🤖 AI

Neuro-Agentic Control: A Deep Learning-based LLM-Powered Agentic AI Framework for Controlling Security Controls

本文介绍了一种神经智能体控制框架，该框架结合了基于大语言模型的规划器、时间序列基础模型以及反事实物理注入机制，旨在实现针对工业物联网环境中网络攻击的安全且符合物理规律的自主防御，在有效防止入侵的同时消除不安全的幻觉行为。

原作者： Saroj Gopali, Bipin Chhetri, Deepika Giri, Sima Siami-Namini, Akbar Siami Namin

发布于 2026-07-13

📖 1 分钟阅读☕ 轻松阅读

原作者： Saroj Gopali, Bipin Chhetri, Deepika Giri, Sima Siami-Namini, Akbar Siami Namin

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

想象一下，你是一名高科技水处理厂的船长。你的职责是防止一个巨大的水箱溢出，否则可能会造成巨大的混乱甚至物理损坏。通常情况下，你依赖于一套严格的规则手册：“如果水位达到 800mm，就打开排水口。”但如果有一个狡猾的黑客篡改了传感器，使得水位上升的速度超过了你的规则手册所能处理的范围，该怎么办？

这就是一个被称为**神经代理控制（Neuro-Agentic Control）**的新理念发挥作用的地方。把它想象成一个由两个超级智能机器人组成的梦幻团队，共同协作来拯救局面。

梦幻组合：建筑师与哨兵

第一个机器人叫做**“建筑师”（The Architect）**。它由一个超级聪明的 AI 大脑（具体来说是一个名为 Gemini 2.5 Flash-Lite 的模型）驱动。建筑师擅长观察局势并制定巧妙的计划。它可能会说：“嘿，水位正在上升！让我们把排水阀以极快的速度打开 30 秒！”

但问题在于，建筑师有点爱做白日梦。有时，它会变得过于“有创意”，提出一些在物理上不可能实现或危险的想法，比如当水箱已经满载时说：“再加点水！”在现实世界中，如果你让一个爱做白日梦的人来控制机器，最终会导致灾难。

第二个机器人是**“哨兵”（The Sentinel）**。这是一个严肃、不苟言笑的“时空旅行计算器”（由 TimesFM 模型驱动）。哨兵不会做梦；它只负责预测。它完全了解基于物理学和数学原理的水流行为。

魔法技巧：“如果……会怎样？”模拟

这个系统的精妙之处在于它们是如何交流的。在建筑师的计划真正作用于真实的储水箱之前，哨兵会先运行一个“如果……会怎样？”的模拟。

想象一下，建筑师建议：“每秒排水 50mm。”哨兵会瞬间暂停时间并询问：“好吧，如果我们这样做，未来几分钟内水位会发生什么变化？”

如果计划奏效： 哨兵看到水位正在安全下降。它会给出“赞许”信号，随后真实的阀门才会开启。
如果计划是“幻觉”： 如果建筑师不小心提出了“加水”或者排水速率过快等离谱的要求，哨兵会在模拟中看到水位飙升。它会立即踩下刹车，说：“不行，这个主意很糟糕，”并将该计划丢进垃圾桶。

这个过程被称为反事实物理注入（Counterfactual Physics Injection）。它就像一个安全网，在建筑师犯错之前将其拦截。

它真的奏效了吗？

研究人员在一个名为 SWaT 的真实水处理厂的数字版本上测试了这支团队。他们模拟了 15 种不同的攻击场景，包括水位突然飙升、缓慢泄漏以及嘈杂且混乱的数据。

以下是该团队与传统“老派机器人”（称为 LSTM 和 TCN）的表现对比：

老派机器人： LSTM 机器人在 15 次试验中成功阻止了 4 次溢出（约 27%）。TCN 机器人仅在 15 次试验中成功阻止了 2 次（约 13%）。
新团队： 神经代理团队（建筑师 + 哨兵）成功阻止了 5 次溢出（33.3%）。

