💻 computer science

Self-Adaptive Multi-Agent LLM-Based Security Pattern Selection for IoT Systems

Dieser Beitrag stellt ASPO vor, ein selbstadaptives Multi-Agenten-Framework, das auf LLM basierendes Schließen mit deterministischer Optimierung kombiniert, um konfliktfreie und ressourcengerechte Sicherheitsminderungs-Muster für IoT-Edge-Systeme auszuwählen und auszuführen, wodurch signifikante Reduktionen der Tail-Latenz und des Energieaufwands bei gleichzeitiger Gewährleistung von Sicherheitseigenschaften erreicht werden.

Ursprüngliche Autoren: Saeid Jamshidi, Foutse Khomh, Carol Fung, Kawser Wazed Nafi

Veröffentlicht 2026-05-04

📖 5 Min. Lesezeit🧠 Tiefgang

CC BY 4.0

Ursprüngliche Autoren: Saeid Jamshidi, Foutse Khomh, Carol Fung, Kawser Wazed Nafi

Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen

Stellen Sie sich das intelligente Sicherheitssystem Ihres Zuhauses als einen belebten Fluglotsenturm vor. Seine Aufgabe besteht darin, Probleme zu erkennen (wie einen Hacker, der einzudringen versucht) und sofort zu entscheiden, welche Gegenmaßnahmen einzuleiten sind: vielleicht eine Tür verriegeln, ein Scheinwerfer einschalten oder die Polizei rufen.

In der Vergangenheit waren diese Systeme wie starre Regelbücher: „Wenn Sie eine rote Lampe sehen, verriegeln Sie die Tür." Doch moderne IoT-Systeme (Internet of Things) sind für einfache Regeln zu komplex. Sie müssen schnelle, intelligente Entscheidungen treffen, während sie auf winzigen, batteriebetriebenen Geräten laufen, die keine schweren Arbeitslasten bewältigen können.

Dieser Beitrag stellt ASPO vor, eine neue Methode zur Verwaltung dieser Sicherheitsentscheidungen. Betrachten Sie ASPO als ein High-Tech-Fluglotsenteam, das eine Mischung aus kreativem Brainstorming und strengen, unbrechbaren Sicherheitsgesetzen nutzt.

Hier ist die Funktionsweise, aufgeteilt in einfache Teile:

1. Das Problem: Zu viele Optionen, zu wenig Leistung

In einer Smart City oder einem Zuhause mit hunderten von Geräten könnte ein Sicherheitssystem über 10 verschiedene „Werkzeuge" verfügen, um einen Angriff zu stoppen (wie eine Firewall, eine Passwortverriegelung oder ein Verkehrsfilter).

Der alte Weg: Systeme versuchten, das beste Werkzeug durch Versuch und Irrtum zu erlernen (wie ein Schüler, der bei einem Test Antworten rät). Manchmal rieten sie falsch, wählten Werkzeuge, die nicht zusammenarbeiteten, oder versuchten, zu viel Batterie zu verbrauchen, was zum Absturz des Systems führte.
Das Risiko: Wenn das System zwei Werkzeuge auswählt, die sich gegenseitig bekämpfen (wie den Versuch, eine Tür zu verriegeln, während sie gleichzeitig entriegelt wird), könnte das gesamte System versagen.

2. Die Lösung: ASPO (das „Gehirn" und der „Türsteher")

ASPO teilt die Aufgabe in zwei distincte Teams auf, um Sicherheit und Geschwindigkeit zu gewährleisten:

Team A: Das kreative Gehirn (die LLM-Agenten)
Stellen Sie sich eine Gruppe sehr intelligenter, kreativer Berater vor. Sie betrachten die aktuelle Situation (z. B. „Wir werden von einer Flut gefälschten Datenverkehrs angegriffen") und brainstormen eine Liste möglicher Lösungen. Sie sind schnell und flexibel, können aber etwas „träumerisch" sein – manchmal schlagen sie Ideen vor, die unmöglich umsetzbar sind oder sich gegenseitig widersprechen.
- Analogie: Sie sind wie ein Koch, der eine Speisekarte mit köstlichen, aber potenziell unvereinbaren Gerichten vorschlägt.
Team B: Der strenge Türsteher (der deterministische Kern)
Dies ist der hartgesottene Sicherheitsbeamte, der an der Tür steht. Seine einzige Aufgabe besteht darin, die Speisekarte des Kochs gegen ein strenges Regelbuch zu prüfen. Er fragt:
1. „Haben wir genug Batterie dafür?"
2. „Bekämpfen sich diese beiden Werkzeuge gegenseitig?"
3. „Steht dieses Werkzeug überhaupt auf unserer genehmigten Liste?"
  Wenn die Antwort auf eine dieser Fragen „Nein" lautet, wirft der Türsteher den Plan in den Müll. Er lässt nur Pläne durch, die zu 100 % sicher, machbar und konfliktfrei sind.
- Analogie: Der Türsteher stellt sicher, dass der Koch kein Mahl serviert, das die Gäste vergiften oder die Küche in Brand setzen würde.

