SwarmReconGuard 基准显示：已知攻击策略检出率 100%，未见策略仅 3%
核心概要
作者将分布式集体侦察（DCR）形式化为在单身份请求均合规、协调关系隐藏条件下最大化集体信息获取的威胁，并构建仅依赖服务边界遥测的 Docker 隔离可复现基准 SwarmReconGuard，在 11 种行为、10 至 10000 个虚拟身份、440 次运行与 3,666,300 次请求上比较语义、高斯、条件、图、核、混合与 CUSUM 检测器；高斯似然比在已知攻击上达到 100% 检出与 0% 观测误报，但对未见策略仅 3%，CUSUM 整体检出 36.1%，混合 CUSUM 在 10000 身份时达 85.7%。
Figure 1: SwarmReconGuard architecture. Attacker-side policy and coordination are hidden. The defender receives only API-boundary telemetry, from which window-level semantic, graph, distributional, and sequential evidence is derived.
arXiv深度剖析
论文把 DCR 定义为一种与 DDoS 目标不同的威胁：攻击者不追求可用性下降，而是让每个身份保持低速率、合法、看似正常，由群体累积获取端点行为、标识结构与诊断元数据等系统知识。 既有入侵检测研究以流、主机或身份级分类、DDoS 检测与僵尸网络特征为主，无法直接回答“每个身份都在常规请求预算内、且防御者看不到智能体内部协调时能否检出协同信息获取”。 威胁模型给出仅观测边界遥测的设定，并给出可观测性极限：当攻击与良性可观测分布完全一致时，任何仅用边界信息的检测器都无法优于随机猜测。
SwarmReconGuard 提供可复现的 Docker 隔离基准，包含 4 种良性对照、7 种攻击策略、4 个种群规模、独立训练/校准/测试阶段与精确遥测核算。 与只报告分布内准确率的做法不同，该基准显式测量策略泛化，并设置良性诊断访问、良性探索与良性批量访问等难以取巧的对照。 最终研究包含 440/440 有效运行与恰好 3,666,300 个已处理事件，对应 3,666,300 次测试请求，零遥测失败；训练与校准另加 3,066,990 次参考请求，阈值由 299 条独立良性流校准。
检测器比较显示已知策略与未见策略之间存在显著泛化差距：高斯似然比在两种已知攻击策略上 100% 检出、0% 观测误报，但对五种未见策略仅 3.0%；启发式从 93.75% 降至 7.5%。 这一负向结果说明，已知攻击上的近乎完美分离并不能证明 DCR 防御稳健，攻击者可改变协调方式、诊断使用、时序或攻击者比例而保持集体信息获取目标不变。 结果来自独立校准操作点上的检出率、FPR、精确率与 F1，并辅以留攻击策略等离线折分析；离线留攻击折中混合排序池化 AUROC 0.841、宏 AUROC 0.846，但校准检出为 39.3%、FPR 4.46%。
顺序证据累积是当前最有希望的方向：CUSUM 取得最高整体检出率 36.1% 与 F1 0.527（FPR 1.25%、精确率 98.1%），混合 CUSUM 在 10000 身份时达 85.7% 检出且该规模下 0% 观测误报。 这表明 DCR 更适合建模为随时间累积的弱证据，而非单个异常窗口；同时“智能体越多越易检测”并非普遍规律，可检测性取决于策略、窗口化、累积结构与校准的相互作用。 规模分析显示混合 CUSUM 在 10 与 100 身份时无效、1000 身份时 31.4%、10000 身份时 85.7%；CUSUM 在 100、1000、10000 身份分别为 52.9%、34.3%、57.1%。
启示与展望
该基准面向服务边界遥测这一设定：防御者拥有网关与目标服务，能看到完整合成边界遥测，但看不到提示、共享内存、协调消息、模型激活、真实蜂群成员关系或场景标签。它适用于量化“仅靠行为检测”的残余可观测信号与代价，为 API 防御架构提供参考，包括把检测与情境化授权、任务范围能力、选择性挑战、响应最小化或服务级暴露预算结合。作者指出，成功防御必须利用可观测分布差异、引入新的区分性上下文、减少信息披露，或接受残余泄漏。研究目标被表述为在低于饱和拐点的服务上实现高未见策略召回、低于 1% 的 FPR、低告警或结束时的暴露以及可忽略的增量 SLA 影响。
结果基于单一合成市政风格 API 与脚本化策略，作者明确说明脚本化策略提供种群规模上的实验控制，并不声称 10,000 个实体都是 LLM 智能体，因此从脚本蜂群到真实受限 LLM 智能体的迁移仍需验证。匹配蜂群构造只是近似对齐个体资源边际，而非证明完整个体分布相等。实验室提供试验边界，生产检测需要连续分段、衰减、会话化或滚动时域告警策略。299 流秩校准在可交换性与可比时域假设下控制流级误报概率，工作负载、规模或季节性变化可能违反该假设，因此观测 FPR 与 Wilson 区间应优先于名义值。语义覆盖统计的是唯一合成资源键，并非真实攻击者所学秘密的信息论估计。目标服务在 1,000 至 10,000 身份时饱和，严格 SLA 保持声明需要单独容量研究。手工图证据未提升当前混合方法，应视为负向消融结果。检测器为观测式，不节流、不脱敏、不挑战、不改变响应，因此测量的是检测与暴露而非防护收益或用户摩擦成本。