🤖 AI

Neuro-Agentic Control: A Deep Learning-based LLM-Powered Agentic AI Framework for Controlling Security Controls

Dieses Paper führt ein Neuro-Agentic-Control-Framework ein, das einen LLM-basierten Planer mit einem Zeitreihen-Foundation-Modell und einem Counterfactual-Physics-Injection-Mechanismus kombiniert, um eine sichere, physikbasierte autonome Verteidigung gegen Cyberangriffe in industriellen IoT-Umgebungen zu ermöglichen, wodurch Sicherheitsverletzungen effektiv verhindert und unsichere, halluzinierte Aktionen eliminiert werden.

Ursprüngliche Autoren: Saroj Gopali, Bipin Chhetri, Deepika Giri, Sima Siami-Namini, Akbar Siami Namin

Veröffentlicht 2026-07-13

📖 4 Min. Lesezeit☕ Kaffeepausen-Lektüre

CC BY 4.0

Ursprüngliche Autoren: Saroj Gopali, Bipin Chhetri, Deepika Giri, Sima Siami-Namini, Akbar Siami Namin

Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen

Stellen Sie sich vor, Sie sind der Kapitän einer hochmodernen Wasseraufbereitungsanlage. Ihre Aufgabe ist es, einen riesigen Tank vor dem Überlaufen zu bewahren, was ein gewaltiges Chaos oder sogar physische Schäden verursachen könnte. Normalerweise verlassen Sie sich auf ein strenges Regelbuch: „Wenn das Wasser 800 mm erreicht, öffnen Sie den Abfluss.“ Aber was, wenn ein hinterlistiger Hacker die Sensoren manipuliert und das Wasser schneller steigt, als Ihr Regelbuch es bewältigen kann?

Hier kommt eine neue Idee namens Neuro-Agentic Control ins Spiel. Stellen Sie sich das wie ein superintelligentes Team aus zwei Robotern vor, die zusammenarbeiten, um den Tag zu retten.

Das Dream-Team: Der Architekt und der Wächter

Der erste Roboter heißt Der Architekt. Er wird von einem superintelligenten KI-Gehirn angetrieben (speziell einem Modell namens Gemini 2.5 Flash-Lite). Der Architekt ist großartig darin, die Situation zu lesen und kluge Pläne zu entwerft. Er könnte sagen: „Hey, das Wasser steigt! Lass uns das Ablassventil für 30 Sekunden super schnell öffnen!“

Aber hier ist der Haken: Der Architekt ist ein wenig ein Tagträumer. Manchmal wird er zu kreativ und schlägt Dinge vor, die physisch unmöglich oder gefährlich sind, wie zum Beispiel „Mehr Wasser hinzufügen!“, wenn der Tank bereits voll ist. In der realen Welt, wenn man einen Tagträumer eine Maschine steuern ließe, könnte man in einer Katastrophe enden.

Der zweite Roboter ist Der Wächter (The Sentinel). Dies ist ein ernster, sachlicher Zeitreise-Taschenrechner (angetrieben von einem Modell namens TimesFM). Der Wächter träumt nicht; er sagt voraus. Er weiß genau, wie sich das Wasser basierend auf Physik und Mathematik verhält.

Der magische Trick: „Was wäre wenn?“-Simulationen

Die Genialität dieses Systems liegt darin, wie sie miteinander kommunizieren. Bevor der Plan des Architekten jemals an den echten Tank ausgeführt wird, führt der Wächter eine „Was wäre wenn?“-Simulation durch.

Stellen Sie sich vor, der Architekt schlägt vor: „Lassen Sie 50 mm Wasser pro Sekunde abfließen.“ Der Wächter hält sofort die Zeit an und fragt: „Okay, wenn wir das tun, was passiert mit dem Wasserstand in den nächsten Minuten?“

Wenn der Plan funktioniert: Sieht der Wächter, dass der Wasserstand sicher sinkt. Er gibt ein Daumen hoch, und das echte Ventil öffelt sich.
Wenn es eine Halluzination ist: Wenn der Architekt versehentlich „Wasser hinzufügen“ oder eine Abflussrate vorschlägt, die völlig verrückt ist, sieht der Wächter in der Simulation, wie der Wasserstand in den Himmel schießt. Er zieht sofort die Notbremse, sagt „Nö, das ist eine schlechte Idee“ und wirft den Plan in den Müll.