3. Die „Closed-World"-Regelbuch

ASPO lässt das „Gehirn" nicht zu, neue Werkzeuge im laufenden Betrieb zu erfinden. Es verfügt nur über eine spezifische, vorab genehmigte Liste von 10 Sicherheitswerkzeugen (wie „Whitelist", „Blacklist" oder „Sichere Protokollierung").

Warum? Dies ist wie ein Pilot, der ein Flugzeug fliegt. Er kann komplexe Entscheidungen treffen, darf aber nur die Tasten und Schalter verwenden, die tatsächlich im Cockpit existieren. Er kann keine neue Taste erfinden, die es nicht gibt. Dies garantiert, dass alles, was das System zu tun beschließt, auch physisch ausführbar ist.

4. Was geschah in den Experimenten?

Die Forscher testeten ASPO in einem simulierten Netzwerk aus 10 kleinen Computern (wie Raspberry Pis), die als Sicherheitsgateways fungierten. Sie spielten Tausende von realen Cyberangriffen ab, um zu sehen, wie das System unter Druck reagierte.

Der „Sicherheits-Trichter": Das System war sehr wählerisch. Von 1.000 Versuchen, einen Sicherheitsplan auszuwählen, schlug das „Gehirn" viele Ideen vor, aber der „Türsteher" wies 99,5 % davon zurück, weil sie unsicher oder zu teuer waren. Nur der winzige Bruchteil perfekter Pläne durfte ausgeführt werden.
Das Ergebnis: Obwohl das System sehr streng war, verlangsamte es sich nicht. Tatsächlich wurde das System durch das frühzeitige Filtern schlechter Ideen stabiler.
- Tail-Latenz: Die „Worst-Case"-Verzögerungen (die Zeiten, in denen das System hängen blieb) sanken um 21,9 %.
- Energie: Der „Worst-Case"-Batterieverbrauch sank um 23,1 %.
- Sicherheit: Es gab null Konflikte. Das System versuchte niemals, zwei Werkzeuge gleichzeitig auszuführen, die sich gegenseitig bekämpften.

5. Die große Erkenntnis

ASPO beweist, dass man ein Sicherheitssystem haben kann, das sowohl intelligent (unter Verwendung von KI zum Verständnis komplexer Bedrohungen) als auch sicher (unter Verwendung harter Regeln zur Verhinderung von Fehlern) ist.

Anstatt einer KI zu erlauben, sich durch eine Krise zu raten, lässt ASPO die KI Ideen ausdenken, erzwingt jedoch einen strengen, mathematischen Check, bevor etwas tatsächlich passiert. Dies stellt sicher, dass selbst wenn die KI bei ihrem Denken einen Fehler macht, die physischen Aktionen des Systems sicher, schnell und zuverlässig bleiben, selbst auf kleinen, batteriebetriebenen Geräten.

Kurz gesagt: Es ist der Unterschied zwischen einer chaotischen Brainstorming-Sitzung und einem gut einstudierten Theaterstück, bei dem der Regisseur (der Türsteher) sicherstellt, dass niemand seine Zeilen vergisst oder das Bühnenbild bricht, bevor der Vorhang aufgeht.

1. Problemstellung

Die rasche Expansion von Internet-of-Things (IoT)-Systemen hat die Sicherheitsdurchsetzung zu ressourcenbeschränkten Edge-Gateways verlagert. Während sich bestehende Ansätze auf die Angriffserkennung konzentrieren, liegt die kritische Herausforderung in der Auswahl von Laufzeit-Mitigationen: zu entscheiden, welche Sicherheitskontrollen aktiviert, wie sie kombiniert und in welcher Reihenfolge sie angewendet werden, unter strikter Einhaltung von Einschränkungen hinsichtlich Latenz, Energie, Speicher und CPU.

