💻 计算机科学

BAg-IDS: A Blockchain-Enabled Agentic AI Architecture for Trustworthy Intrusion Detection

BAg-IDS 是一种分布式、基于区块链的架构，它利用自主代理和校准集成在 Hyperledger Fabric 分布式账本上对入侵检测判定进行共同签名，实现了近乎完美的准确率（99.98%）和可信认证，同时仅产生约 2 秒的结构化共识延迟。

原作者： Mohamed Ala Eddine BAHRI, Farah JEMILI, Mohamed MOSBAH

发布于 2026-10-30

📖 1 分钟阅读☕ 轻松阅读

CC BY 4.0

原作者： Mohamed Ala Eddine BAHRI, Farah JEMILI, Mohamed MOSBAH

原始论文采用 CC BY 4.0 许可（https://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

在数字世界中，安全团队依赖自动化系统来识别试图入侵计算机网络的入侵者。这些被称为入侵检测系统的系统已经变得极其擅长发现麻烦，通常使用能够从过去攻击中学习以识别新攻击的高级软件。然而，一个显著的问题仍然存在：当这些系统发现威胁时，它们会发布一个操作员必须直接信任的判决。没有独立的见证人来确认该决定，而且发生的数字记录可能会被聪明的攻击者篡改或删除。如果软件犯了错误，或者运行它的计算机被攻破，其结果可能是对无辜用户采取了有害行动，或者让真实的攻击悄无声息地溜走。核心挑战在于构建一个不仅准确而且值得信赖的系统，其中决策本身在采取任何行动之前都要经过多个独立方的验证，并且决策记录无法被篡改。

一组研究人员开发了一个名为 BAg-IDS 的新系统来解决这个问题。他们没有依赖单台计算机来做出最终决定，而是创建了一个自主软件智能体网络，这些智能体协同工作，进行检测、复核并认证每一次警报。想象一下一位保安，在锁门之前，必须获得另外两名独立保安的第二意见，然后将他们的协议记录在一个永久、不可更改的账本中，任何人都无法擦除。这就是这种新架构的本质。该系统使用一种特殊的数字账本（类似于区块链）来记录决策过程中的每一步。这确保了如果做出拦截攻击者的决定，该决定已经过一组独立智能体的验证，并且该协议的证明被存储在一种无法伪造或事后更改的方式中。

该系统设计了一个巧妙的分工以保持高效。大多数时候，它运行在“反射”路径上，通过一个由三个不同检测模型组成的团队在毫秒内扫描网络流量。这些模型协同工作，比其中任何一个单独工作时都能做出更可靠的决策。如果系统对某段流量不确定，它会暂停并寻求第二意见，而不是进行猜测。只有当系统确信正在发生攻击时，它才会进入一个更慢、更谨慎的阶段。在这个阶段，警报会被发送给一组独立的“公证”智能体。每个公证人都会独立检查警报并投出数字选票。只有当多数公证人达成一致时，警报才会被批准。整个投票过程都记录在区块链上，创造了一个关于谁在何时同意了决策的永久、不可篡改的历史记录。

研究人员在包含数百万网络流的真实世界数据集上测试了该系统。他们发现该系统具有极高的准确性。在一个标准测试集上，该系统在所有决策中的正确识别攻击率达到了 96.6%。更重要的是，对于那些经过公证人小组认证的特定警报，准确率上升到了 99.7%，误报率仅为 0.04%。这意味着，当系统说“拦截这个”时，它几乎肯定是正确的。该系统也证明了其在面对旨在欺骗它的攻击时的韧性。当研究人员模拟了一种检测模型被损坏并开始出错的情景时，系统会自动降低该故障模型的权重。整体准确率仅下降了极小的比例，表明这种基于团队的方法即使在其中一个成员被攻破时也能保护系统。

另一个关键发现是系统如何处理达成决策所需的时间。由于区块链投票过程需要几秒钟时间，研究人员确保这一步骤仅针对真正重要的警报进行。初始扫描是即时的，但最终的、经过认证的决策每票大约需要两秒钟。这种延迟是设计中的结构性部分，旨在确保协议是真实的且不会被单个恶意行为者催促。系统通过仅将这种细致、缓慢的过程应用于触发警报的一小部分流量来处理这个问题，而其余流量则以全速通过。这种平衡使得系统既能满足实时使用的速度需求，又具备足够的安全性。

