Resumo Técnico: CAPE-Net

Definição do Problema

A adoção quase universal da criptografia (TLS, Encrypted Client Hello, QUIC) tornou a classificação de tráfego baseada em carga útil (payload) tradicional obsoleta. Os operadores de rede devem agora confiar em metadados de sequência de pacotes (tamanhos, direções, intervalos entre chegadas) para classificar o tráfego. No entanto, as soluções existentes falham em atender às demandas operacionais de um backbone de ISP ao vivo, que exige que um classificador realize simultaneamente:

1. Decidir Cedo: Comprometer-se com um veredito com o menor número possível de pacotes para permitir o policiamento e roteamento em tempo real.
2. Fornecer Confiabilidade Quantificável: Oferecer uma taxa de erro controlada por classe, em vez de apenas uma precisão agregada, já que o custo da classificação incorreta varia conforme a aplicação.
3. Lidar com Desconhecidos: Reconhecer e abster-se de classificar aplicações nunca vistas durante o treinamento, em vez de forçá-las para classes conhecidas.
4. Permanecer Mantível: Adaptar-se ao concept drift (mudanças em versões de aplicações, misturas de tráfego) sem a necessidade de um retreinamento completo, caro e disruptivo.

A literatura atual aborda esses problemas de forma isolada (ex: métodos de saída antecipada/early-exit carecem de garantias de precisão; métodos de robustez carecem de calibração; o tratamento de drift muitas vezes exige retreinamento total). Nenhum sistema existente unifica o compromisso precoce, a precisão certificada por classe, a detecção de desconhecidos e a manutenção leve de drift na escala de centenas de classes de aplicações.

Metodologia: CAPE-Net

Os autores propõem o CAPE-Net (Conformal, Adaptive, Packet-Efficient Network), um framework unificado construído sobre um backbone recorrente compacto (GRU ou LSTM) com 18 checkpoints de saída antecipada (early-exit). A inovação central é tratar a estrutura de saída antecipada não meramente como um dispositivo de eficiência, mas como um instrumento de inferência multipropósito.

1. Arquitetura Base

• Entrada: Sequências de Informação por Pacote (PPI) de até 30 pacotes, codificadas por quatro canais: tempo entre pacotes (IPT), direção (DIR), tamanho da carga útil (SIZE) e flag TCP PSH (0 para QUIC).
• Backbone: Uma rede recorrente de duas camadas (tamanho oculto 256) compartilhada entre todos os checkpoints.
• Checkpoints: 18 cabeças de saída localizadas nos índices de pacotes $K \in \{1, \dots, 15, 20, 25, 30\}$.
• Treinamento: Treinamento conjunto com perda de entropia cruzada (cross-entropy loss) em cada saída e autodestilação da saída mais profunda ($K=30$) para guiar as cabeças anteriores.

2. Três Mecanismos Acoplados

A. Calibração de Precisão Conformal por Classe (Contribuição 1)
Em vez de um limiar de confiança global, o CAPE-Net utiliza um procedimento Learn-Then-Test (LTT) com correção de Holm para certificar um limiar de confiança por classe ($\tau_c$).

• Objetivo: Garantir que a precisão dos fluxos comprometidos para a classe $c$ seja de pelo menos 0,95 com validade de amostra finita e livre de distribuição.
• Mecanismo: Os fluxos se comprometem apenas se o checkpoint $K \ge K^*_c$ (o ponto de compromisso confiável mais precoce para essa classe) E a probabilidade prevista $\hat{p} \ge \tau_c$. Caso contrário, o fluxo adia a decisão para uma saída mais profunda.

B. Detecção Nativa de Aplicações Desconhecidas (Contribuição 2)

• Mecanismo: Utiliza um escore de energia livre ($E(x) = -\log \sum \exp(\text{logits})$) lido em um checkpoint fixo ($K=10$).
• Lógica de Portão (Gate): Um portão de "confiança primeiro" garante que fluxos classificados com confiança pela regra de saída antecipada adaptativa sejam comprometidos imediatamente. Apenas fluxos que falham em se comprometer são passados para o portão de energia. Se $E(x) \ge \theta$, o modelo se abstém, emitindo um veredito de "desconhecido".
• Restrição: O limiar $\theta$ é definido para manter uma taxa de falso-positivo dentro da distribuição de $\le 0,05$.

