💬 NLP

DMFI: A Dual-Modality Log Analysis Framework for Insider Threat Detection with LoRA-Tuned Language Models

该论文提出了 DMFI 框架，通过结合 LoRA 微调的大语言模型对日志进行语义推理与基于 4W 引导的行为抽象双模态分析，并引入 DMFI-B 判别策略以解决类别不平衡问题，从而在 CERT 数据集上实现了对内部威胁检测性能的提升。

原作者： Kaichuan Kong, Dongjie Liu, Xiaobo Jin, Guanggang Geng, Zhiying Li, Jian Weng

发布于 2026-03-24

📖 1 分钟阅读☕ 轻松阅读

原作者： Kaichuan Kong, Dongjie Liu, Xiaobo Jin, Guanggang Geng, Zhiying Li, Jian Weng

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

这篇论文介绍了一个名为 DMFI 的新系统，它的任务是在茫茫的数据海洋中，揪出那些“潜伏”在公司内部的坏人（内部威胁）。

想象一下，你是一家大公司的保安队长。公司里有几千名员工，每天产生海量的工作记录（比如发了什么邮件、访问了什么网站、登录了什么系统）。坏人往往就混在好人中间，他们拿着合法的工牌，做着看似正常的工作，但心里却在策划窃取机密或破坏系统。

传统的保安手段（比如只看谁在半夜开门，或者谁访问了黑名单网站）很容易漏掉这些高智商的“伪装者”。

DMFI 就像是一位拥有“读心术”和“行为分析师”双重能力的超级侦探。它通过两个独特的视角来观察员工，从而发现那些隐藏的坏人。

🕵️‍♂️ 核心故事：双重侦探视角

DMFI 不像普通保安那样只看表面，它把每个员工的一天拆成两个故事来讲：

1. 视角一：读心术（语义分析）

它在看什么？ 员工写的内容。比如邮件正文、网页上的文字、聊天内容。
怎么做的？ 它像一个精通语言的文学评论家。它不看冷冰冰的代码，而是把邮件和网页内容变成自然语言，问大语言模型（LLM）：“这句话听起来像不像在策划坏事？有没有 phishing（钓鱼）的味道？语气对不对？”
比喻： 就像你读一封邮件，虽然对方说“我在查资料”，但邮件里充满了“秘密”、“绕过”、“销毁证据”等字眼，这个视角能敏锐地捕捉到这些文字背后的恶意。

2. 视角二：行为分析师（4W 行为抽象）

它在看什么？ 员工做了什么，以及什么时候、在哪里做的。
怎么做的？ 这里有个很聪明的技巧叫 "4W 抽象”。
- 原本的系统会记录成千上万条细碎日志：“早上 9:00 登录”、"9:01 打开文件”、"9:02 关闭文件”……这太啰嗦了，像流水账。
- DMFI 把这些流水账压缩成一句人话，只保留四个关键要素：When（何时）、Where（何地）、What（做了什么）、Which（操作了哪个对象）。
- 比喻： 就像把一部 100 集的连续剧压缩成2 分钟的剧情梗概。
  - 原版： "9 点登录，9 点 1 分看 A 网站，9 点 2 分看 B 网站……"
  - DMFI 版： “下班后，他在自己的电脑上，访问了几个奇怪网站，然后连了一个不明设备，最后把文件发给了外人。”
- 这样，大语言模型就能一眼看出：“等等，下班后（When）访问机密文件（Which）还连不明设备（Where）？这不对劲！”

🧠 超级大脑：如何做出最终判决？

DMFI 有两个“大脑”（两个经过微调的大语言模型），分别负责读心和分析行为。

双管齐下： 一个大脑负责看“文字内容”，另一个负责看“行为逻辑”。
特殊策略（DMFI-B）： 为了更精准，DMFI 甚至训练了两个“分身”：
- 一个专门学习好人的行为（正常模式）。
- 一个专门学习坏人的行为（异常模式）。
- 比喻： 就像让侦探同时扮演“好人”和“坏人”。当遇到一个新案件时，侦探会想：“如果是好人，他会这么干吗？如果是坏人，他会这么干吗？”如果“坏人模式”觉得这很合理，而“好人模式”觉得完全说不通，那这人大概率就是坏人。
最终裁决： 最后，一个轻量级的小程序（MLP）把两个大脑的结论结合起来，给出一个最终分数。分数高了，就报警。

