💻 computer science

Unknown Attack Detection in IoT Networks using Large Language Models: A Robust, Data-efficient Approach

Il paper propone SiamXBERT, un framework di meta-apprendimento Siamese basato su modelli linguistici transformer che, integrando rappresentazioni duali del traffico e richiedendo pochi dati etichettati, supera le tecniche esistenti nel rilevamento robusto ed efficiente di attacchi sconosciuti nelle reti IoT.

Autori originali: Shan Ali, Feifei Niu, Paria Shirani, Lionel C. Briand

Pubblicato 2026-02-13

📖 4 min di lettura☕ Lettura da pausa caffè

CC BY 4.0

Autori originali: Shan Ali, Feifei Niu, Paria Shirani, Lionel C. Briand

Articolo originale sotto licenza CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Questa è una spiegazione generata dall'IA dell'articolo qui sotto. Non è stata scritta né approvata dagli autori. Per precisione tecnica, consulta l'articolo originale. Leggi il disclaimer completo

Immagina che la tua rete domestica o aziendale (l'Internet delle Cose o IoT) sia come una grande città piena di automobili. Ci sono milioni di veicoli che si muovono ogni giorno: alcuni sono auto normali (il traffico legittimo), altri sono taxi, autobus o camion (i dispositivi IoT).

Il Problema: I Ladri che cambiano Maschera

Finora, i sistemi di sicurezza (come i guardie di sicurezza o le telecamere) funzionavano in un modo molto semplice: avevano una lista di "volti noti".

Se vedevano un ladro che avevano già visto prima (un attacco "noto"), lo fermavano.
Ma il problema è che i criminali informatici sono furbi: cambiano spesso il loro "costume" o usano tecniche mai viste prima. Questi sono gli attacchi "Zero-Day" (o sconosciuti).
I vecchi sistemi di sicurezza, quando vedevano un nuovo tipo di ladro, spesso pensavano: "Non è nella mia lista, quindi deve essere un cittadino onesto" e lo lasciavano passare. Inoltre, per imparare a riconoscere i ladri, questi sistemi avevano bisogno di vedere milioni di foto di ladri, cosa impossibile quando un nuovo tipo di crimine nasce oggi.

La Soluzione: SiamXBERT, il "Detective Intuitivo"

Gli autori del paper hanno creato un nuovo sistema chiamato SiamXBERT. Per capire come funziona, non pensiamo a un computer che legge liste, ma a un detective molto intelligente che usa due trucchi magici:

1. Non guarda il contenuto, guarda il "comportamento"

Immagina che le auto siano in un tunnel buio (i dati sono crittografati, quindi il detective non può vedere cosa c'è dentro il bagagliaio).

I vecchi sistemi cercavano di forzare il bagagliaio (guardare il contenuto), ma non potevano farlo.
SiamXBERT invece osserva il comportamento: "Quell'auto sta andando troppo veloce?", "Sta facendo troppe curve strette?", "Sta cercando di entrare in un vicolo cieco?".
Analizza sia la traiettoria generale (il flusso) sia i movimenti rapidi (i singoli pacchetti dati). Anche se non sa cosa c'è dentro, sa che il modo di guidare è sospetto.

2. Impara con pochi esempi (L'arte del "Few-Shot")

I vecchi sistemi erano come studenti che dovevano leggere 10.000 libri per imparare a riconoscere un ladro.
SiamXBERT è come un detective geniale che, dopo aver visto solo 5 o 10 foto di un nuovo tipo di ladro, capisce subito il suo stile e lo riconosce ovunque.

Usa una tecnica chiamata Meta-Learning: invece di imparare a memoria le regole, impara come imparare.
Funziona come un coppia di gemelli siamesi (da qui il nome "Siamese"): confronta due auto e chiede: "Sono simili o diverse?". Se l'auto sospetta è molto diversa dalle auto normali che conosce, la ferma.

Come funziona nella pratica?

Addestramento: Il detective studia un po' di traffico normale e un po' di traffico di attacchi noti.
Il Test: Quando arriva un'auto nuova, il detective non dice "È il ladro X" o "È il ladro Y". Dice: "Questa auto è molto diversa da tutte quelle normali che conosco".
La Soglia: C'è un "livello di sospetto" (una soglia). Se la differenza è troppo alta, il detective grida: "STOP! È un attacco sconosciuto!", anche se non sa esattamente come si chiama quel nuovo ladro.

