🤖 AI

Beyond Runtime Enforcement: Shield Synthesis as Defensibility Analysis for Adversarial Networks

本文认为，屏蔽合成（shield synthesis）应当被重新构想为一种在设计阶段用于推导形式化“防御性判决”及网络安全架构见解的分析框架，而非主要作为一种用于执行安全智能体策略的运行时机制。

原作者： Achraf Hsain, Sultan Almuhammadi

发布于 2026-06-12

📖 1 分钟阅读☕ 轻松阅读

原作者： Achraf Hsain, Sultan Almuhammadi

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

想象一下，你是一位高安全性城堡的设计师。你的职责不仅仅是建造围墙，更重要的是回答一个令人胆战心惊的问题：“如果一个聪明且意志坚定的敌人发起进攻，我们真的能赢吗？我们能阻挡他们多久？”

长期以来，计算机科学家一直试图通过为城堡的自动化卫兵建立一个“保镖”（称为 Shield/屏蔽器）来回答这个问题。这个保镖的任务是在战斗中站在卫兵身边，不断提醒：“不，别去那里！那不安全！” 这被称为 运行时强制执行（Runtime Enforcement）。

问题所在： 本文的作者认为，这种使用保镖的方式是错误的。

缺陷： 如果你对城堡的地图有一点点错误（比如你漏掉了一个秘密通道），保镖可能会认为走某条路径是安全的，而实际上那条路通向陷阱。保镖会给人一种虚假的安全感。
规模： 构建一个能够了解复杂网络中每一个可能动作的保镖，就像试图记住沙滩上的每一粒沙子一样。这对于实际应用来说太沉重、太缓慢了。

新思路：“假设”模拟器
与其在实时战斗中使用保镖，作者建议：“让我们在敌人到来之前，利用保镖的大脑来分析这座城堡。”

他们称之为 作为防御性分析的屏蔽器综合（Shield Synthesis as Defensibility Analysis）。与其把它看作一个保镖，不如把它看作一个 超级强大的战争游戏模拟器。

模拟器如何运作

作者设置了一个由两名玩家参与的游戏：

防御者（你）： 你有一本规则书（例如：“数据库绝不能被黑”）。
攻击者（敌人）： 他们也有自己的规则书（例如：“你每次攻击只能尝试破坏两台服务器”）。

模拟器运行一次数学计算来观察：“是否存在任何一种方式，能让攻击者无论防御者玩得多么聪明都能获胜？”

结论： 模拟器给出一个简单的“是”或“否”。
- 是：城堡是 可防御的（Defensible）。存在一种完美的策略可以获胜。
- 否：城堡是 不可防御的（Indefensible）。无论你做什么，敌人都能获胜。
地图： 如果城堡是可防御的，模拟器会绘制一张“获胜地图”。这张地图展示了防御者可以采取的所有安全路径。它证明了安全策略的存在。

安全性的“指纹”

仅仅知道“是的，我们可以赢”是不够的。你还想知道这到底有多难。为了衡量这一点，作者创建了一个 防御性指纹（Defensibility Fingerprint）。

想象一个雷达图（类似于蜘蛛网），它有六个轴，每个轴衡量城堡弱点的不同方面：

可攻击性（Attackability）： 敌人接近危险区域有多容易？
沉没比例（Sinking Ratio）： 有多少“安全”房间实际上是等待被触发的陷阱？
屏蔽器摩擦力（Shield Friction）： 防御者的多少动作因为风险过高而被阻挡？（高摩擦力意味着防御者被逼入了死角）。
陡峭度（Steepness）： 通往灾难的路径是一个突然的悬崖（一步错，全盘皆输），还是一个缓坡（你还有时间反应）？
违规接近度（Violation Proximity）： 安全区域距离危险区域有多近？
攻击者主导权（Attacker Dominance）： 即便我们能赢，在战斗过程中敌人控制了多少比例的城堡？

重大发现：“双层”惊喜

作者发现的最令人惊讶的事情是，形式化安全性（数学层面） 与 操作现实（实际战斗层面） 讲述的是两个不同的故事。

他们用一个小型网络的“假设”实验测试了这一点：

场景： 他们移除了一个被遗忘的“后门”（一个 VPN 隧道），这个后门曾让敌人能绕过正门潜入。
数学层面（第一层）： “获胜地图”几乎没有变化。数学告诉我们：“你原本就是可防御的；移除这扇门并没有改变你能够获胜的事实。”
现实层面（第二层）： 当他们运行具有自适应 AI 智能体互相战斗的模拟时，结果是 剧烈的。
- 有后门时： 防御者在战斗期间仅控制了约 54% 的网络。这是一场混乱、绝望的战斗。
- 无后门时： 防御者控制了 81% 的网络。战斗变得轻松且游刃有余。

