漂移简化为错误归因unknown选项吸收模型不应声称知道的内容门同时在检测侧保持操作员安全阈值诚实。这是训练unknown语义最强的单一论据并与表3在两种打开/关闭unknown方式上直接对比见第5.5节。LOAO下unknown意味着什么。两种unknown机制携带相同类型化含义但不是同一估计器。在EMBER2024上unknown是带真实真实值的训练类良性和尾部恶意软件因此其概率是分布内拒绝陈述。在UNSW/CIC的LOAO下被排除家族不是候选弃权运行在已见家族上的最大softmax置信度这是分布外相似性检测[15]——经典max-softmax基线及其已知过度自信失败模式——而非关于被排除家族的校准概率。因此我们分别报告未见家族检测门和弃权从不将后者描述为未见过事件的概率。两种机制都以可测量方式丢失信息性诚实模式表2–3设计教训是分布偏移没有单一校准修复——诚实对象是门弃权对而非一个数字。表2LOAO——未见家族检测门与归因诚实性选择弃权。控制——已知家族上的宏F1——跨折保持0.38–0.56即被排除家族不降低其他家族归因。UNSW Small。排除家族gate AUROCFPR95abst.(%)n_testanalysis0.99920.000292.0677backdoor0.99890.002863.0583dos0.99410.02023.04,089exploitation0.95500.41778.011,132fuzzing0.85190.389928.06,062generic0.99570.012850.018,871recon0.95230.177728.03,496shellcode0.96880.130542.0378worms0.98710.064223.044表3分层CIC上的LOAOSmall。Softmax置信度饱和固定阈值不弃权任何行未见家族以高置信度归因到normal。排除家族gate AUROCFPR95abst.(%)n_testbotnet0.74990.40380.00295bruteforce0.96740.07780.052,076dos_ddos0.85240.33940.0057,103exploitation0.97030.02970.001infiltration0.53290.82620.005recon0.42590.86850.0023,840webattack0.97920.15500.003275.3 E4——延迟测量使用单事件、batch1、单线程CPU、每模型3,000个计时事件在每个模型精确发布的权重上表4。解释VX-One的类型化决策在Small上携带约1 ms的p50推理成本使VX-One成为逐事件内联决策组件而非采样批处理工具。商用System One类的头条延迟声明是API级逐层比较不是同类比较我们将其视为背景而非竞争。表4E4延迟单事件batch11线程CPU。在10 ms设计预算内余量≥5×。规模p50(μs)p95(μs)p99(μs)max(μs)Nano675715773853Small9559991,0221,059Base1,6521,7952,0822,3355.4 E5——两阶段级联火线中有多少实际是灰区我们将CIC-IDS2017五天重建为PCAP有文档重建无载荷——攻击HTTP体未恢复因此仅内容签名规则预期表现不佳这是它们在部署位置遇到此流量的下界运行Suricata 7.0.10加新鲜Emerging-Threats Open规则52,674条拼接加我们自己的8条结构规则以拉平仅头部信号的竞争环境然后按家族测量第一阶段捕获哪些攻击、什么落入第二阶段处理的灰区。表5按天汇总。头条数字是载荷不透明下的灰区不是普遍估计。Suricata加ET规则在重建流量上按体积仅检测约0.1%的每日攻击此重建中灰区是每天的99.9%而第二阶段实际分类它组合级联保持召回≥0.978同时在除周四外每天精度保持≥0.95。我们明确此实验测量什么、不测量什么。它测量第一阶段载荷盲时第二阶段可恢复份额——加密流量操作员处处TLS、管理交换机无载荷检查熟知的运营状态——而非具有完整载荷可见性的部署的真实灰区那里第一阶段严格解析更多。