该论文针对加密流量侧信道防御中的参数选择问题，提出了一种基于率失真理论的可证明、可计算的理论基线。传统方法依赖经验调优，缺乏对“在给定服务质量（QoS）成本预算D下，持续观测下泄漏率能降低到多低”这一根本问题的理论回答。论文将语义标签序列X^n视为源，防御后的特征序列Y^n作为观测，采用Wasserstein-1距离作为防御成本度量，在平稳无记忆防御类Θ_iid中定义了侧信道率失真函数R^sc(D)，并给出了完整刻画。作者证明R^sc(D)具有单调递减、凸性、连续等优良性质，并给出了精确端点；最优防御具有指数倾斜（Boltzmann）结构，受KKT条件控制；该曲线构成了Θ_iid类内的精确Pareto前沿。对于二元等先验任务，通过Kantorovich-Rubinstein对偶得到D_max = (1/2)W_1(P_0,P_1)。在真实网站指纹防御场景中，该框架对Front、WTF-PAD和TrafficSliver三种防御系统进行了评估，发现它们远离理论曲线，次优性差距分别为0.028比特、0.034比特和0.124比特，量化了各防御系统的优化空间。该工作为加密流量侧信道防御提供了一个理论基准，有助于指导防御参数的理性选择，并为衡量现有防御系统的有效性提供了可比较的标尺。

随着互联网流量广泛加密以保护通信隐私，攻击者也常常滥用加密技术来隐藏恶意行为。由于加密后的恶意流量与正常流量的特征极其相似，传统的检测方法（如基于签名或监督学习）难以有效识别，尤其是面对未知攻击时，因为它们依赖于已知攻击的标签数据集。本文提出 HyperVision，一种基于实时无监督机器学习的加密恶意流量检测系统。核心创新在于构建一个紧凑的内存图（Flow Interaction Graph），该图通过捕获流之间的交互模式（而非特定攻击特征）来表示网络流量的结构特征。HyperVision 采用无监督图学习方法，通过分析图的连通性、稀疏性和统计特征来检测异常交互模式，从而无需任何已知攻击的标记数据即可识别各类加密攻击流量。此外，作者建立了信息论模型，证明该图所保留的信息接近理想的理论上限。实验使用了包含 48 种攻击的 92 个数据集，结果表明 HyperVision 的 AUC 不低于 0.92，F1 分数不低于 0.86，显著优于现有方法；值得注意的是，超过 50% 的攻击可以逃避所有对比方法。系统还实现了 80.6 Gb/s 的检测吞吐量和平均 0.83 秒的检测延迟，满足实时性要求。

该论文针对网络安全中加密数据片段识别的关键问题展开研究，特别是在勒索软件检测、数字取证和大规模数据分析等场景下，准确区分加密与压缩数据片段至关重要。然而，短片段缺乏结构信息且统计冗余度低，传统基于字节级分布的统计方法效果有限。近期机器学习方法通过从原始字节中学习微妙模式提升了性能，但大多依赖单模态表示，假设单一视角足以完成分类。论文指出，在仅获得512-2048字节小片段的低信息场景下，该假设成为根本性局限。为此，作者提出Triumvir，一种多模态、不确定性感知的集成架构，融合了原始字节片段的统计、序列和空间三种表示。通过广泛的实验分析，Triumvir在二分类任务中持续超越最先进方法，增益高达+4.5个百分点；在多分类任务中增益达+6.4个百分点。消融研究证实，结合多种模态至关重要，相比部分配置可获得最高+5个百分点的提升。该工作为低信息环境下加密流量分类提供了新思路，适合网络安全研究人员和从业者阅读。

该论文提出了一种名为PLM-NIDS的协议语言模型网络入侵检测系统，其核心思想是将网络流视为一种语言，其语法完全由L3/L4数据包元数据（长度、到达间隔时间、TTL、TCP标志和哈希端口号）构成，从而避免了对加密载荷的深度包检测（DPI）。作者首先证明了良性网络流存在可学习的语法结构：使用RWKV-4状态空间模型在344,232个未标记的Monday流数据上训练，因果语言模型验证损失达到0.204，表明良性流量具有可预测的统计一致性。其次，攻击行为违反了该语法：在无攻击标签训练的情况下，每个流的困惑度（perplexity）得分能干净地区分良性和攻击流，PR-AUC达到0.93。第三，这种分离能力在架构上是非平凡的：在相同输入序列上训练的LSTM退化为多数类预测器（ROC-AUC约0.50，F1=0.91，始终预测攻击），证明RWKV的因果预训练提供了直接分类器无法获得的归纳偏置。监督微调进一步将PR-AUC提升至0.94，ROC-AUC达到0.75，在标定操作阈值上精确度为97.7%。RWKV骨干的O(T)循环推理使得无需流缓冲即可进行逐包流式处理，从而使PLM-NIDS在线速下操作可行。由于仅读取IP/TCP/UDP头部，该方法本质上是加密无关的，可透明处理TLS 1.3、QUIC及未来加密协议。