教训： 数学告诉他们城堡是“安全的”，但模拟器告诉他们城堡正在“挣扎”。只有通过观察这两个层面，他们才意识到，关闭那个微小的后门会将一场绝望的挣扎转变为一场轻松的胜利。

总结

本文认为，我们不应该试图使用这些复杂的安全工具来实时控制机器人（因为它们太慢且太脆弱），而应该将它们用作 建筑学的 X 光机。

旧方法： “这是一个保镖，用来阻止你的机器人犯错。”
新方法： “这是一个模拟器，它能告诉你你的城堡设计是否从根本上存在缺陷，敌人离获胜有多近，以及哪一个小小的改变（比如关闭一个后门）将决定是一场艰苦的战斗还是一场轻松的胜利。”

其输出结果不是机器人的安全策略，而是设计师的 可防御性证书。

技术摘要：以防御性分析为目标的屏蔽合成（Shield Synthesis）对抗网络研究

1. 问题陈述

当前的网络安全评估工具在处理战略型对手建模方面存在根本性的缺陷。静态验证工具可以确认固定配置下的可达性和隔离性，但无法模拟具有策略性的对手。相反，用于网络安全的强化学习（RL）虽然可以针对模拟攻击者训练自适应智能体，但一个能在一种对手面前生存的策略可能会在另一种对手面前失效，且目前尚无非正式方法能够证明一个网络拓扑在本质上是不可防御的。

现有的屏蔽强化学习（ShRL）方法通常将屏蔽合成视为一种运行时强制执行机制。在这种范式下，时序逻辑规范被编译为自动机，用以在训练或部署期间限制智能体的动作。然而，这种框架面临严重的局限性：

可扩展性： 显式状态合成随状态变量呈指数级增长，这使得可计算的任务仅限于小型环境。
模型脆弱性： 保证是受限于模型的。如果部署后的动力学特性与假设的转移模型不符（模型失配），那么“安全”的屏蔽可能会在并不安全的地方断言安全。
部分可观测性： 标准公式在没有强抽象假设的情况下，难以处理部分可观测马尔可夫决策过程（POMDP）。

作者认为，将屏蔽合成视为运行时过滤器是“错误的产物”。他们提议将同样的基于自动机的理论机制重新定义为一种设计时分析工具。其目标不是为部署中的智能体生成安全策略，而是生成关于系统是否可防御、何处存在漏洞以及架构变化如何影响防御能力的结构化洞察和形式化证明。

2. 方法论

本文通过针对网络防御的**双规范约束安全博弈（Dual-Specification Constrained Safety Game）**实现了这一视角。

2.1 网络防御博弈

系统将关键网络段建模为一个有向图，其中主机具有不同状态（清洁、受损、被检测、隔离、摧毁）。该博弈涉及两方玩家：

防御者： 动作包括监控、隔离、恢复和修复主机。
攻击者： 动作包括传播感染和摧毁主机。

2.2 双规范与非对称强制执行

核心架构创新在于使用两个独立的时序逻辑规范，并将其编译为确定性有限自动机（DFA），进行非对称强制执行：

防御者规范 ( $\phi_D$ )： 定义安全目标（例如，关键资产不得同时处于受损状态）。该自动机（ $A_D$ ）用于初始化不安全集合（ $U$ ）的安全性博弈。如果系统进入 $A_D$ 处于拒绝状态的状态，则该过程是不安全的。
攻击者规范 ( $\phi_A$ )： 对攻击者施加操作约束（例如，每次交战中最多允许 2 次“摧毁”动作）。该自动机（ $A_A$ ）在吸引器计算过程中过滤攻击者的合法动作。攻击者只能选择能使 $A_A$ 保持在接受状态的转移。

这种非对称性至关重要： $\phi_D$ 定义了什么绝对不能发生，而 $\phi_A$ 定义了攻击者不能做什么。

2.3 安全博弈解法与吸引器计算

该框架构建了一个结合网络状态、回合指示器以及两个自动机状态的乘积博弈。它使用不动点吸引器算法计算防御者的获胜区域（Winning Region, $W$ ）：

吸引器（Attractor, $Attr^*$ ） 是指无论防御者采取何种策略，攻击者都能迫使系统违反 $\phi_D$ 的状态集合。
计算过程经过修改以遵循 $\phi_A$ ：只有当攻击者顶点拥有一个合法的后继状态（即满足 $\phi_A$ 的状态）已经在吸引器中时，该顶点才会进入吸引器。
防御性判定： 主要输出是一个二元证明：初始状态 $s_0 \in W$ 是否成立？如果成立，则该拓扑是可防御的；如果不成立，则不存在防御策略。
屏蔽提取： 屏蔽（一个安全动作的查找表）被推导为该判定的一个见证（witness），而非作为运行时控制器。