C. Manutenção Segura e Consciente de Drift (Contribuição 3)

• Monitoramento: Monitores de Soma Cumulativa (CUSUM) por classe rastreiam desvios na profundidade de saída realizada ($K_{used}$) e na precisão realizada em relação à linha de base calibrada.
• Reparo: Quando uma classe é sinalizada por drift, é realizado um atualização apenas de viés (bias-only update). Apenas os termos de viés das cabeças de saída da classe sinalizada são atualizados; todos os outros pesos (incluindo o backbone e outras classes) permanecem congelados.
• Segurança: Isso garante que a atualização não possa degradar o desempenho das classes não sinalizadas.

Resultados Principais

Avaliação em TLS (CESNET-TLS-Year22)

Avaliado em um corpus de 180 classes com uma divisão temporal estrita (Treino: W1-W38, Calibração: W39, Teste: W40, Drift: W41-W50).

• Garantia de Precisão: Na semana de teste retida (W40), a garantia de precisão de 0,95 manteve-se para 98,3% das classes (GRU) e 97,8% (LSTM). A precisão realizada dos fluxos comprometidos atingiu ~0,99.
• Eficiência: O fluxo típico é classificado a partir de 7–8 pacotes. As classes mais confiantes se comprometem com apenas 3 pacotes. Isso alcança uma precisão próxima à da sequência completa (dentro de 0,04 de macro-F1 do modelo de 30 pacotes) com aproximadamente 25% da latência.
• Detecção de Desconhecidos: O detector de energia alcança um AUROC de 0,87 (GRU) a uma taxa de falso-positivo de 5%, sinalizando corretamente ~43% dos fluxos desconhecidos retidos.
• Manutenção de Drift: Ao longo de um horizonte de drift de 10 semanas, a atualização apenas de viés recupera consistentemente uma pequena margem em macro-F1 (ex: +0,005) ao custo de ~16–19 segundos por atualização, retardando a degradação sem retreinamento total.

Avaliação em QUIC (CESNET-QUICEXT-25)

Retreinado do zero em um conjunto de dados QUIC de um ano (47 classes).

• Transferibilidade: O design transfere-se com sucesso, mantendo a garantia de precisão e a capacidade de detecção de desconhecidos.
• Diferenças de Protocolo: Fluxos QUIC se comprometem mais tarde (média de saída ~15 pacotes) devido ao maior preenchimento (padding) inicial e fluxos mais longos.
• Comportamento de Drift: Embora o monitor CUSUM detecte o drift efetivamente, o reparo apenas de viés quase não recupera nada no QUIC ($\Delta \approx 0$). Os autores atribuem isso ao fato de o drift no QUIC ser representacional (mudanças no mapeamento de característica-para-classe) em vez de baseado em prior, o que atualizações de viés não conseguem corrigir.

Significância e Alegações

O artigo afirma que o CAPE-Net demonstra que a classificação precoce, calibrada e mantível em escala de ISP é alcançável dentro de um único modelo arquiteturalmente disciplinado.

Principais pontos enfatizados pelos autores:

1. Instrumento Unificado: A estrutura de saída antecipada é uma ferramenta multipropósito que permite simultaneamente eficiência, precisão certificada, detecção de desconhecidos e percepção de drift.
2. Compromissos Operacionais: O sistema troca explicitamente cobertura (adiando ~25% dos fluxos TLS) por uma garantia de precisão rigorosa e de amostra finita, o que é crítico para operações de rede de alto risco.
3. Consciência de Protocolo: Embora a arquitetura seja agnóstica ao protocolo, o orçamento de latência e a estratégia de manutenção devem ser recalibrados por protocolo (ex: QUIC requer compromisso mais tardio e potencialmente um retreinamento mais pesado do que o TLS).
4. Segurança: O loop de manutenção apenas de viés fornece um mecanismo "seguro" para retardar a degradação entre retreinamentos totais, garantindo que as ações de manutenção nunca prejudiquem as classes não sinalizadas.

Os autores concluem que, embora o loop de manutenção leve seja altamente eficaz para o TLS, suas limitações no QUIC sugerem que uma política operacional robusta requer monitoramento contínuo para determinar quando as correções baratas se esgotaram e o retreinamento total é necessário.