新AI框架结合LLM与时间序列模型防范工业网络攻击

背景

随着工业物联网（IIoT）和运营技术（OT）的广泛部署，针对这些系统的网络攻击正日益导致高成本的停机时间和物理损坏。传统的基于规则的监控方法在面对动态、复杂的攻击模式时暴露出明显的局限性，难以有效检测和防御异常行为。近年来，大语言模型（LLM）凭借其强大的语义推理能力，在决策支持领域展现出巨大潜力，但 LLM 固有的幻觉问题（hallucination）使其在闭环控制这类安全性敏感的应用中带来不可接受的风险。如何将 LLM 的语义理解优势与物理世界的确定性约束相结合，成为关键基础设施自主防御领域亟待解决的核心挑战。

核心内容

该论文提出了一种名为 Neuro-Agentic Control（神经-智能体控制）的新型架构，将基于 LLM 的规划器（例如 Gemini 2.5 Flash-Lite）与预训练的时间序列基础模型（Time-Series Foundation Model, TimesFM） 耦合，以实现物理 grounded 的自主防御。该框架的核心创新在于 “反事实物理注入”（Counterfactual Physics Injection） 机制：在 LLM 提出的干预措施实际执行之前，先在该基础模型的数值隐空间中模拟这些干预可能产生的物理影响，从而允许系统拒绝幻觉性的或不安全的动作，确保只有经过物理验证的行动才会被下发。

具体而言，该框架以 Neuro-Agentic Loop（神经-智能体循环）的方式工作：LLM 规划器接收环境状态（如传感器读数、警报信息），生成一个或多个候选控制动作；TimesFM 模型作为“哨兵”（Sentinel），利用其学习到的物理动力学隐式表示，对每个候选动作进行反事实推演，预测其后果；若预测结果超出安全阈值或产生物理上无效的“幻觉”动作，则系统拒绝该动作，否则执行。这一机制将 LLM 的灵活推理能力与基础模型的物理一致性保障相结合。

论文在工业数据集 Secure Water Treatment (SWaT) 上，针对随机攻击场景进行了评估。比较基线包括 LSTM 和 TCN（时间卷积网络）。结果显示，Neuro-Agentic Loop 在阈值以下阻止了 5 次违规（占总攻击的 33.3%），而 LSTM 为 26.7%，TCN 为 13.3%；并且 零次物理无效（幻觉）动作被执行。这些结果证明了使用基础模型作为确定性“哨兵”来保障关键基础设施中智能体 AI 安全性的有效性。

关键要点

• 问题：OT 系统面临持续网络攻击，传统基于规则的方法不足；LLM 虽有语义推理优势但存在幻觉，无法直接用于闭环控制。
• 架构：提出 Neuro-Agentic Control 框架，核心组件为 LLM 规划器（如 Gemini 2.5 Flash-Lite）与预训练时间序列基础模型（TimesFM）的耦合。
• 创新机制：“反事实物理注入” – 在 LLM 动作实际生效前，于 TimesFM 隐空间中模拟其物理影响，以此过滤幻觉和不安全动作。
• 评估：在 SWaT 工业水处理数据集上，针对随机攻击进行测试。Neuro-Agentic Loop 阻止了 33.3% 的阈值违规，优于 LSTM（26.7%）与 TCN（13.3%）。
• 安全性：执行过程中零次物理无效（幻觉）动作出现，表明该框架能有效抑制 LLM 的幻觉输出。
• 角色定义：TimesFM 作为确定性“哨兵”（Sentinel），为 agentic AI 提供物理 grounded 的安全护栏。

意义与影响

该项工作为 LLM 在关键基础设施安全控制中的实际部署提供了可行的技术路径。通过引入反事实物理注入机制，首次实现了在高风险闭环控制场景下同时保留 LLM 的语义推理能力和物理一致性保障。其零幻觉动作执行的结果，直接回应了业界对 LLM 安全性的核心顾虑。此外，该框架将基础模型（TimesFM）作为“哨兵”的设计思想，可能推广至其他需要“AI 驱动决策 + 物理约束校验”的领域，如自动驾驶、机器人规划、能源系统管理等。论文还提示，未来可进一步探索更复杂的场景（如协同攻击）以及将多种基础模型集成到哨兵池中，以提升对抗鲁棒性。总之，这一研究标志着智能体 AI 从“语义理解”向“物理可靠执行”迈出了重要一步。