加密流量分类不再逐任务重训编码器：ProtoSPM 冻结一套权重，三个标签空间共用
核心概要
加密流量分类过去每换一批应用或网站标签，就要重新训练整个编码器，微调后的分数也混入了下游监督学习的效果。ProtoSPM 把双向流整理成 51 个协议字段的矩阵，用掩码重建在无标签骨干网流量上预训练，之后冻结编码器、只训练各任务的头。在 ISCX-VPN-app、TLS-120 和 CipherSpectrum 上，12.03M 参数的完整模型取得 61.29%、67.98% 和 71.28% 的宏平均 F1，比同输入、参数量接近的普通字段 Transformer 高 2.13 至 26.65 个百分点。
深度剖析
同一套预训练编码器权重不再随任务更新，只接上各自独立的分类头，就能分别服务应用识别和网站识别两类标签空间。 此前的做法通常在无标签流量上预训练后用带标签数据微调整个模型，编码器会被任务标签改写，因而难以单独判断预训练表示本身是否可复用。 在 ISCX-VPN-app、TLS-120 和 CipherSpectrum 上冻结编码器后，宏平均 F1 分别为 61.29±1.54%、67.98±1.23% 和 71.28±1.20%，三个数据集共用同一套编码器权重。
编码器把每条双向流表示成协议字段矩阵，字段按协议来源和功能分成 Other、IP、TCP、UDP、TLS 握手五组，每组内部共享时序卷积参数。 类型感知嵌入按取值域分流：二值字段查表、低基数编码查表、时间差与载荷长度先取 log(1+x) 再线性投影、其余标量标准化后线性投影。 预训练使用 2025 年 1 月 1 日采集的 MAWI 骨干网流量，解析聚合后约 357 万条 TCP/UDP 流，取前 10 个包、51 个字段构成输入矩阵。
分层字段注意力先在各协议组内做注意力，再把组内输出均值池化成 5 个组摘要做跨组注意力，并把跨组上下文广播回组内字段。 对 51 个字段做平坦注意力每个时间步需要 2601 个字段分数，分层结构把组内与跨组分数合计降到 766 个。 四个编码器层各带一组零初始化的字段关系偏置，每层 766 个偏置参数，四层共 3064 个，随预训练梯度学习。
启示与展望
演示范围是闭集的应用识别与网站识别：同一套 MAWI 预训练编码器在 ISCX-VPN-app、TLS-120 和 CipherSpectrum 上冻结权重，只训练注意力池化与 MLP 分类头。输入固定为每条双向流前 10 个包、51 个字段，且只使用明文协议头、包级行为测量和可解析的 TLS 握手元数据，不使用解密密钥或解密后的应用载荷。
固定宽度输入矩阵用同一个原始域零值同时表示短流填充、不适用字段和解析失败，而合法字段也可能等于零。随机/操作字段的影响随数据集而异：置零后 ISCX-VPN-app 宏平均 F1 下降 2.08 点，TLS-120 反而上升 0.98 点。评估只覆盖闭集识别，时序变化、采集环境迁移和未知类别下的表现尚未刻画，多次预训练初始化对共享编码器稳定性的影响也未考察。