第二级联数字在共享流级的有文档独立性假设下组合第一阶段和第二阶段事件签名触发攻击也扰动流统计因此真实重叠非零我们的组合召回是锚定在载荷盲下界的估计第6节。周四失败是真正的教训在456K良性和仅2.2K攻击的Web攻击日第一阶段无载荷结构上盲精度0.059第二阶段吸收全部而第二阶段在456K良性行上的FP率主导组合精度0.552。级联不是免费的盲检测阶段的每个假旗都被周围无辜流量放大那里正确操作姿态是第二阶段作为建议带弃权阻断而非自动丢弃。这一测量——公共基准上实时层引擎在仅载荷重建下的灰区份额——我们认为是本文最粗糙且最可辩护的新数字。级联自身门控的风险–覆盖已测量。我们还测量了组合策略作为每日风险–覆盖曲线的裁决质量当且仅当第一阶段标记该流或第二阶段门超过τ时裁决“攻击”否则弃权风险裁决集的1−精度第一阶段腿按流精确第二阶段腿按测试行精确组合腿在表5有文档独立性假设下。发现i仅良性周一是零点——每次裁决都是错误因此在风险≤30%下不存在操作点ii周五波DDoSPortScan41%流上组合策略在风险≤5%下允许0.416的流整个平台由第二阶段提供第一阶段在精度0.067下裁决0.0004的流载荷不透明下它贡献延迟和来源而非裁决覆盖Δ≤1点iii小攻击周四0.5%是级联付出自身门控代价之处第一阶段0.11%的标记率在精度0.059下腐蚀每个组合操作点因此在风险≤10%下无可允许第二阶段干净核心仅覆盖0.44%最小风险0.3%。这关闭了第7节的下一步。表5CIC-IDS2017五天的E5级联。“F1 acc”是仅第一阶段Suricata“comb”是估计的组合级联P/R组合级联在该日测试行上的精度/召回。统计是在有文档独立性假设下的估计第6节。日期流攻击F1 accF2 acccomb acccomb Pcomb R周一03529,45000.99890.99960.9985——周二04445,64113,8320.96810.99940.99850.9580.996周三05691,390251,7220.63590.99860.99790.9970.997周四06458,4832,2160.99420.99710.99610.5520.978周五07702,713288,7850.58870.99790.99740.9980.9965.5 E6——消融表6总结消融套件完整14次运行表和逐数据集效应在发布结果中。四个发现通过健全性检查并值得写文本分支a1。在UNSW上协议/服务/状态查找值约5个宏F1点和非平凡AUROC。UNSW原始特征集部分为分类字段值proto、service、state因此文本分支恰好提供数值编码器无法推断的词汇。在EMBER2024上消融按构造是恒等2,568个输入特征已是结构PE统计直方图、字节熵、导入不存在可消融的文本字段——这也是EMBER运行完全从输入投影中删除查找表的原因。校准改变概率从不改变排序a3。温度缩放不触及argmax和AUROC并改善ECE例如在同一logits上去除时0.0496→0.0980。这是行为良好校准层的预期特征值得明说因为校准是我们的语义区别点。类倾斜不是免费的a4。在饱和CIC上去除倾斜ω使归因提高4.9宏F1——去倾斜在加权交叉熵已推高少数类的区域将少数类推低。在弱分布EMBER上倾斜影响较小。没有免费的类倾斜旋钮其效应依赖部署状态而我们自己的损失设计包含一个默认值对饱和数据集错误的旋钮。我们明说并标记设计修订。Dropout依赖数据集a6。在CIC上零dropout损失−14.7宏F1在EMBER上增益2.7多数类主导且早停调节。没有通用配方逐数据集报告。Unknown是可测量的权衡a5-wide。从EMBER的11路选择中去除训练unknown选项使宏F1提高11.2点10路更平衡。“诚实性”不是免费准确率提供unknown选项是有意花费。表6消融ref对应Small参考运行。