KAN-LSTM: Benchmarking Kolmogorov-Arnold Networks for Cyber Security Threat Detection in IoT Networks

Título: KAN-LSTM: Benchmarking de Redes Kolmogorov-Arnold para Detecção de Ameaças Cibernéticas em Redes IoT

1. Problema e Motivação

A detecção de ameaças cibernéticas em redes IoT e de tráfego de rede enfrenta desafios significativos devido à complexidade dos dados, desequilíbrio de classes (ataques raros vs. tráfego normal) e a necessidade de capturar tanto dependências espaciais quanto temporais.

• Limitações dos Modelos Atuais: As Redes de Perceptron Multicamada (MLPs) tradicionais, embora fundamentais, lutam para capturar padrões espaciais em grandes conjuntos de dados relacionais e muitas vezes exigem um grande número de parâmetros para modelar funções não lineares complexas.
• A Lacuna: Embora existam avanços com CNNs (para características espaciais) e LSTMs (para dependências temporais), não há uma avaliação formal e abrangente da aplicabilidade das Redes Kolmogorov-Arnold (KANs) para tarefas de detecção de intrusão. As KANs oferecem uma nova arquitetura baseada no Teorema da Representação de Kolmogorov-Arnold, substituindo pesos lineares fixos por funções univariadas aprendíveis (splines) nas arestas do grafo, permitindo uma aproximação de função mais eficiente e com menos parâmetros.

2. Metodologia Proposta

O estudo propõe uma arquitetura híbrida chamada KAN-LSTM, projetada para combinar as vantagens da codificação espacial (não local) das KANs com a modelagem temporal das LSTMs.

• Arquitetura Híbrida (KAN-LSTM):

  1. Camadas Convolucionais (CNN): Duas camadas CNN são utilizadas inicialmente para capturar dependências de recursos locais no tráfego de rede. Os dados de entrada 1D são transformados em tensores 2D para melhor extração de características espaciais.
  2. Codificador LSTM: A saída da CNN é alimentada em uma camada LSTM (Long Short-Term Memory) para capturar dependências temporais e sequenciais no tráfego de rede, mitigando o problema de perda de informações de longo prazo.
  3. Camada KAN: A saída do LSTM é processada por uma camada KAN. Diferente das MLPs, onde as funções de ativação são fixas (ex: ReLU), as KANs utilizam funções de ativação aprendíveis (splines) nas arestas. Isso permite que o modelo aprenda padrões de ativação dinâmicos e realize mapeamentos não lineares de alta dimensão com maior eficiência.
  4. Classificação: A saída final passa por um classificador utilizando a função de perda Binary Cross-Entropy (BCE).

• Variantes Testadas: O estudo compara a arquitetura proposta contra várias configurações, incluindo CNNs puras, LSTMs, MLPs (com 2 e 5 camadas), KANs puras (com 2 e 5 camadas) e ConvKANs (KANs integradas a frameworks convolucionais).

3. Contribuições Chave

1. Benchmarking de KANs em Segurança Cibernética: Este é o primeiro estudo a realizar uma avaliação empírica abrangente do desempenho das KANs em conjuntos de dados de detecção de intrusão, comparando-as diretamente com modelos de aprendizado profundo tradicionais.
2. Novo Dataset "Tri-IDS": Os autores desenvolveram um novo conjunto de dados combinado e em grande escala, unindo IOT-BOT, NSL-KDD e CICIDS2017. Este dataset (chamado Tri-IDS) visa fornecer um benchmark estável, não tendencioso e com padrões de tráfego diversos, superando limitações de desequilíbrio e ruído dos datasets individuais.
3. Arquitetura KAN-LSTM: Proposição de um modelo híbrido que supera as limitações individuais das KANs (dificuldade em codificar características locais) e das LSTMs (dificuldade em reter pontos-chave aprendidos em grande escala), resultando em uma detecção mais robusta.
4. Eficiência de Parâmetros: Demonstração de que as KANs podem atingir maior precisão com um número significativamente menor de parâmetros aprendíveis em comparação com as MLPs tradicionais.

4. Resultados Experimentais

Os experimentos foram conduzidos em quatro conjuntos de dados: UNSW-NB15, NSL-KDD, CICIDS2017 e o novo Tri-IDS. O modelo foi treinado com PyTorch, usando o otimizador AdamW, em um servidor Quadro GV100.

• Desempenho Geral: O modelo KAN-LSTM superou consistentemente todos os modelos de base (CNN, LSTM, MLP) e as variantes puras de KAN em todas as métricas (Acurácia, Precisão, Recall e F1-Score).
• Resultados Destaque:
  • UNSW-NB15: KAN-LSTM alcançou 95,89% de acurácia e 94,01% de F1-Score, superando a melhor variante KAN pura (94,45% de acurácia).
  • CICIDS2017: O modelo atingiu 99,28% de acurácia e 99,66% de F1-Score, demonstrando uma capacidade superior de lidar com classes desbalanceadas e padrões de ataque diversos.
  • NSL-KDD: Acurácia de 94,05% e F1-Score de 94,35%, superando significativamente o recall de modelos MLP que sofriam com a detecção de classes minoritárias.
  • Tri-IDS: O modelo manteve robustez com 93,76% de acurácia e 93,39% de F1-Score, confirmando sua capacidade de generalização em um ambiente de dados heterogêneo e massivo.
• Análise Qualitativa: Gráficos de radar e heatmaps mostraram que o KAN-LSTM oferece um equilíbrio superior entre Precisão e Recall, evitando o viés comum de modelos tradicionais que otimizam uma métrica em detrimento da outra.

5. Significância e Conclusão

O estudo conclui que as Redes Kolmogorov-Arnold (KANs) representam um avanço promissor para a detecção de ameaças cibernéticas. A arquitetura híbrida KAN-LSTM demonstra ser capaz de codificar eficazmente tanto relações espaciais (locais) quanto temporais (de longo alcance), superando os modelos de aprendizado profundo tradicionais.

• Impacto: A superioridade do modelo, especialmente em datasets desbalanceados, sugere que as KANs podem ser uma ferramenta eficaz para detectar ataques raros e emergentes em redes IoT.
• Desafios Futuros: Os autores reconhecem que, apesar do desempenho superior, as KANs ainda enfrentam desafios de escalabilidade, processamento lento e custo de treinamento. Trabalhos futuros devem focar em otimizar a eficiência computacional das KANs para viabilizar sua adoção em tempo real em ambientes de segurança cibernética de grande escala.

Em suma, este trabalho estabelece um novo padrão de referência (benchmark) para o uso de KANs em segurança cibernética, provando que a substituição de pesos lineares por funções de ativação aprendíveis pode levar a modelos mais precisos e eficientes para a defesa contra intrusões.