但真正的胜利不仅在于阻止了更多的泄漏，更在于它从未犯错。在所有 15 次试验中，该系统拒绝了建筑师提出的每一个不安全或不可能的想法。它从未执行过任何“幻觉”动作。事实上，在其中一次特定的试验中，新团队将风险降低了惊人的 215.38 个单位，这远比老派机器人能做到的最好成绩（它们最高只能做到 67 个单位）要出色得多。

代价：需要一点思考时间

这里有一个小小的权衡。因为哨兵必须运行这些“如果……会怎样？”的模拟来确保计划的安全，所以整个过程需要更长的时间。系统大约需要 1.5 到 2.5 秒 来做出决策。

对于一个水箱来说，这已经足够快了。但对于一个以闪电般速度移动的机械臂来说，这可能太慢了。作者认为，为了安全性，这是一个值得的交易，但也承认他们未来需要让其他类型的机器运行得更快。

总结

这篇论文表明，我们可以使用超级聪明、富有创造力的 AI 来控制危险的机器，只要我们为它配上一位严谨、精通物理学的“监护人”。“建筑师”负责构思想法，而“哨兵”则通过数学检查来确保这些想法不会搞砸工厂。在这些模拟中，这支团队在阻止灾难方面表现得更好，也比传统方法更安全，证明了只要有一个严肃的朋友在身边保持理性，一点点“白日梦”也是可以接受的。

技术摘要：用于工业物联网安全的神经代理控制框架

1. 问题陈述

针对操作技术（OT）和工业物联网（IIoT）系统的网络攻击正日益导致显著的经济损失和物理安全风险。传统的基于规则的监控在现代工业部署的复杂、高密度环境中已显得力不从心。虽然大语言模型（LLMs）提供了强大的语义推理能力以支持决策，但其“幻觉”倾向（生成事实错误或物理上不可能的输出）对于闭环控制系统而言构成了不可接受的安全责任。相反，现有的时间序列预测模型往往缺乏制定复杂对抗策略所需的语义推理能力。因此，迫切需要一种既能利用 LLM 的推理能力，又能将其行动严格锚定在物理现实中，以防止网络物理系统（CPS）发生灾难性故障的框架。

2. 方法论

本文提出了一种神经代理控制框架（Neuro-Agentic Control Framework），这是一种将语义推理与物理控制解耦的两阶段架构。该系统作为一个闭环运行，由两个主要代理组成：

架构师（LLM 规划器）： 利用 Gemini 2.5 Flash-Lite，该代理充当语义推理器。它接收上下文数据（传感器趋势、预测的失效时间以及通过检索增强生成获取的操作手册）并生成候选控制策略。这些策略以结构化 JSON 对象的形式输出，定义了动作类型、量级（例如，排水速率）和持续时间。
哨兵（物理引擎）： 利用 TimesFM（一种预训练的时间序列基础模型），该代理作为确定性的物理真值。它不更新其内部权重，而是利用其预训练的对时间动态的知识来预测未来的系统状态。

核心机制：反事实物理注入

其核心创新在于**反事实物理注入（Counterfactual Physics Injection）**机制。由于 LLM 无法直接修改基础模型的权重，该框架将 LLM 的语义指令转化为预测时间序列中的数值扰动。

系统通过对预测时界应用累积线性注入来模拟 LLM 提议的动作（例如，打开排水阀）的效果。
对于排水速率 $\mu$ $μ$ 和持续时间 $\delta$ $δ$ ，修改后的预测值 $\hat{y}'_t$ $\overset{y}{^}_{t}^{'}$ 计算如下：
- 当 $t < \delta$ 时： $\hat{y}'_t = \hat{y}_t + \mu \cdot (t + 1)$ （累积排水效应）。
- 当 $t \geq \delta$ 时： $\hat{y}'_t = \hat{y}_t + \mu \cdot \delta$ （维持最终排出的液位）。
这使得哨兵能够在提议的动作执行之前，预测其物理结果。