运行测试效应AUROCm-F1ECE-chUNSW ref—0.98340.45710.0496UNSW a1无文本分支0.97160.40790.0509UNSW a3无校准0.98340.45710.0980UNSW a4无类倾斜0.98380.45450.0488UNSW a6无dropout0.98390.45070.0451CIC ref—0.99990.88260.0003CIC a3无校准0.99990.88260.0007CIC a4无类倾斜0.99990.93130.0002CIC a6无dropout0.99990.73600.0007EMBER ref—0.99690.75490.0076EMBER a3无校准0.99690.75490.0112EMBER a4无类倾斜0.99690.75060.0061EMBER a5unknown关闭0.99610.86740.0022EMBER a6无dropout0.99660.78210.00815.6 E7——商用System One基线已测量本轮我们运行零样本API比较对照一个公开暴露相同原语名称的商用System One部署单决策模型、有文档的gate/choice/score问题每流一个API请求在馈送我们头的相同冻结特征状态上包含三个原语。样本是UNSW测试集的协议固定分层抽取种子421,000良性1,021攻击流攻击配额按家族成比例下限15。供应商数字在表7门在此分布上处于随机水平AUROC 0.568FPRTPR95 0.932选择归因同样退化在我们的冻结候选集上宏F1 0.069对0.534严重性MAE几乎为我们的3倍。供应商延迟p50 208 ms / p95 591 ms总运行成本约220万输入token按供应商公布费率0.09美元。一个向供应商选择问题添加显式unknown选项的消融——在全部2,021行样本上重跑使比较配对相同行唯一差异是额外选项——画面不变且略有退化门AUROC 0.476无选项时0.568宏F1 0.066从0.069供应商仅将0.35%行分配为unknown攻击0.2%良性0.5%。逃生舱可用且未使用差距既非由缺少弃权选项也非由提示敏感性造成而是领域适应——通用三元组零样本不迁移到网络流分布。因此本文定位仍不依赖击败商用模型E7通过测量它关闭后续并作为外部压力测试而非贡献报告。表7E7商用System One基线零样本相同冻结状态和行与我们头相同2,021个分层UNSW测试行。原语/指标供应商我们Gate AUROC0.5680.981Gate FPRTPR950.9320.157Gate ECE150.2650.097Choice macro-F10.0690.534Severity MAE0.8090.3335.7 讨论三条线索将结果绑在一起。1诚实的​​分诊劳动分工。基准可饱和处分层CIC树赢得归因类型化级联除了降低延迟外无所增加部署状态敌对处时间漂移、训练中不存在的攻击家族门/unknown语义在检测稳健性和归因诚实性上挣得其价值即使输掉校准战E3。贡献是类型化决策帮助何处的测量边界而非统一的“我们处处赢”。2诚实性是独立于准确率的轴。第5.2节和EMBER漂移表是本文最清晰的一对一个基准最优系统无unknown选项、准确操作阈值最大化宏F1同时错误归因85%的突变家族诚实优先系统在choice指标上放弃11个宏F1点并将突变吸收到诚实弃权。这些是漂移下的不同产品仅宏F1列无法区分它们。3饱和是部署状态不是基准属性。同一数据集CIDS2017在分层划分下产生饱和基准在按天划分下产生困难非饱和基准在排序和校准上都是如此。任何报告IDS2017分层“F1 0.94”的论文都在测量模型拟合重复捕获伪影单调流的能力论文应同时报告按天数字我们两者都做。6 局限• 严重性评分由评分标准推导非人工标注Score头的真实值是文档化的家族→级别映射因此跨级别主张是benign/low/high/critical之上的近似。• 基准数据已审计第4节LOAO测量跨基准家族的泛化而非对真实世界新攻击的稳健性对E2的诚实解读是“门比选择头在这些家族上泛化更多”——不是“我们检测零日”。• 四个主表外的单种子运行。