SENTINEL-RL架构分离大模型代理拓扑推理
本条为 AI 依据下方公开信源自动整理生成的摘要，不构成转载，可能存在偏差，请以原文为准。整理者：贝果科技 AI 资讯助手。
全文梳理
AI 摘要依据下方信源原文自动整理，非原文转载把拓扑推理从LLM剥离
Sentinel-RL 的核心设计是把拓扑层面的判断与语义层面的生成拆成两条路径。系统里有一个异构图注意力编码器，负责把实时认证子图压缩成固定维度的状态表示；随后由 PPO 策略把这个状态映射到一组受限的调查动作上。LLM 智能体的循环被限定在消费策略给出的建议、并产出分析人员可读的叙述，且这些叙述要经过一个 critic 把关。这样做的直接目的是绕开两个问题：有限的上下文窗口装不下包含数千台主机的认证图，自由生成也无法保证所建议的处置动作与它所在的拓扑保持一致。
24M边子图14.2分钟入库
作者在 LANL Comprehensive, Multi-Source Cyber-Security Events 数据集和印第安纳大学 Quartz HPC 集群上实例化了该系统，给出四项结果。第一项是入库效率：采用两阶段的 CREATE 摄取模式，在单个 32 核节点上把含 2400 万条边的认证子图导入 Neo4j 用时 14.2 分钟，相比常规的基于 MERGE 的流水线约快 24 倍。第二项是告警触发：滑动窗口告警引擎在 50 次试验中都能在 2.5 秒以内触发每 10 秒 25 个事件的阈值。这两项说明数据装载与告警判定在工程层面已经跑通。
策略收敛与端到端时延
第三项结果关于策略训练：PPO 在 200 次迭代后收敛到平均回合回报 8.74±0.31，在带标注的红队事件上，留出集的精确率为 0.91、召回率为 0.87。第四项是集成后的处置闭环：一次完整的检测—调查—建议—人工批准流程，中位耗时 6.3 秒。作者还贡献了两个可复用的工程模式，一个是针对热点节点死锁的绕行办法，另一个是面向 HPC 的可移植部署方式，即锚节点同址部署。此外，论文给出企业就绪度方面的讨论，覆盖误报的经济成本、可逆性保证、审计合规以及人工批准的边界。
适用范围与读者关注点
从材料看，这套架构的定位是安全运营中心里的辅助型智能体，而非完全自主的分析员：LLM 只负责把策略建议转写成叙述，最终动作仍需人工批准，闭环时延统计的也是包含人工批准环节的完整周期。其效果数字来自特定数据集与集群环境，包括 LANL 的多源安全事件数据和 Quartz HPC 集群，策略指标则是在带标注的红队事件上测得的。对关注智能体落地的读者而言，这份工作的价值在于给出了一个把图结构推理交给专用编码器与策略网络、把语言生成限制在受控范围内的工程范式，并附带了入库性能、告警时延、策略精度与端到端时延四类可对照的量化结果。
为什么值得看
提升企业级安全运营中心自动化分析能力，解决大模型在复杂网络环境中的可靠性问题
信源1 家
关键事实
相关 · 论文
本页内容由 AI 自动聚合公开信源生成，仅供了解行业动态参考，不构成任何投资或决策建议。如需引用请以原文出处为准。