大模型智能体自己写物理残差检测器：BATADAL测试攻击F1从0.504升到0.878

运行时检测器不再只能从正常数据里学黑箱，也不再必须由工程师为每座工厂手工推导物理关系；PIA让语言模型智能体直接写出由物理残差组成的检测器，每条残差表达一条正常运行中应当成立的关系。 此前的学习型检测器（自编码器、循环预测器等）只建模全部传感器的联合分布，不知道哪些关系受物理约束，因此重放储罐液位或偏移压力读数这类仍落在正常范围内的隐蔽操纵会被漏掉，报警也不指出问题所在；手工物理残差虽能避开这两点，却需要专家为每座工厂逐条推导、参数化和调优。 在BATADAL配水网络攻击基准的测试攻击上，PIA配Claude Opus 5.5的F1为0.878，六种统计与深度基线中最强的PCA为0.504；提升主要来自召回率，从0.349升到0.874，基线能抓到多数攻击的开端，却在隐蔽手段生效后丢失目标。

检测器由智能体在部署前一次性设计完成，运行时不再调用模型，只计算一小组已拟合的算术表达式，因此行为可逐行审计，报警还能指向具体部件。 智能体拿到一份简短的工厂自然语言说明和一个在正常数据上运行的评测工作台，用受限表达式语言提出残差，观察每条候选在未参与拟合的正常数据上的拟合程度、误报率和对合成传感器操纵的反应，再据此修改，直到检测器在正常数据上安静并覆盖每个传感器和执行器。 Opus的一次设计会话平均发出52次工具调用，消耗36.4万输入token和2.3万输出token，用时194秒；部署的检测器约含二十条拟合表达式，拟合耗时0.13秒，在CPU上给三个月测试期打分用时33毫秒，不需要GPU，也不调用模型。

评测范围是BATADAL的C-Town配水网络：43个信号、一年正常运行数据、含7次攻击的Dataset 2和含7次攻击的三个月测试集，所有检测器和智能体都只用正常数据，攻击标签取自组织方公布的攻击时间表。检测器面向需要在监督采样率上在线运行的工厂运行人员，设计阶段一次性完成，运行时不再调用语言模型。

攻击14在送往控制器的途中改动T4液位而报告值仍在正常带内，包括PIA在内的所有检测器都只在一次瞬态附近报警。作者指出，当工厂配置、运行条件或传感器可靠性变化时如何修订残差程序仍是未解问题，这类修订需要在新关系上对照正常数据验证，同时保持可解释性和低运行成本，且不在本次评测范围内。