Systematic Integration of Digital Twins and Constrained LLMs for Interpretable Cyber-Physical Anomaly Detection

Título: Integração Sistemática de Gêmeos Digitais e LLMs Confinados para Detecção Interpretável de Anomalias Ciber-Físicas

1. O Problema

Os Sistemas de Controle Industrial (ICS) enfrentam ameaças cibernéticas cada vez mais sofisticadas que visam infraestrutura crítica, como tratamento de água e distribuição de energia. A detecção desses ataques em tempo real é extremamente desafiadora devido a três fatores principais:

• Ambiguidade Física: Desvios no processo físico podem se assemelhar a variações operacionais normais.
• Acoplamento de Controle: As ações de controle são altamente interligadas; uma mudança legítima em uma variável exige mudanças correspondentes em muitas outras, o que pode ocultar entradas maliciosas.
• Falta de Explicabilidade: Detectores de anomalia tradicionais raramente explicam por que uma janela de tempo é suspeita, dificultando a resposta a incidentes.
  Além disso, o uso puro de Grandes Modelos de Linguagem (LLMs) para segurança ICS apresenta riscos de "alucinações" (conclusões fisicamente impossíveis) e instabilidade nas fronteiras de decisão.

2. Metodologia

O artigo propõe uma abordagem híbrida de detecção orientada por Gêmeo Digital (DT) que combina heurísticas determinísticas com raciocínio semântico estruturado de LLMs. A arquitetura opera em cinco camadas interagentes:

• Gêmeo Digital (DT) e Replay: O DT mantém uma réplica virtual sincronizada do processo de tratamento de água seguro (SWaT). Ele utiliza um motor de replay para fornecer janelas deslizantes de 30 segundos de telemetria sincronizada (sensores e atuadores).
• Extração de Comportamento: O sistema deriva descritores comportamentais das janelas de dados, como inclinações (slopes), variâncias, faixas de amplitude, taxas de congelamento e padrões de alternância de atuadores.
• Camada de Heurísticas (Detecção Determinística): Esta camada prioriza a detecção rápida de padrões de ataque conhecidos sem invocar o LLM. Ela identifica quatro indicadores de comprometimento (IoCs):
  1. Spoofing (Falsificação): Tendências positivas sustentadas em sensores de nível durante atividade de bombas/válvulas.
  2. Forçamento de Válvula: Alternância rápida de válvulas com padrões oscilatórios anormais.
  3. Deriva de Viés (Bias Drift): Leituras de sensor com baixa variância, mas tendência divergente gradual.
  4. DoS por Congelamento de Sensor: Múltiplos sensores com valores planos e variância suprimida.
• Motor de Raciocínio LLM Confinado: O LLM é invocado apenas quando as heurísticas não conseguem tomar uma decisão (abstêm-se).
  • Restrições: O LLM é obrigado a gerar saída em um esquema JSON estrito, listando táticas, técnicas, caminhos de ataque e mitigações.
  • Filtros Semânticos: Um filtro pós-processamento verifica se a saída do LLM é fisicamente plausível dado o estado atual dos atuadores, rejeitando conclusões impossíveis.
• Camada de Suavização Temporal: Um mecanismo de fusão aplica uma regra de maioria em uma janela deslizante de tempo para estabilizar o sinal de decisão final, reduzindo flutuações de curto prazo e ruído, garantindo que apenas desvios sistemáticos disparem alarmes.

3. Principais Contribuições

• Arquitetura Híbrida DT-LLM: Uma estrutura que mantém uma réplica comportamental sincronizada do processo industrial, integrando heurísticas leves com raciocínio semântico profundo apenas quando necessário.
• Gatilho Seletivo de LLM: Redução drástica de falsos positivos e custos computacionais ao usar heurísticas para a maioria dos casos e reservar o LLM para cenários ambíguos.
• Confinamento e Plausibilidade Física: Uso de esquemas JSON estritos e filtros de plausibilidade para garantir que o LLM não produza alucinações ou ataques fisicamente impossíveis no contexto do ICS.
• Interpretabilidade: O sistema não apenas detecta, mas classifica o ataque e sugere mitigações com base em táticas e técnicas de ICS.

4. Resultados

A avaliação foi realizada no conjunto de dados SWaT, cobrindo quatro cenários de ataque canônicos (Spoofing, Forçamento de Válvula, DoS por Congelamento e Deriva de Viés):

• Precisão e Localização: O detector proposto localizou com precisão todos os intervalos de ataque, sem vazamento de alarmes para regiões benignas.
• Tempo de Detecção (TTD): O sistema apresentou um TTD muito baixo (0 a 1 janela de 30 segundos) para todos os cenários.
• Falsos Positivos (FPs): O sistema obteve zero falsos positivos em regiões benignas extensas (1400 janelas), tanto com o modelo local LLaMA 3.1 8B quanto com o modelo em nuvem GPT-4.1-mini.
• Comparação com Baseline: Um detector de Isolation Forest (IF) padrão falhou em detectar cenários de Spoofing, Forçamento de Válvula e Deriva de Viés, gerando 273 falsos positivos (≈19,5%) devido à sua incapacidade de capturar a estrutura temporal e o acoplamento sensor-atuador.
• Robustez do Modelo: As diferenças entre os modelos LLM (local vs. nuvem) foram insignificantes após a fusão e suavização, demonstrando que a arquitetura é robusta à escolha do modelo subjacente, desde que as restrições estruturais sejam mantidas.

5. Significado e Conclusão

O trabalho demonstra que a integração de Gêmeos Digitais com raciocínio de LLMs confinado e estruturado é uma abordagem viável e superior para a segurança de ICS.

• Interpretabilidade e Confiabilidade: Ao combinar regras físicas determinísticas com a capacidade semântica do LLM, o sistema supera as limitações de detectores estatísticos tradicionais e os riscos de alucinação de LLMs puros.
• Aplicabilidade Operacional: A arquitetura permite a detecção em tempo real com baixa latência e alta precisão, sendo robusta tanto em ambientes locais quanto em nuvem.
• Futuro: Embora os heurísticos atuais sejam específicos para o SWaT, o estudo valida o conceito de usar DTs como espelhos comportamentais para guiar a IA na segurança ciber-física, abrindo caminho para futuras integrações com modelagem baseada em física e adaptação a novos domínios industriais.