Aktuelle Lösungen leiden unter einer strukturellen Inkompatibilität:

Deep Reinforcement Learning (DRL): Bietet Anpassungsfähigkeit, fehlt jedoch an expliziter Reasoning-Fähigkeit und kann konfliktfreie oder ressourcenmachbare Ausführungen nicht garantieren (Sicherheit ist nur implizit in Belohnungen kodiert).
Optimierungsbasierte Methoden: Erzwingen Einschränkungen, fehlen jedoch die kontextuelle Reasoning-Fähigkeit, um komplexe, sich entwickelnde Bedrohungsszenarien zu bewältigen.
Large Language Models (LLMs): Bieten leistungsstarkes Reasoning und Multi-Agent-Workflows, produzieren jedoch stochastische Ausgaben, die ohne strikte Kontrolle unumsetzbar, unsicher sein oder Ressourcenbudgets verletzen können.

Es fehlt ein einheitlicher Laufzeitmechanismus, der kontextbewusstes agentisches Reasoning mit deterministischer Durchsetzung kombiniert, um sicherzustellen, dass ausgewählte Sicherheitsportfolios unter Edge-Bedingungen stets sicher, machbar und ausführbar sind.

2. Methodik: Das ASPO-Framework

Die Autoren schlagen ASPO vor, ein selbstadaptives Multi-Agent-System, das auf der MAPE-K-Autonomie-Regelschleife (Monitor, Analyze, Plan, Execute, Knowledge) basiert. Die Kerninnovation ist die explizite Trennung von stochastischer Deliberation und deterministischer Durchsetzung.

A. Architektur und Workflow

Monitor & Analyze:
- Sammelt Roh-Telemetrie (Verkehrsmerkmale, Ressourcenindikatoren) vom Edge-Gateway.
- Verwendet einen deterministischen Encoder, um einen strukturierten, begrenzten Kontext ( $S_t$ ) zu konstruieren, der Bedrohungsklasse, Schweregrad, Konfidenz und verfügbare Ressourcenbudgets umfasst.
Plan (Hybrider stochastisch-deterministischer Kern):
- Agentische Deliberation (Stochastisch): Ein Multi-Agent-LLM-System (Context-, Reasoner-, Constraint-, Planner- und Audit-Agenten) schlägt Kandidaten für Mitigationsportfolios basierend auf dem strukturierten Kontext vor. Diese Agenten operieren innerhalb eines schemabeschränkten JSON-Formats, bleiben jedoch stochastisch.
- Deterministische Durchsetzung (Harte Einschränkungen): Ein lokaler, deterministischer Optimierungskern nimmt die Kandidaten des LLM entgegen und wendet harte Einschränkungen an:
  - Closed-World-Mitgliedschaft: Nur Muster aus einem vordefinierten Katalog (z. B. Whitelist, Segmentierung, Secure Fog) sind erlaubt.
  - Konfliktfreie Zusammensetzung: Stellt sicher, dass keine sich gegenseitig ausschließenden Muster gleichzeitig ausgewählt werden, mittels einer Konfliktmatrix.
  - Ressourcen-Machbarkeit: Verifiziert, dass die kombinierten Kosten (CPU, Speicher, Latenz, Energie) innerhalb des aktuellen Budgets liegen.
  - Ausführungsreihenfolge: Bestimmt eine gültige Aktivierungssequenz mittels topologischer Sortierung basierend auf Präzedenzregeln.
Execute:
- Aktiviert das validierte Portfolio. Wenn das deterministische Gate den Vorschlag des LLM ablehnt (aufgrund von Konflikten oder Ressourcenverletzungen), wird stattdessen eine leichte „Fail-Safe"-Basisrichtlinie aktiviert.
Knowledge:
- Verwahrt einen Closed-World-Katalog mit 10 spezifischen Sicherheitsmustern, jeweils mit definierten Kosten, Fähigkeiten und Interaktionsregeln.

B. Bedrohungsmodell

Das System geht davon aus, dass ein Angreifer Telemetrie- und Kontexteingaben manipulieren kann (z. B. durch Prompt-Injection oder Kontextvergiftung), um das Reasoning des LLM zu verzerren. Da die finale Aktuation jedoch ausschließlich durch den deterministischen Optimierungskern gegen einen festen Katalog und harte Einschränkungen bestimmt wird, garantiert das System, dass selbst bei Manipulation der Reasoning-Phase die ausgeführten Aktionen sicher und machbar bleiben.

