该论文针对当前网络攻防节奏失衡的现实问题展开研究：攻击行为日益自动化，人类分析师可用于检测、推理与响应的窗口被大幅压缩。大语言模型（LLM）因具备关联异构证据、对未见威胁进行推理的能力，被视为实现自主网络防御的潜在基础，但直接把 LLM 接入真实安全运营遥测并不可行——原始日志的到达速度远超模型处理能力，单条事件往往语义模糊，且不受约束的 LLM 动作会带来显著的运营风险。为此作者提出 BlueSTAR，一种面向企业 IT/OT 网络自主网络防御的分层代理（tiered agentic）架构。其核心设计是先把高吞吐的安全遥测转化为紧凑的入侵指标（IOC），从而在降低数据量的同时保留可用于推理的关键证据，再由分层代理在受约束的条件下完成检测、推理与响应决策。论文还提出一种韧性（resilience）度量，将攻击者可达范围、对关键任务资产的影响以及防御动作本身造成的业务中断三者联合纳入评估，弥补了传统只看是否阻断的评估偏差。实验在两个真实企业 IT/OT 靶场（cyber range）上进行，覆盖七条基于真实入侵技术的攻击链。结果显示：对已知威胁，BlueSTAR 保留了确定性响应的快速遏制能力；对需要上下文推理与跨周期（cross-cycle）推理的攻击，包括凭据窃取、重复失陷、并发攻击者以及针对物理过程的攻击，BlueSTAR 也能成功防御。该工作适合 SOC/蓝队工程师、安全自动化与检测架构设计者、OT 安全团队以及研究 LLM 安全落地的读者阅读。

该论文提出ARENA架构，旨在解决网络防御研究中真实生产数据难以获取的问题。当前安全运营中心（SOC）的数据虽然真实，但因隐私和合规原因无法直接发布，导致研究依赖合成或过时数据集。ARENA设计了一套方法论，从金融SOC的生产环境中提取SIEM数据，通过匿名化、结构化并验证，在保证隐私边界的前提下保留任务相关的调查结构。两个消费者对同一人工制品进行压力测试：作为训练材料，匿名化需保持时间顺序和实体一致性，否则37个映射了MITRE ATT&CK的HIKARI挑战会失败；作为测量基板，在200个SOCpilot事件中，确定性验证器检测到大语言模型（LLM）执行了人类基线中不存在的不合规动作。最终成果是定义了可测量的隐私-效用边界，而非形式化的匿名声明。该方法使研究者能利用真实数据进行网络防御可迁移性实验，同时保护敏感信息。