🚀 为什么它很厉害？

更聪明： 以前的系统要么只看数字（太死板），要么只看文字（太容易受干扰）。DMFI 把“文字含义”和“行为逻辑”完美结合了。
更省资源： 它没有把整个大模型从头到尾重新训练（那太贵了），而是用了 LoRA 技术。
- 比喻： 就像给一个已经很有学问的教授（大模型）戴上了一副特制的“侦探眼镜”（LoRA 微调），让他瞬间变成专家，而不需要重新培养一个教授。
更精准： 在测试中，它比以前的所有方法都更准，而且误报率极低（不会随便冤枉好人）。

📝 总结

简单来说，DMFI 就是一个懂语言、懂行为、会演戏（模拟好坏人）的 AI 保安。

它不再死板地数数，而是像人类侦探一样，通过阅读员工的“内心独白”（邮件内容） 和 复盘员工的“行动轨迹”（行为摘要），在海量数据中精准地揪出那些披着羊皮的狼。这对于保护公司的核心机密，防止内部人员搞破坏，是一个非常强大且实用的新工具。

1. 研究背景与问题 (Problem)

内部威胁检测 (ITD) 是网络安全中极具挑战性的任务，因为内部攻击者拥有合法凭证，其行为往往具有隐蔽性、长期性和上下文依赖性。现有的检测方法存在以下主要局限：

传统方法 (规则/统计/深度学习)： 依赖静态规则或手工特征，难以捕捉行为的语义意图（Semantic Intent）和复杂的动态变化。它们通常将行为视为数值特征，忽略了日志中的自然语言上下文。
基于大语言模型 (LLM) 的现有方案：
- 提示工程 (Prompt-based)： 如 LogGPT 等，虽然无需训练且可解释性强，但对提示词设计敏感，缺乏动态行为适应能力，且在类别不平衡下表现不稳定。
- 微调方法 (Fine-tuning-based)： 如 Confront-LLM 等，虽然能更好地建模用户意图，但通常是单模态的（仅关注内容语义或仅关注行为序列），缺乏将两者统一融合的框架。此外，许多方法忽略了文本的丰富语义信息，或者在严重类别不平衡（正常样本远多于异常样本）下鲁棒性不足。

核心痛点： 现有方法难以在统一框架下同时捕捉通信日志中的语义信号（如邮件内容、URL 文本）和用户行为的时间结构，且在数据不平衡和有限监督条件下缺乏鲁棒性。

2. 方法论 (Methodology)

作者提出了 DMFI (Dual-Modality Fine-tuned Inference) 框架，这是一个统一的双模态架构，结合了基于指令的语义推理和行为感知的微调。

A. 整体架构

DMFI 包含三个主要阶段：

多模态预处理： 将原始审计日志解析为两种互补视图。
LoRA 微调建模： 使用两个独立的大语言模型分支（语义分支和行为分支）进行参数高效微调。
推理与决策融合： 通过轻量级 MLP 融合多源特征，输出最终威胁评分。

B. 核心组件详解

1. 双模态视图构建 (Dual-Modality Views)

语义视图 (Semantic View)： 提取富含内容的日志项（如邮件正文、HTTP 请求内容），将其转换为指令格式的 Prompt，用于检测意图偏差、钓鱼或敏感数据泄露。
行为视图 (Behavioral View)： 提出 4W 引导的行为抽象 (4W-Guided Abstraction) 策略。
- 基于经典的 5W1H 框架，提取四个可观测维度：When (时间), Where (设备/地点), What (动作), Which (操作对象)。
- 将冗长的原子行为序列压缩为简洁的自然语言摘要（例如，将多次访问网站合并为“在工作时间访问了多个网站”）。
- 优势： 减少 Token 长度（实验显示减少约 36.7%），保留关键行为语义，增强时间推理能力。

2. 基于 LoRA 的微调策略 (LoRA Fine-tuning)
利用 Low-Rank Adaptation (LoRA) 对两个指令微调的 LLM 分支进行独立训练，以降低计算成本。作者探索了两种策略：

