小模型不再靠猜流量：把误判写成带数值条件的规则，宏F1从个位数升到八成以上
网络入侵检测里，小语言模型直接读数值流量记录往往分不清类别。SERA-IDS 让一个 8B 模型只分析被误判的流量，把每次混淆写成含行为描述、特征条件、类别混淆信息、工具置信度和来源的结构化规则，经置信度门控后存入经验库。测试时经验库冻结，检索至多五条类别多样的规则并逐条核对条件，Llama 3.1、Phi-4:14B、Qwen2.5:7B 在 NF-BoT-IoT 与 NF-ToN-IoT 上的宏F1由 1.94%–11.66% 升至 69.50%–87.66%，全程不微调、不用付费托管推理。