本论文聚焦于基于规则的入侵检测系统（如 Suricata）在规则编写环节的瓶颈问题：编写高质量检测规则需要深厚的专家经验，且规则产出速度难以跟上新兴威胁的演进节奏。现有基于大语言模型（LLM）的方案虽然能降低分析员负担，但存在两类缺陷：一是依赖已经整理好的威胁情报，而这类情报往往是在底层流量痕迹已经出现之后才产生的，无法用于对已有捕获流量的即时规则挖掘；二是需要高成本的 LLM 调用，却缺乏足够的质量把关机制，生成的规则常常无法落地。针对这些问题，作者提出 RuleAutoPilot——一个端到端的智能体（agentic）框架，能够直接从恶意软件的原始网络流量（PCAP）中合成可部署的 Suricata 规则，全程不需要任何先验威胁情报。该框架识别出的一个核心挑战是噪声问题：真实抓包中往往只有极小比例是与安全相关的流量，其余大部分是背景流量，这会显著降低 LLM 的推理质量并推高成本。为此，RuleAutoPilot 引入“良性流量指纹”（Benign Traffic Fingerprinting）阶段，在送入 LLM 之前先剔除已知的良性背景会话，从而压缩输入、降低成本并提升推理聚焦度。在规则生成之后，框架设置了可执行验证与结构化反馈驱动的自动修复闭环：对语法检查不通过、无法在源流量上触发、或在良性语料上产生误报的规则自动进行迭代修复。实验方面，作者在 1,296 个恶意 PCAP 上评估，引入基于实际执行的验证后，规则质量 F1 从 0.443 提升到 0.539；在一个分层抽样的 200 个 PCAP 子集上，使用开源权重模型 gpt-oss-120b 的 RuleAutoPilot 达到 0.524 F1，接近在 Claude Code 环境下运行的 Claude Opus 5 的 0.623 F1，但计费 token 成本低 52 倍。若仅将骨干模型替换为 Claude Opus 5，RuleAutoPilot 以 0.656 F1 反超 Claude Code 的 0.623，且 token 消耗减少 40 倍。作者进一步指出，更强的骨干模型会提升 RuleAutoPilot 自身的天花板，但在同一骨干模型下其脚手架（scaffold）仍优于 Claude Code，说明脚手架设计与骨干模型能力是相互独立的两个增益来源。适合检测工程、蓝队运营、IDS 规则维护以及 LLM 智能体应用研究者阅读。