I Risultati: Perché è un gioco da ragazzi?

Gli autori hanno fatto delle prove su due grandi "città" digitali (dataset reali).

Risultato: SiamXBERT ha battuto tutti i sistemi precedenti.
Il vantaggio: Mentre gli altri sistemi avevano bisogno di milioni di dati per funzionare bene, SiamXBERT ha raggiunto risultati eccellenti con solo 100 esempi per ogni tipo di attacco.
Robustezza: Funziona anche se la città cambia (ad esempio, se addestri il detective a Milano e lo mandi a Roma). Riesce a riconoscere i nuovi ladri anche in ambienti diversi, cosa che gli altri sistemi faticavano a fare.

In sintesi

Immagina di avere un sistema di sicurezza che non ha bisogno di un manuale di 1000 pagine. Basta che gli mostri un paio di foto di un nuovo tipo di criminale, e lui capisce immediatamente il "suo modo di fare" e lo blocca, anche se è la prima volta che lo vede e anche se il criminale sta cercando di nascondersi.

È un approccio più intelligente, più veloce e che richiede meno dati, perfetto per proteggere le nostre case e città intelligenti contro i pericoli che non conosciamo ancora.

1. Il Problema

L'evoluzione rapida delle minacce informatiche, in particolare gli attacchi zero-day (sconosciuti), rappresenta una sfida critica per i sistemi di rilevamento delle intrusioni (IDS) nelle reti Internet of Things (IoT).
Le limitazioni degli approcci esistenti (Machine Learning e Deep Learning tradizionali) includono:

Dipendenza da grandi dataset: La maggior parte dei modelli richiede migliaia di campioni etichettati per classe per apprendere confini decisionali affidabili, il che è irrealistico per attacchi emergenti o rari.
Inefficienza con traffico cifrato: Molti metodi si basano sull'ispezione del payload (contenuto dei pacchetti), che diventa inutile quando il traffico è cifrato o privo di payload leggibile.
Scarsa generalizzazione: I modelli sono spesso ottimizzati per scenari "closed-set" (solo classi note) e falliscono nel generalizzare a comportamenti mai visti o in scenari di distribuzione trasversale (cross-dataset).
Squilibrio dei dati: Gli ambienti IoT reali presentano comportamenti eterogenei e pattern di traffico dinamici che aggravano la difficoltà di rilevare attacchi non visti.

2. Metodologia: SiamXBERT

Gli autori propongono SiamXBERT, un framework robusto ed efficiente dal punto di vista dei dati che combina Meta-Learning, Reti Siamesi e modelli linguistici basati su Transformer.

Architettura e Fasi Principali

Il sistema opera in cinque fasi chiave:

Estrazione delle Caratteristiche (Dual-Modality):
- Il sistema estrae caratteristiche a due livelli dai file PCAP, garantendo la compatibilità con il traffico cifrato (senza ispezione del payload):
  - Livello Flusso (Flow-level): 21 caratteristiche estratte tramite Zeek (es. durata, conteggio byte/pacchetti, stato della connessione).
  - Livello Pacchetto (Packet-level): 45 caratteristiche estratte tramite DPKT (es. flag TCP, tipi di protocollo, lunghezze degli header).
  - Caratteristiche Derivate: 4 nuove caratteristiche calcolate per catturare asimmetrie direzionali e tassi di trasferimento (es. rapporto byte, tasso di pacchetti originari).
- Le caratteristiche vengono fuse in un'unica rappresentazione di 70 feature, poi ridotte a 60 dopo la rimozione di identificatori specifici (IP, porte) e la normalizzazione.
Integrazione e Preprocessing:
- Le feature vengono aggregate per flusso (media per valori numerici, moda per categoriali).
- Applicazione di codifica one-hot e normalizzazione MinMax.
- Selezione delle feature basata sull'importanza (usando un classificatore Random Forest) per ridurre il rumore.
Meta-Training con Selezione della Soglia:
- Strategia Siamese: Il modello utilizza una rete Siamese con un backbone SecBERT (un modello BERT pre-addestrato su corpus di cybersecurity).
- Meta-Task: Il training è decomposto in task binari $(B, C_i)$ , dove $B$ è il traffico benigno e $C_i$ è una classe di attacco nota.
- Triplet Loss: Le feature vengono serializzate in prompt testuali e processate per creare triplette (Ancora, Positivo, Negativo). La rete impara una funzione di similarità che avvicina le istanze della stessa classe e allontana quelle di classi diverse.
- Selezione della Soglia ( $\tau^*$ ): Viene calcolata una soglia decisionale ottimale simulando scenari "unknown" (trattando una classe nota come pseudo-sconosciuta) per massimizzare il F1-score degli attacchi sconosciuti.
Meta-Testing (Inferenza):
- Per un nuovo campione di query, il sistema calcola la similarità media rispetto ai set di supporto delle classi note.
- Se la similarità media è inferiore alla soglia $\tau^*$ , il campione viene classificato come Attacco Sconosciuto (Unknown). Altrimenti, viene assegnato alla classe nota con il voto di maggioranza.