该系统还包含了人类元素。安全操作员可以在采取行动之前介入，审查最严重的警报。至关重要的是，即使是人类的行为也会被记录在区块链上。如果操作员决定批准拦截或更改设置，该决定会被签名并永久存储。这创造了一个完整的审计追踪，展示了不仅是计算机做了什么决定，还有人类做了什么决定，使整个过程透明且具有问责制。研究人员证明了这种全栈技术——从快速的初始检测到缓慢的、经过验证的共识，再到人类监督——可以在标准计算机硬件上运行，证明了这种安全的系统在现实应用中是切实可行的。

在测试中，该系统还评估了一个较新的、由 2025 年独立生成的具有不同特征的数据集（与最初训练的数据集特征不同）。该系统适应良好，在认证警报上的准确率保持在 99.98%。这表明该方法具有鲁棒性，可以处理不同类型的网络流量而无需完全重建。研究人员得出结论，通过将机器学习与去中心化投票系统及人类监督相结合，可以创建一个准确、抗腐败且完全可审计的入侵检测系统。这项工作超越了仅仅让检测器变得更聪明；它构建了一个决策的可信度与决策本身同样重要的框架。

技术摘要：BAg-IDS

问题陈述

依赖深度学习的现代入侵检测系统（IDS）面临三个复合型弱点：

单一信任点： 决策由单个主机上的单个模型做出。如果模型被投毒、出错或主机被攻破，则缺乏防止有害自动化操作（例如拦截合法流量）的机制。
可变记录： 传统的日志是可篡改的。在事件发生后，不存在关于谁同意了某项决策或检测到了什么的防篡改记录，这在自动化响应和监管背景下会产生责任问题。
对攻击者的脆弱性： 已学习的检测器容易受到性能隐性下降的投毒攻击。现有的防御措施通常只是增加了显式的投毒检测器，这仅仅是将脆弱性转移到了新的组件上。

目前的研究将这些问题孤立地处理：基于区块链的 IDS 提供了防篡改日志，但将检测决策留给了未经加固的单个模型；智能体 AI 系统提供了推理能力，但在推理层之下缺乏去中心化的信任保证。目前缺乏一种能够将检测、信任和人类监督统一到单一、可度量系统中的架构。

方法论

本文提出了 BAg-IDS，一种基于区块链的智能体 AI 架构，旨在将认证置于决策路径而非事后日志中。该系统分为四个协作层，并采用了刻意的成本不对称设计：

1. 反射检测层（毫秒级规模）

架构： 一个由三个具有不同归纳偏置的异构神经检测器（RNN、CNN、DNN）组成的校准集成系统。
机制：
- 校准： 对每个检测器应用温度缩放（Temperature Scaling），以确保置信度分数具有可比性。
- 意识加权共识（CWC）： 一种可靠性加权融合策略，其权重与每个检测器近期的验证精度成正比。这使得集成系统能够自动抑制受损检测器，而无需显式的攻击检测。
- 拒绝门（Rejection Gate）： 一个基于置信度阈值 $\tau$ 的决策规则，输出三种判定之一：良性（Benign）、攻击（Attack） 或 拒绝（Rejected）。低置信度的决策会被拦截并路由至漂移监控。

2. 深思层（事件触发）

触发条件： 仅在显著事件（候选攻击或拒绝爆发）发生时调用。
机制：
- 哨兵（单次执行）： LLM 分析事件摘要，以确定严重程度并建议行动（拦截、限速等）。
- 调查员（智能体化）： 一个自主智能体循环（感知 $\to$ 推理 $\to$ 行动 $\to$ 反思），通过查询账本来检测相关的关联事件，以识别协同攻击活动。其推理痕迹锚定在链上。
- 回退机制： 确定性的基于规则的逻辑确保即使在 LLM 不可用时，系统仍能保持自主性和可复现性。