Dieser Prozess wird Counterfactual Physics Injection genannt. Es ist wie ein Sicherheitsnetz, das den Tagträumer auffängt, bevor er einen Fehler macht.

Hat es tatsächlich funktioniert?

Die Forscher testeten dieses Team an einer digitalen Version einer echten Wasseraufbereitungsanlage namens SWaT. Sie simulierten 15 verschiedene Angriffsszenarien, darunter plötzliche Spitzen im Wasserstand, langsame Lecks und verrauschte, verwirrende Daten.

So schnitt das Team im Vergleich zu den herkömmlichen Robotern (genannt LSTM und TCN) ab:

Die alten Roboter: Der LSTM-Roboter konnte das Überlaufen des Wassers in 4 von 15 Versuchen (etwa 27 %) verhindern. Der TCN-Roboter stoppte es nur in 2 von 15 Versuchen (etwa 13 %).
Das neue Team: Das Neuro-Agentic-Team (Architekt + Wächter) verhinderte das Überlaufen in 5 von 15 Versuchen (33,3 %).

Der wahre Sieg war jedoch nicht nur, dass es mehr Lecks stoppte; es war, dass es niemals einen Fehler gemacht hat. In allen 15 Versuchen hat das System jede einzelne unsichere oder unmögliche Idee abgelehnt, die der Architekt vorgeschlagen hatte. Es hat niemals eine „halluzinierte“ Aktion ausgeführt. Tatsächlich hat das neue Team in einem speziellen Versuch das Risiko um massive 215,38 Einheiten reduziert, was weit besser war, als die alten Roboter es je könnten (die im besten Fall nur etwa 67 Einheiten schafften).

Der Haken: Es dauert einen Moment zum Nachdenken

Es gibt einen kleinen Kompromiss. Da der Wächter diese „Was wäre wenn?“-Simulationen durchführen muss, um sicherzustellen, dass der Plan sicher ist, dauert der gesamte Prozess etwas länger. Das System benötigt etwa 1,5 bis 2,5 Sekunden, um eine Entscheidung zu treffen.

Für einen Wassertank ist das schnell genug. Aber für einen Roboterarm, der sich mit Lichtgeschwindigkeit bewegt, könnte das zu langsam sein. Die Autoren schlagen vor, dass dies ein guter Deal für die Sicherheit ist, geben aber zu, dass sie es für andere Arten von Maschinen in der Zukunft schneller machen müssen.

Das Fazngfazit

Dieses Paper zeigt, dass wir superintelligente, kreative KI zur Steuerung gefährlicher Maschinen verwenden können, solange wir sie mit einem strengen, physikwissenden Aufpasser paaren. Der „Architekt“ liefert die Ideen, und der „Wächter“ prüft die Mathematik, um sicherzustellen, dass sie die Anlage nicht zur Explosion bringen. In diesen Simulationen war dieses Team besser darin, Katastrophen zu verhindern, und sicherer als die traditionellen Methoden, was beweist, dass ein wenig „Tagträumen“ in Ordnung ist, solange ein ernsthafter Freund da ist, der einen auf dem Boden hält.

Technisches Resümee: Neuro-Agentisches Kontroll-Framework für industrielle IoT-Sicherheit

1. Problemstellung

Cyberangriffe auf Operational Technology (OT) und industrielle Internet der Dinge (IIoT)-Systeme verursachen zunehmend erhebliche finanzielle Verluste und physische Sicherheitsrisiken. Traditionelle regelbasierte Überwachung ist für die komplexen, dichten Umgebungen moderner industrieller Anwendungen unzureichend. Während Large Language Models (LLMs) über leistungsstarke semantische Denkfähigkeiten zur Entscheidungsunterstützung verfügen, stellt ihre Tendenz zu „Halluzinationen“ (das Erzeugen faktisch falscher oder physikalisch unmöglicher Ausgaben) ein inakzeptables Sicherheitsrisiko für geschlossene Regelkreise dar. Umgekehrt fehlt es bestehenden Zeitreihenprognosemodellen oft an der semantischen Argumentationsfähigkeit, die zur Formulierung komplexer Gegenstrategien erforderlich ist. Es besteht ein kritischer Bedarf an einem Framework, das die Denkfähigkeit von LLMs nutzt und gleichzeitig deren Handlungen strikt in der physikalischen Realität verankert, um katastrophale Ausfälle in Cyber-Physischen Systemen (CPS) zu verhindern.

