该论文关注基于溯源（provenance）的入侵检测系统（PIDS）在落地环节的一个核心痛点：PIDS 虽然能在系统审计流中识别可疑活动，但其输出通常只是孤立的异常点或子图，难以被转化为连贯、可读的攻击叙事，安全分析师仍需大量人工拼接。作者指出，直接把局部异常子图交给大语言模型（LLM）分析存在两类系统性缺陷：一是模型缺乏特定部署环境下的正常行为知识，容易把例行运维或常规进程交互误判为攻击，产生缺乏依据的攻击解释；二是证据碎片之间缺少经过验证的攻击状态，导致时间上分散的证据被错误地归属到错误的攻击阶段。为解决这两点，论文提出 ANCHOR——一个面向调查（investigation-oriented）的溯源分析系统，将证据策展与上下文锚定的 LLM 推理相结合。其技术要点包括：按关系类型校准异常判定，降低不同关系语义下的误报差异；通过稀有的“关系-角色”模式把分散的异常窗口链接起来；生成的证据队列保留因果结构、时间边界以及跨窗口的连续性。调查器使用两类互补上下文解释以进程为中心的证据：部署上下文（Deployment Context）融合环境特定的交互与对象基线以及高风险安全知识，用于判断“什么是正常”；案例上下文（Case Context）则依靠带置信度门控的攻击追踪缓存（Attack-Tracking Cache）跨窗口维护调查状态，把当前证据与高置信度的既有发现相关联，从而按杀伤链阶段增量式重建攻击叙事。实验方面，作者在六个 DARPA 透明计算（Transparent Computing）E3/E5 数据集、覆盖三种操作系统上评估 ANCHOR，通过受控的证据级对比与端到端对比，证明其在 IoC（入侵指标）恢复率和攻击阶段归属准确度上优于当前最先进的溯源类基线方法，并且这些增益在固定 LLM 主干模型的条件下依然成立，说明提升主要来自系统设计而非模型能力。成本方面，ANCHOR 处理完整一天的审计数据仅需美元级别的 API 开销，具备实际部署可行性。该工作适合从事主机/端点溯源检测、SOC 告警降噪与事件叙事生成、以及 LLM 赋能安全运营方向的研究者与工程团队阅读。