3. Contributi Chiave

Valutazione Sistematica: Confronto empirico tra approcci ML, DL e LLM per il rilevamento di attacchi noti, evidenziando l'efficienza dei dati e la scalabilità.
Proposta SiamXBERT: Un nuovo approccio che integra reti Siamesi e SecBERT per il rilevamento di attacchi sconosciuti, capace di distinguere firme di attacco nuove dal traffico legittimo anche con pochi dati (few-shot).
Efficienza dei Dati: SiamXBERT raggiunge prestazioni superiori o comparabili agli stati dell'arte (SOTA) utilizzando solo 100 campioni per classe per l'addestramento, contro le decine di migliaia o milioni richiesti da altri metodi.
Rilascio Open Source: Pubblicazione di dataset, implementazioni e modelli baselines per facilitare la riproducibilità.

4. Risultati Sperimentali

Gli esperimenti sono stati condotti sui dataset CICIoT2023 e IoT-23.

RQ1 (Attacchi Noti): Gli LLM (come SecBERT e SecureBERT+) superano i modelli ML e DL tradizionali, specialmente in scenari su larga scala, dimostrando maggiore scalabilità e robustezza.
RQ2 (Configurazione): La combinazione di feature di flusso e pacchetto, unita alla selezione delle feature, è cruciale. La lunghezza dei token ha un impatto minore rispetto alla composizione delle feature.
RQ3 (Valutazione Within-Dataset):
- SiamXBERT supera tutti i baseline SOTA (ACGAN, SAFE-NID, IDS-Agent, RFG-HELAD).
- Su CICIoT2023, migliora il F1-score per gli attacchi sconosciuti del 78.8% rispetto al miglior baseline (IDS-Agent).
- Su IoT-23, il miglioramento è del 415.4% rispetto a IDS-Agent.
- Mantiene un'alta accuratezza complessiva (W-F1) senza sacrificare il rilevamento degli attacchi noti.
RQ4 (Valutazione Cross-Dataset):
- SiamXBERT dimostra una forte robustezza nel generalizzare tra dataset diversi.
- In particolare, quando addestrato su IoT-23 e testato su CICIoT2023, raggiunge un F1-score per attacchi sconosciuti di 0.816, superando significativamente i baseline.
- Si osserva un'asimmetria: l'addestramento su dataset più complessi (CICIoT2023) rende più difficile il rilevamento su dataset più semplici (IoT-23) a causa della sovrapposizione dei manifold delle classi note.

5. Significato e Implicazioni

Il lavoro di SiamXBERT è significativo perché:

Supera il collo di bottiglia dei dati: Dimostra che è possibile rilevare efficacemente attacchi zero-day con una frazione minima dei dati etichettati richiesti dagli approcci attuali, rendendo la soluzione praticabile per scenari reali dove i dati etichettati sono scarsi.
Indipendenza dal Payload: Essendo basato su feature di flusso e header, il metodo è intrinsecamente resistente al traffico cifrato, un requisito fondamentale per la privacy e la sicurezza moderna.
Approccio Open-Set Nativo: A differenza dei classificatori tradizionali che forzano ogni input in una classe nota, SiamXBERT utilizza l'apprendimento metrico per identificare attivamente le deviazioni, affrontando direttamente il problema degli attacchi sconosciuti.
Validità Pratica: I risultati su dataset reali e in scenari cross-dataset confermano che l'approccio è robusto contro le variazioni di distribuzione tipiche degli ambienti IoT eterogenei.

In sintesi, SiamXBERT rappresenta un passo avanti verso sistemi di sicurezza IoT adattivi, efficienti e capaci di difendersi contro minacce mai viste prima, riducendo drasticamente la dipendenza da grandi quantità di dati di addestramento.