3. Hauptbeiträge

Hybrides agentisch-deterministisches Paradigma: ASPO geht über reines Policy-Learning hinaus, indem es Multi-Agent-LLM-Reasoning mit einem deterministischen Validierungskern integriert. Dies ermöglicht komplexe Entscheidungsfindung, verhindert gleichzeitig aber unsichere oder nicht machbare Aktionen zur Laufzeit.
Deterministische Durchsetzung der Sicherheitszusammensetzung: Die Autoren formulieren die Auswahl von Mitigationen als Closed-World-Optimierungsproblem um. Sie garantieren konfliktfreie Zusammensetzung und Einhaltung von Latenz-/Energiebudgets als harte Einschränkungen zu jedem Entscheidungszeitpunkt, anstatt als weiche Strafen.
Operative Validierung auf Edge-Testumgebungen: Das System wurde auf einer verteilten Edge-Gateway-Testumgebung (10 Raspberry Pi 4-Knoten) implementiert und unter Verwendung des Bot-IoT-Datensatzes mit wiedergegebener Angriffsverkehr (500 und 1000 Entscheidungszyklen) evaluiert.

4. Experimentelle Ergebnisse

Die Evaluation zeigte, dass ASPO invariante Sicherheitseigenschaften und verbesserte Effizienz unter Lastskalierung erreicht:

Sicherheitsdurchsetzung: Das deterministische Gate fungiert als strikter Filter. Bei der 1000-Lauf-Last wurden 99,5 % der vom LLM generierten Kandidatenpläne aufgrund von Einschränkungsverletzungen (Konflikte, Ressourcenlimits oder Reihenfolgeprobleme) abgelehnt, sodass nur ein kleiner, verifizierter Satz zur Ausführung übrig blieb. Dies bestätigt, dass das System Sicherheit vor Aktivierungshäufigkeit priorisiert.
Stabilität und Konsistenz:
- Pattern-Ranking: Die Auswahl der Sicherheitsmuster blieb über alle Lasten hinweg perfekt stabil (Spearman-Rangkorrelation = 1,0), was auf keine Drift in der Entscheidungslogik hindeutet.
- Gate-Audit-Übereinstimmung: Es bestand eine 100%ige Übereinstimmung zwischen dem deterministischen Gate und dem Audit-Agenten bei genehmigten Plänen.
Edge-Effizienz (Tail-Latenz und Energie):
- Die Erhöhung der Entscheidungstiefe (von 500 auf 1000 Läufe) erhöhte die mediane Latenz oder den Energieverbrauch nicht.
- Entscheidend reduzierte sie jedoch die Extremfall-Kosten erheblich:
  - P99-Latenz sank um 21,9 % (von 36,0 s auf 28,1 s).
  - P99-Energie sank um 23,1 % (von 216 J auf 166 J).
- Dies deutet darauf hin, dass eine tiefere Exploration dem System erlaubt, „Tail"-Ineffizienzen herauszufiltern, was zu vorhersagbarerer Leistung führt.
Robustheit: Das System behielt ein konsistentes Verhalten über verschiedene Bedrohungstypen (DDoS, DoS, Botnet usw.) bei und zeigte keine statistisch signifikante Verzerrung zugunsten spezifischer Angriffsarten.

5. Bedeutung

Diese Arbeit schließt eine kritische Lücke in der autonomen Cybersicherheit für IoT. Sie zeigt, dass LLMs sicher in sicherheitskritischen, ressourcenbeschränkten Umgebungen eingesetzt werden können, wenn ihre stochastische Natur innerhalb eines rigorosen, deterministischen Regelkreises enthalten ist.

Wandel vom Policy-Learning zur Deliberation: ASPO neu definiert die Laufzeitverteidigung vom Erlernen einer Policy hin zur Durchführung einer begrenzten, überprüfbaren Deliberation.
Vorhersagbarkeit: Durch die Erzwingung harter Einschränkungen stellt ASPO sicher, dass Edge-Gateways nicht aufgrund von Ressourcenerschöpfung abstürzen oder unresponsiv werden, ein häufiger Ausfallmodus in adaptiven KI-Systemen.
Praktische Bereitstellung: Die Ergebnisse beweisen, dass komplexe Multi-Agent-Reasoning in Edge-Geräte integriert werden kann, ohne die strengen Sicherheits- und Machbarkeitsgarantien zu opfern, die für reale IoT-Sicherheit erforderlich sind.

Zusammenfassend bietet ASPO einen Bauplan für vertrauenswürdige autonome Verteidigung und zeigt, dass die Kombination der Reasoning-Kraft von LLMs mit der Strenge deterministischer Optimierung Systeme hervorbringt, die sowohl anpassungsfähig als auch sicher sind.