2. Methodik

Das Paper schlägt ein Neuro-Agentisches Kontroll-Framework vor, eine zweistufige Architektur, die semantische Argumentation von der physischen Kontrolle entkoppelt. Das System operiert als geschlossener Regelkreis, bestehend aus zwei primären Agenten:

Der Architekt (LLM-Planer): Unter Verwendung von Gemini 2.5 Flash-Lite fungiert dieser Agent als semantischer Denker. Er erhält kontextuelle Daten (Sensortrends, vorhergesagte Zeit bis zum Ausfall und Betriebshandbücher via Retrieval-Augmented Generation) und generiert Kandidat-Kontrollstrategien. Diese Strategien werden als strukturierte JSON-Objekte ausgegeben, die einen Aktionstyp, eine Magnitude (z. B. Entleerungsrate) und eine Dauer definieren.
Der Sentinel (Physik-Engine): Unter Verwendung von TimesFM (einem vortrainierten Zeitreihen-Foundation-Modell) dient dieser Agent als deterministischer physikalischer Grundwahrheitswert (Ground-Truth). Er aktualisiert seine internen Gewichte nicht, sondern nutzt sein vortrainiertes Wissen über temporale Dynamiken, um zukünftige Systemzustände zu prognostizieren.

Kernmechanismus: Counterfactual Physics Injection

Die zentrale Innovation ist der Mechanismus der Counterfactual Physics Injection. Da das LLM die Gewichte des Foundation-Modells nicht direkt modifizieren kann, übersetzt das Framework die semantischen Befehle des LLM in numerische Perturbationen innerhalb der prognostizierten Zeitreihe.

Das System simuliert die Auswirkung einer vom LLM vorgeschlagenen Aktion (z. B. das Öffnen eines Ablassventils), indem es eine kumulative lineare Injektion auf den Prognosehorizont anwendet.
Für eine Entleerungsrate $\mu$ $μ$ und eine Dauer $\delta$ $δ$ wird die modifizierte Prognose $\hat{y}'_t$ $\overset{y}{^}_{t}^{'}$ wie folgt berechnet:
- $\hat{y}'_t = \hat{y}_t + \mu \cdot (t + 1)$ für $t < \delta$ (kumulativer Entleerungseffekt).
- $\hat{y}'_t = \hat{y}_t + \mu \cdot \delta$ für $t \geq \delta$ (Aufrechterhaltung des endgültigen Entleerungsniveaus).
Dies ermöglicht dem Sentinel, das physikalische Ergebnis einer vorgeschlagenen Aktion vorherzusagen, bevor diese ausgeführt wird.

Halluzinations-Ablehnungsstrategie

Das Framework verwendet einen deterministischen Hallucination Rejection-Algorithmus. Bevor eine Aktion ausgeführt wird, simuliert der Sentinel das Ergebnis jeder vom Architekten vorgeschlagenen Kandidat-Strategie.

Sicherheitsverifizierung: Wenn eine simulierte Aktion zu einem Zustand führt, der schlechter als der Basiswert ist (z. B. eine positive Magnitude „Füll“-Aktion während eines Überlauf-Szenarios, oder eine Aktion, die es versäumt, den Pegel unter den kritischen Schwellenwert zu senken), wird sie abgelehnt.
Optimierung: Das System wählt die optimale Aktion $a^*$ , welche das projizierte Risiko (maximaler Spitzenpegel) über alle validen Kandidaten hinweg minimiert. Wenn alle Kandidaten unsicher oder ineffektiv sind, wechselt das System in einen „Monitor“-Zustand.

3. Wichtigste Beiträge

Neuartige Architektur: Ein neuro-agentisches Kontroll-Framework, das semantische Argumentation (LLM) explizit von der physischen Kontrolle (Foundation Model) für IoT-Systeme trennt.
Counterfactual Physics Injection: Ein Mechanismus zur Übersetzung semantischer Steuerbefehle in numerische Perturbationen zukünftiger Prognosen, was eine deterministische Validierung ohne Feinabstimmung des Foundation-Modells ermöglicht.
Deterministische Ablehnungsstrategie: Eine Sicherheitsebene basierend auf Worst-Case-Risikominimierung, die unsichere, physikalisch ungültige oder halluzinierte LLM-Vorschläge automatisch ablehnt.
Empirische Validierung: Demonstration der Wirksamkeit des Frameworks am SWaT-Datensatz (Secure Water Treatment), welches eine überlegene Prävention von Sicherheitsverletzungen gegenüber traditionellen Deep-Learning-Baselines zeigt.