DMFI-A (统一微调)： 将正常和异常数据混合，微调单个模型。
DMFI-B (判别式双分支微调)： 核心创新点。分别使用正常数据 ( $D_{norm}$ $D_{n or m}$ ) 和异常数据 ( $D_{abn}$ $D_{abn}$ ) 微调两个独立的模型 ( $M_{norm}$ $M_{n or m}$ 和 $M_{abn}$ $M_{abn}$ )。
- 推理机制： 最终异常概率通过边界公式计算： $\alpha = \sigma (M_{abn}(x) - M_{norm}(x))$ 。
- 优势： 显式解耦正常与异常表示，利用相对差异增强对罕见威胁的敏感度，有效解决类别不平衡问题。

3. 多特征风险融合 (Multi-Feature Risk Fusion)

语义评分聚合： 对会话内所有语义条目的异常分数进行统计聚合（计算均值、最大值、标准差、最小值），形成固定维度的语义向量 $v_{sem}$ 。
行为评分： 行为分支输出会话级的风险分数 $\alpha_{beh}$ 。
决策融合： 将 $v_{sem}$ 和 $\alpha_{beh}$ 拼接，输入轻量级 MLP 进行分类，输出最终校准后的异常概率。

3. 主要贡献 (Key Contributions)

DMFI 框架提出： 首个将提示驱动的语义分析与微调后的行为画像相结合的统一内部威胁检测框架，利用模态对齐的 LLM 实现细粒度检测。
4W 引导抽象机制： 提出了一种新颖的行为序列压缩方法，将异构的行为和语义线索统一为可解释的自然语言格式，支持变长和多模态数据的会话级推理。
判别式双分支策略 (DMFI-B)： 探索了基于 LoRA 的两种微调范式，特别是 DMFI-B，通过对比正常和异常模型的响应，显著提升了在严重类别不平衡下的异常分离能力。
多统计融合机制： 设计了基于描述性统计（均值、极值、方差等）的语义分数聚合方法，增强了模型对风险分布特征的捕捉能力。

4. 实验结果 (Results)

实验在 CERT r4.2 和 r5.2 数据集上进行，对比了传统机器学习、深度学习及现有 LLM 方法。

性能表现：
- DMFI-B 在所有指标上均优于基线模型。
- 在 CERT r4.2 上：精确率 (Precision) 95.3%，检测率 (DR) 92.9%，误报率 (FPR) 低至 0.9%，准确率 98.1%。
- 在 CERT r5.2 上：精确率 94.5%，检测率 93.8%，误报率 1.1%，准确率 98.1%。
- 相比次优的 LLM 方法 (Audit-LLM)，DMFI-B 将误报率降低了 40% 以上，同时提升了召回率。
消融实验结论：
- 双模态必要性： 同时使用语义和行为视图比单视图性能提升 2-4%。
- DMFI-B 优势： 双分支策略比统一微调 (DMFI-A) 在准确率和误报率上均有显著提升，证明了判别式学习的有效性。
- 统计聚合： 使用全统计量 (FullStats: 均值、最大、标准差、最小) 比仅使用最大值或均值效果更好。
- 基座模型： LLaMA3-8B 和 DeepSeek R1-7B 表现最佳，表明指令对齐质量至关重要。
效率分析：
- 4W 抽象策略减少了约 36.7% 的 Token 数量，显著提升了推理效率。
- DMFI-B 虽然训练和推理成本略高于 DMFI-A，但在资源受限场景下仍具有可行性，且提供了更好的检测精度。

5. 意义与价值 (Significance)

解决语义与行为的割裂： 填补了现有研究未能同时有效整合自然语言语义（如邮件内容）和行为时间结构（如操作序列）的空白。
提升可解释性： 通过 4W 抽象和自然语言输出，模型不仅能给出“是/否”的判断，还能提供人类可读的行为摘要和异常理由，便于安全分析师理解。
应对不平衡数据： 提出的判别式双分支策略 (DMFI-B) 为处理内部威胁检测中极度稀缺的异常样本问题提供了新的思路，显著降低了误报率。
可扩展性与落地性： 基于 LoRA 的参数高效微调使得模型可以在有限资源下部署；多模态设计使其能够适应云审计、IoT 等不同场景。

总结： DMFI 通过结合大语言模型的强大语义推理能力和结构化的行为建模，提供了一种可扩展、高精度且可解释的内部威胁检测解决方案，代表了该领域从单一模态向多模态融合、从静态规则向动态语义理解的重要演进。