幻觉拒绝策略

该框架采用确定性的**幻觉拒绝（Hallucination Rejection）**算法。在任何动作执行之前，哨兵都会模拟每个由架构师提出的候选策略的结果。

安全性验证： 如果模拟的动作导致系统状态比基准线更差（例如，在溢流场景下执行正向量级的“注水”动作，或未能将液位降至临界阈值以下），则该动作会被拒绝。
优化： 系统会选择最优动作 $a^*$ ，使所有有效候选方案中的预期风险（最大峰值液位）最小化。如果所有候选方案都是不安全或无效的，系统将默认进入“监控（Monitor）”状态。

3. 核心贡献

新颖架构： 一种神经代理控制框架，明确地将语义推理（LLM）与物理控制（基础模型）分离，用于物联网系统。
反事实物理注入： 一种将语义控制动作转化为未来预测数值扰动的机制，无需对基础模型进行微调即可实现确定性验证。
确定性拒绝策略： 一种基于最坏情况风险最小化的安全层，能够自动拒绝不安全、物理无效或产生幻觉的 LLM 提议。
实证验证： 在 SWaT（安全水处理）数据集上的有效性演示，表明该框架在突破预防方面优于传统的深度学习基准模型。

4. 实验结果

该框架在 SWaT 数据集（安全水处理）上进行了评估，测试了包含三种攻击类型（突发尖峰、渐进漂移和高噪声）的 15 种随机攻击场景。性能对比对象为 LSTM 和 时间卷积网络 (TCN) 基准模型。

突破预防：
- 神经代理框架： 在 15 次试验中成功阻止了 5 次突破（33.3%）。
- LSTM： 在 15 次试验中成功阻止了 4 次突破（26.7%）。
- TCN： 在 15 次试验中成功阻止了 2 次突破（13.3%）。
风险降低：
- 神经代理框架实现了平均 48.51 单位 的风险降低，显著优于 LSTM（16.77 单位）和 TCN（20.29 单位）。
- 在最成功的试验（试验 10）中，该框架将风险峰值降低了 215.38 单位，是 LSTM 基准模型最大降幅的三倍以上。
安全性与幻觉：
- 至关重要的是，神经代理系统执行了 零次幻觉或物理无效动作。哨兵成功过滤掉了所有不安全的提议（例如，在溢流期间执行正向量级的动作）并在执行前将其拦截。
- 相比之下，基准模型要么未能防止突破，或者在神经代理系统的情况下，其拒绝机制确保了没有任何“幻觉”策略被应用于系统。

5. 重要性与主张

论文声称，神经代理环路成功弥合了生成式 AI 的高层推理能力与工业控制严格安全要求之间的鸿沟。通过利用时间序列基础模型作为“哨兵”，该系统提供了一个基于物理的物理世界模型，用于确定性地验证 LLM 的决策。

安全保障： 该框架将 LLM 从不透明、概率性的预测器转变为可解释、受安全约束的规划器。它确保了不会执行任何幻觉控制动作，解决了使用 LLM 处理安全关键型 CPS 的主要障碍。
性能： 系统证明，将 LLM 与基础模型结合使用，在突破预防和风险降低方面比传统深度学习模型表现更好，特别是在需要快速、果断干预的场景下（例如，突发尖峰）。
权衡： 作者承认，这种方法会引入每个控制周期 1.5 到 2.5 秒 的推理延迟（由于 LLM 生成和反事实模拟），这高于传统的 PID 控制器，但在大多数化学和流体工艺的操作时间常数范围内仍属合理。

论文总结道，只要能够管理好延迟并在多样化的环境中进行验证，该架构为自主、安全的工业防御提供了一条可行路径。未来的工作建议通过模型量化来优化推理延迟，并测试针对旨在攻击基础模型预测时界的对抗性攻击的鲁棒性。