四个主表运行UNSW Small、CIC strat-Small、CIC by-day、EMBER temporal用种子{42,43,44}重跑种子42重跑将官方数字复现到小数点后第四位可复现性确认排序指标移动≤0.02点CIC上多类宏F1携带真实散布分层0.83±0.07按天0.34±0.09——漂移不稳定性而非实现非确定性。其余表逐家族LOAO、消融、E4延迟、E5级联仍为单种子运行依赖5点差异的结论对此稳健但CIC strat上的小头对头差异参见第5.5节a2/a4应读作噪声边缘。• 第一阶段是参考实现Suricata ET Open 8条结构规则不是我们的C引擎第5.4节主张关于架构重建意味着载荷内容规则按构造处于下界。“组合级联”结果是在独立性假设下的有文档两样本估计对全家族不可见情形精确在第一阶段恰在最隐蔽子集失败处乐观我们将其陈述为估计其所依赖的每日F1/灰区表是真实测量。• 漂移下校准时间CIC上ECE 0.40已测量现在也由按窗口前向重校准实验审计E8附录A使用延迟一天标签门重校准温度或2参数Platt恢复部分损失困难日Brier 0.539→0.504但预言机界显示上限是判别力而非校准——即使在该日自身标签上拟合校准门ECE仍为0.445日AUROC 0.56。因此按窗口重校准是廉价的部分修复。其规定的替代方案也已测量E9附录A用延迟的第1天标签进行一到两遍按窗口继续训练将第2天门AUROC恢复到0.80–0.84四遍回归到0.76并且随着排序恢复重校准上限从ECE 0.445崩塌到0.10–0.12——但按运行第2天ECE仍为0.554且没有延迟标签拟合能恢复新一天的组成先验这落在第5.2节的弃权/覆盖语义上而非任何后处理映射。• 共形包装器有范围未承诺且现已审计。精确无分布覆盖仅在可交换性下适用在官方UNSW划分和分层CIC上split-conformal覆盖精确[29, 35]在每个时间划分上家族组成漂移真实且已测量覆盖退化速率由校准–测试全变差差距界定[4]。域分类器仅从下方证明该差距d_TV ≥ 1 − 2BER附录A——因此我们报告带精确二项区间的经验每周覆盖及加权变体[35]不作无分布覆盖承诺测量的EMBER审计在附录A所有十二个测试周二元集覆盖在[0.895, 0.935]内认证漂移d_TV ≥ 0.15–0.24。• 每百万成本尚未从真实计费数据测量我们主张的数字是延迟不是成本。• 文本字段攻击面通过user_agent、URI的间接提示注入真实存在[12]V0.1没有净化层我们的文本分支词汇查找有界135槽词汇而非自由max-k只是部分缓解。• 供应商API基线是单点压力测试第5.6节我们在一个分布密集UNSW流上零样本测量一个商用System One部署而非跨商用决策模型、提示变体或分布的穷尽比较。诚实解读是“通用三元组零样本不微调不迁移到此领域”而非“供应商不能微调到此领域”。7 结论我们构建、训练、校准并压力测试了用于边界分诊的类型化决策引擎——System One原语三元组的首个已发表实例化和公开数据评估——并报告其优势边界而非统一胜利未知家族和漂移下的检测稳健性与归因诚实性、实时签名引擎的可测量灰区以及四个清晰测量的负结果漂移下校准崩溃、不可移植弃权阈值、状态依赖类倾斜、unknown选项准确率成本。六个 former next steps 已被测量供应商API比较第5.6节——商用原语三元组零样本在网络流上处于门随机水平显式弃权选项不足以弥合领域差距、弃权阈值扫描第5.2节图1——在饱和部署上没有弃权阈值恢复诚实性因此选择性行为必须用数据和重校准购买而非后处理、四个主表的3种子重跑排序指标种子方差≤0.02点第6节以及漂移下按窗口前向重校准E8附录A——廉价部分修复其预言机界显示困难日上限是判别力而非校准、其规定的替代方案按窗口再训练E9附录A——用延迟第1天标签一到两遍将第2天门AUROC 0.56→0.84并重新启用预言机重校准而四遍回归且按运行ECE未动权重新鲜度买判别力不买校准、以及级联自身门控的风险–覆盖曲线第5.4节——载荷盲流量上固定风险覆盖完全由第二阶段提供仅良性日是零点无操作点存在小攻击日是第一阶段假旗使门本身付出代价之处。剩余下一步是包含载荷的第一阶段测量以替代下界级联估计。所有代码、配置、测试和测量结果随论文提供。