KAN-LSTM: Benchmarking Kolmogorov-Arnold Networks for Cyber Security Threat Detection in IoT Networks

1. Planteamiento del Problema

La detección de amenazas cibernéticas en redes IoT y tráfico de red general enfrenta desafíos significativos debido a la naturaleza compleja, desequilibrada y de alta dimensión de los datos.

• Limitaciones de los Modelos Tradicionales: Las Redes de Perceptrones Multicapa (MLP) estándar tienen dificultades para capturar patrones espaciales y dependencias temporales en grandes conjuntos de datos. Aunque las Redes Neuronales Convolucionales (CNN) y las Redes de Memoria a Corto y Largo Plazo (LSTM) han mejorado la extracción de características espaciales y temporales respectivamente, a menudo luchan con la eficiencia de los parámetros y la precisión en la aproximación de funciones no lineales complejas.
• Desequilibrio de Datos: Los conjuntos de datos de ciberseguridad suelen estar fuertemente desequilibrados (muchas más muestras de tráfico normal que de ataques), lo que lleva a modelos con alta precisión general pero baja capacidad de detección de ataques raros (baja recall).
• Necesidad de Nuevos Paradigmas: Existe una falta de evaluación formal sobre la aplicabilidad de las Redes Kolmogorov-Arnold (KANs) en tareas de detección de amenazas, a pesar de su potencial teórico para superar las limitaciones de las MLPs mediante funciones de activación aprendibles.

2. Metodología

El estudio propone una arquitectura híbrida llamada KAN-LSTM y realiza una evaluación comparativa exhaustiva.

• Fundamento Teórico (KANs): A diferencia de las MLPs que utilizan funciones de activación fijas en los nodos, las KANs reemplazan los pesos lineales fijos con funciones univariadas parametrizadas por splines en los bordes de la red. Esto se basa en el Teorema de Representación de Kolmogorov-Arnold, permitiendo que la red aprenda dinámicamente las funciones de activación óptimas.
• Arquitectura Propuesta (KAN-LSTM):
  1. Capas Convolucionales (CNN): Se utilizan dos capas CNN para capturar dependencias de características locales y transformar los datos de entrada 1D en representaciones 2D para un mejor procesamiento espacial.
  2. Codificador LSTM: Una capa LSTM procesa la salida de la CNN para modelar dependencias temporales y secuenciales en el tráfico de red, mitigando el problema de la pérdida de información en secuencias largas.
  3. Capa KAN: La salida de la LSTM se alimenta a una capa KAN (o múltiples capas) para modelar mapeos no lineales de alta dimensión y realizar la clasificación final.
• Conjuntos de Datos: Se evaluaron cuatro escenarios:
  • UNSW-NB15: Tráfico real y simulado con 49 características.
  • NSL-KDD: Versión mejorada de KDD Cup 99, eliminando redundancias.
  • CICIDS2017: Tráfico realista con patrones de ataque modernos (DDoS, fuerza bruta, etc.).
  • Tri-IDS (Nuevo): Un conjunto de datos combinado y escalado creado por los autores, fusionando BOT-IoT, NSL-KDD y CICIDS2017. Este dataset busca ofrecer un benchmark masivo, diverso y menos sesgado para evaluar la robustez del modelo.
• Configuración Experimental: Se compararon las KANs y KAN-LSTM contra modelos base (CNN, LSTM, MLP, ConvKAN) utilizando métricas estándar (Precisión, Recall, F1-Score, Exactitud) en un entorno de hardware uniforme (GPU Quadro GV100).

3. Contribuciones Clave

1. Primera Evaluación de KANs en Ciberseguridad: Este trabajo es pionero en realizar un benchmark sistemático de las redes KAN para la detección de intrusos, demostrando su viabilidad frente a arquitecturas profundas tradicionales.
2. Arquitectura Híbrida KAN-LSTM: Propone una integración novedosa que combina la capacidad de las KANs para la aproximación de funciones no lineales (representación no local) con la capacidad de las LSTM para el modelado temporal, superando las limitaciones de cada modelo por separado.
3. Creación del Dataset Tri-IDS: Desarrollo de un nuevo conjunto de datos unificado y a gran escala para abordar problemas de desequilibrio y diversidad de patrones de tráfico en la investigación de seguridad IoT.
4. Eficiencia de Parámetros: Se demuestra que las KANs pueden lograr mayor precisión con un número significativamente menor de parámetros aprendibles en comparación con las MLPs tradicionales.

4. Resultados

Los experimentos mostraron una superioridad consistente del modelo propuesto en todos los conjuntos de datos:

• Rendimiento General: El modelo KAN-LSTM superó a todos los modelos base (CNN, LSTM, MLP, ConvKAN) en todas las métricas clave.
  • En CICIDS2017, alcanzó una precisión del 99.28% y un F1-score de 99.66, superando al siguiente mejor modelo (ConvKAN) por un margen de ~5%.
  • En UNSW-NB15, logró un 95.89% de precisión, superando a las variantes KAN puras y a las LSTM.
  • En el nuevo dataset Tri-IDS, demostró robustez con un 93.76% de precisión y un 95.85% de precisión (precision), manteniendo un equilibrio superior entre la detección de ataques y la reducción de falsos positivos.
• Manejo del Desequilibrio: Las KANs y, en particular, KAN-LSTM, mostraron una capacidad notable para mejorar la Recall (tasa de detección de ataques) en clases minoritarias, donde los modelos tradicionales (como MLP) a menudo fallaban drásticamente (ej. MLP en NSL-KDD tuvo un 33.33% de recall).
• Visualización: Los gráficos de radar y mapas de calor confirmaron que KAN-LSTM ofrece un rendimiento equilibrado en todas las métricas, evitando las compensaciones negativas (trade-offs) típicas de otros modelos.

5. Significado y Conclusión

El estudio concluye que las Redes Kolmogorov-Arnold (KANs) representan un avance significativo para la detección de amenazas cibernéticas.

• Ventaja Principal: La capacidad de aprender funciones de activación dinámicas permite una aproximación más precisa de las relaciones complejas en el tráfico de red, logrando mayor precisión con menos parámetros.
• Impacto: La arquitectura híbrida KAN-LSTM demuestra ser la candidata más robusta para entornos de red heterogéneos y desequilibrados, ofreciendo una nueva dirección para modelos defensivos adaptativos.
• Desafíos Futuros: A pesar de los resultados prometedores, los autores reconocen que las KANs aún enfrentan desafíos de escalabilidad, procesamiento lento y costos de entrenamiento que requieren investigación futura para su adopción masiva en sistemas de seguridad en tiempo real.

En resumen, este trabajo valida teórica y empíricamente que las KANs, especialmente cuando se combinan con mecanismos de memoria temporal como LSTM, superan a las arquitecturas profundas tradicionales en la tarea crítica de detectar intrusiones en redes IoT y de datos.