4. Experimentelle Ergebnisse

Das Framework wurde auf dem SWaT-Datensatz (Secure Water Treatment) unter 15 stochastischen Angriffsszenarien evaluiert, die drei Arten von Angriffen umfassen: Plötzlicher Anstieg (Sudden Spike), Gradueller Drift (Gradual Drift) und Hohes Rauschen (High Noise). Die Leistung wurde mit LSTM und Temporal Convolutional Network (TCN) Baselines verglichen.

Prävention von Sicherheitsverletzungen:
- Neuro-Agentic: Verhindert Sicherheitsverletzungen in 5 von 15 Versuchen (33,3 %).
- LSTM: Verhindert Sicherheitsverletzungen in 4 von 15 Versuchen (26,7 %).
- TCN: Verhindert Sicherheitsverletzungen in 2 von 15 Versuchen (13,3 %).
Risikoreduktion:
- Das Neuro-Agentic-Framework erreichte eine mittlere Risikoreduktion von 48,51 Einheiten und übertraf damit signifikant LSTM (16,77 Einheiten) und TCN (20,29 Einheiten).
- Im erfolgreichsten Versuch (Versuch 10) reduzierte das Framework den Risikemaximalwert um 215,38 Einheiten, was mehr als das Dreifache der maximalen Reduktion der LSTM-Baseline ist.
Sicherheit und Halluzination:
- Entscheidend ist, dass das Neuro-Agentic-System null halluzinierte oder physikalisch ungültige Aktionen ausführte. Der Sentinel filterte alle unsicheren Vorschläge (z. B. positive Magnitude-Aktionen während eines Überlaufs) erfolgreich heraus, bevor sie angewendet wurden.
- Im Gegensatz dazu scheiterten die Baselines entweder an der Verhinderung von Sicherheitsverletzungen, oder im Falle des Neuro-Agentic-Systems stellte der Ablehnungsmechanismus sicher, dass niemals „halluzinierte“ Strategien auf das System angewendet wurden.

5. Bedeutung und Ansprüche

Das Paper behauptet, dass der Neuro-Agentic Loop erfolgreich die Lücke zwischen der hochgradigen Argumentationsfähigkeit von Generativer KI und den strengen Sicherheitsanforderungen der industriellen Steuerung schließt. Durch die Nutzung eines Zeitreihen-Foundation-Modells als „Sentinel“ bietet das System ein physikalisches, fundiertes Weltmodell, das LLM-Entscheidungen deterministisch validiert.

Sicherheitsgewährleistung: Das Framework transformiert LLMs von opaken, probabilistischen Prädiktoren in erklärbare, sicherheitsbeschränkte Planer. Es stellt sicher, dass keine halluzinierten Steuerungsaktionen ausgeführt werden, und adressiert damit eine primäre Barriere für den Einsatz von LLMs in sicherheitskritischen CPS.
Leistung: Das System zeigt, dass die Kopplung eines LLM mit einem Foundation-Modell eine bessere Prävention von Sicherheitsverletzungen und eine höhere Risikoreduktion liefert als traditionelle Deep-Learning-Modelle, insbesondere in Szenarien, die schnelles, entschlossenes Eingreifen erfordern (z. B. plötzliche Spitzenwerte).
Trade-offs: Die Autoren räumen ein, dass dieser Ansatz eine Inferenzlatenz von 1,5 bis 2,5 Sekunden pro Kontrollzyklus einführt (aufgrund der LLM-Generierung und der Counterfactual-Simulation), was höher ist als bei traditionellen PID-Reglern, aber innerhalb der Betriebskonstanten der meisten chemischen und fluiden Prozesse liegt.

Das Paper schließt mit der Feststellung, dass diese Architektur einen gangbaren Weg zur autonomen, sicheren industriellen Verteidigung bietet, sofern die Latenz kontrolliert und das System über diverse Umgebungen hinweg validiert wird. Zukünftige Arbeiten schlagen vor, die Inferenzlatenz durch Modellquantisierung zu optimieren und die Robustheit gegenüber adversariellen Angriffen zu testen, die auf den Prognosehorizont des Foundation-Modells abzielen.