3. 共识层（区块链）

平台： Hyperledger Fabric（许可链）。
机制：
- 公证智能体： 独立的智能体重新验证警报的内部一致性（阈值和 arg-max）并投出带有加密签名的选票。
- 法定人数（Quorum）： 一个智能合约（validateVote）强制执行不变性：授权签名者、有效签名、无重放（每个公证人仅限一票）以及法定人数（例如 2/3）。
- 认证： 只有在达到法定人数后，ALERT_CERTIFIED 记录才会被密封在账本上，从而授权修复操作。这确保了没有任何单个智能体可以单方面触发行动。

4. 人机协同（HITL）监督

角色： 提供受治理且可审计的控制点。
机制：
- 治理： 管理操作（更改阈值、禁用监督）均经过签名并锚定在链上，使管理员行为可审计。
- 审批： 在监督模式下，高严重性的修复操作会被保留在审批队列中。
- 可解释性： 对于排队中的流，系统计算 Shapley 值归因（KernelSHAP）以解释融合决策，并辅以确定性推荐引擎和可选的 LLM 叙述。

核心贡献

智能体检测架构： 通过 Hyperledger Fabric 智能合约将认证置于决策路径中。自主智能体在触发任何修复动作前，都会检测、重新验证并共同签署每一个决策，并将人类治理行为也锚定在链上。
成本不对称分层： 通过将昂贵的共识和深思过程移出单流路径，实现了运营可行性。只有极小比例产生攻击判定的流才会承担 LLM 深思和链上共识的成本。
可靠性加权融合： 一种在检测器受损时能优雅降级的融合机制。通过根据近期校准的可靠性对检测器进行加权，集成系统可以自动抑制受损成员（权重从 ~0.33 塌陷至 ~0.01），而无需显式的投毒检测。
完整的度量评估： 在商用硬件上进行的端到端评估，包括共识成本的结构性界限、跨语料库验证（CICIDS2017 和 GeNIS 2025）以及建立 360 度警报基准，证明了共识延迟在结构上受限于账本的区块形成和密钥更新机制。

结果

系统在 CICIDS2017 数据集（15 类，平衡分布）和独立的 GeNIS 2025 语料库（9 类，自然分布）上进行了评估。

准确率：
- CICIDS2017： 校准后的集成系统在所有决策中实现 96.6% 的准确率。在认证子集（覆盖率 87.3%）上，准确率上升至 99.7%，误报率（FPR）为 0.04%。
- GeNIS 2025： 同一技术栈在认证子集（覆盖率 99.86%）上实现 99.98% 的准确率，误报率为 0.02%。
破坏鲁棒性： 在模拟输出破坏（即最强的检测器 RNN 被完全反转，准确率为 0.6%）的情况下，自适应集成系统仍保持 96.0% 的准确率。受损检测器的权重自动从 0.332 衰减至 0.014。静态权重或中值池化方法的表现则显著下降（降至 ~91%）。
共识延迟：
- 共识层增加了约 2 秒/票 的结构性延迟（主要由 Fabric 的区块形成时间决定，而非密码学计算）。
- 延迟随法定人数大小呈线性增长（ $K$ 个投票需要至少 $K$ 个区块），这是由于乐观并发下的“每个键每区块仅限一次写入”约束导致的。
- 反射路径不受影响，在商用硬件上维持了 37,524 流/秒 的速率。
泛化能力： 该架构在不同语料库之间无需修改即可迁移。拒绝门会根据语料库难度调整其成本：在较难的 CICIDS2017 任务中延迟了 12.7% 的流，而在较易的 GeNIS 任务中仅延迟了 0.14%。

意义与主张

本文声称 BAg-IDS 是第一个同时满足八项可信自主检测标准的度量系统：校准集成检测、选择性分类、破坏鲁棒性、去中心化密码共识、不可篡改决策审计、智能体 LLM 推理、受治理的人类监督以及线速可行性。

作者强调，该系统解决了传统 IDS 中的“单一信任点”问题，并解决了区块链日志“事后性”的问题，通过将认证直接集成到决策路径中来实现。其意义不在于提出了一种新的融合算法，而在于实现了一个检测、信任与监督不可分割的架构协同设计与实证验证。论文谦虚地指出，虽然结果表现强劲，但受限于特定的测试平台（类别平衡的 CICIDS2017 和具有体积偏差的 GeNIS）以及单主机账本部署，承认在实时流量上的验证仍是必要的下一步。