2.4 防御性指标与指纹

为了超越二元判定，作者推导了六个指标以构成防御性指纹（Defensibility Fingerprint）：

第一层（形式化博弈指标）： 源自吸引器壳层分解（状态距离违规情况的距离）。
- 可攻击性 (ATK)： 获胜区域对吸引器的加权暴露程度。
- 沉没率 (SNK)： 被吸收进不安全区域的非违规状态比例。
- 屏蔽摩擦 (FRC)： 为了维持安全，被屏蔽阻断的防御者动作比例。
- 吸引器陡峭度 (STP)： 壳层分布的熵（表现为悬崖状还是缓坡状）。
- 违规接近度 (VPX)： 到达违规状态平均步数的倒数。
第二层（操作指标）：
- 攻击者主导率 (ADR)： 源自屏蔽对抗多智能体强化学习（MARL）。两个极小化-极大Q学习器在获胜区域 $W$ 内进行博弈。该指标衡量在平衡状态下，攻击者控制的主机平均比例。

3. 核心贡献

双规范约束安全博弈： 一种将防御者的安全目标和攻击者的操作约束分别编译为不同 DFA，并进行非对称强制执行（前者用于初始化不安全集合，后者用于过滤后继状态）的公式化表达。
将防御性判定作为主要输出： 将获胜区域从中间步骤提升为主要的交付成果——即防御性的形式化证明。
防御性指纹： 一个结合了六个指标（五个形式化指标，一个操作指标）的统一诊断产物，用于表征网络配置。
以屏蔽对抗 MARL 作为诊断工具： 利用收敛后的 MARL 行为（防御者主导率）不仅作为智能体性能指标，更作为连续的拓扑诊断工具。
“假设分析”（What-If Analysis）： 证明了形式化安全和操作有效性捕捉了不同的维度，揭示了微小的架构变化可以在几乎不改变形式化安全裕度的情况下，剧烈改变操作结果。

4. 实验结果

该框架在一个带有“被遗忘”的 VPN 绕过边缘的 5 主机参考拓扑上进行了评估。分析了五个“假设分析”案例：

基准（Baseline）： 参考拓扑。
案例 2（全连接）： 增加连通性（从 6 条边增加到 13 条边）。
案例 3（无限次摧毁）： 移除攻击者资源约束。
案例 4（放宽 $\phi_D$ ）： 减少最小活跃主机数要求。
案例 5（移除 VPN）： 移除特定的 VPN 绕过边缘。

主要发现：

层级解耦： 在案例 2（全连接）中，形式化安全指标（获胜区域大小、可攻击性）与基准相比几乎没有变化。然而，操作结果（防御者主导率）从约 54% 骤降至约 23%。形式化博弈显示“生存是可能的”，但操作层揭示了防御者已被压垮。
对单条边的敏感性： 在案例 5（移除 VPN 绕过边缘）中，形式化获胜区域的大小变化微乎其微（从 23,730 个状态变为 23,858 个状态），但防御者主导率从 53.9% 跳升至 80.7%。这表明，单个架构缺陷即可使一个形式化可防御的系统在操作上变得不可防御。
规范扰动： 放宽约束（案例 3 和 4）使两层指标同步移动，证实了规范决定了博弈的几何结构，进而决定了操作行为。

5. 意义与主张

本文主张，屏蔽合成最有价值之处不在于作为安全智能体的部署机制，而在于作为一个回答架构问题的框架。

产品的转变： 输出是防御性判定和结构化洞察，而非安全策略。屏蔽是一个推导出的见证，而非交付物。
设计时工具： 该框架允许架构师带着形式化保证去询问：“此配置是否可防御？”、“有多强的防御力？”以及“哪些变化能提高防御裕度？”。
两层结构的必要性： 形式化安全博弈和操作 MARL 层是互补且不可替代的。一个系统可以是形式化可防御的（生存是可能的），但在操作上却是被压垮的（面对自适应对手时，生存实际上是不可能的）。
可操作的诊断： “防御性指纹”提供了一种可视化且量化的方式来比较配置，揭示了微小的拓扑变化（如单条防火墙规则）如何产生巨大的操作影响，而这些影响是静态分析或非正式模拟可能忽略的。

作者承认了其局限性，包括显式状态分析的可扩展性问题（仅限于小型子系统， $|V| \le 7$ ）以及确定性转移的假设。然而，他们认为对于正在进行架构决策的微型、关键网络段而言，该框架提供了一种能够量化防御性且比现有工具更严谨且高效的方法。