该论文研究了在工业专用5G网络环境下，基于机器学习的入侵检测系统（IDS）处理加密OPC UA流量时，良性连接变化对检测性能的影响。作者指出，尽管机器学习IDS在加密工业通信监控中日益普及，但其在真实专用5G操作条件下的表现尚未被充分理解。通过实验，他们发现合法的连接事件（如设备连接/断开、网络切换等）会在无攻击存在时显著增加误报活动。此外，IDS异常评分的高峰往往与控制面（CP）活动周期相重合。研究强调了在工业专用5G环境中解释IDS输出时考虑控制面上下文的重要性。实验基于实际5G测试平台，收集了正常流量和包含连接事件的流量，并使用多种机器学习模型进行评估。主要贡献在于揭示了良性网络事件对IDS的干扰，并提出了未来改进方向，即结合控制面元数据以降低误报。该论文适合工业网络安全研究人员、5G安全工程师以及IDS开发者阅读。

该论文聚焦于基于机器学习的恶意流量检测中高误报率（False Positive, FP）这一实际部署痛点。传统机器学习方法依赖精心设计的特征，虽能检测包括零日攻击在内的各类攻击，但高误报迫使安全分析师投入大量精力进行人工复核，极大增加了运维成本。为此，作者提出一种新颖的基于点云分析（Point Cloud Analysis）的误报降噪框架，将网络流量样本映射到高维点云空间，利用点云几何特性自动识别并过滤与真实攻击流量分布不一致的误报。该方法无需额外标注或专家规则，通过无监督聚类和异常检测技术从海量告警中剔除多数误报，显著降低人工分析负担。实验基于多个公开数据集，结果表明该方法在保持高检测率的同时，可将误报率降低超过70%，且对未知攻击具有良好泛化能力。论文还讨论了点云维数、聚类半径等超参数对性能的影响，为实际部署提供了指导。

该论文针对恶意域名检测中普遍存在的误报（False Positive）问题，提出了“良性指标（Indicator of Benignity, IoB）”这一新概念。传统检测方法依赖恶意指标（Indicator of Compromise, IoC），但容易将正常域名误判为恶意，导致安全运营负担加重。论文从工业界视角系统分析了误报产生的原因，包括域名解析行为、注册信息、内容特征等多维度因素。为此，作者设计了一个基于灰名单和信誉评分的域名信誉系统，通过综合评估域名的良性特征（如长期稳定的解析记录、合法注册信息、无恶意内容等）来降低误报率。实验基于大规模真实网络流量数据，验证了该方法能有效减少误报，同时保持对真正恶意域名的检测能力。论文还讨论了误报对安全运营流程的影响，并提出了将IoB集成到现有检测框架的可行方案。适合安全运营分析师、威胁情报研究人员阅读。

该论文系统性地研究了代码表示格式（原始源代码与剪枝抽象语法树 AST）如何影响跨语言大语言模型（LLM）在漏洞检测中的误报行为。作者使用两个 8B 参数级别的 LLM（Qwen3-8B 和 Llama 3.1-8B-Instruct），在 NIST Juliet Test Suite v1.3 的 C/C++ 数据上微调，然后在 Java（OWASP Benchmark v1.2）和 Python（BenchmarkPython v0.1）上评估。实验发现，仅使用原始文本进行微调时，跨语言误报率（FPR）随训练强度单调上升（例如 Qwen3-8B 从零样本的 0.763 上升到小规模微调的 0.866 再到全量微调的 1.0），而 F1 分数却保持稳定（0.637-0.688），掩盖了性能崩溃。作者认为主要机制是“表面线索记忆”：文本微调使得模型将 C/C++ 特有的 API 名称和语法惯用语编码为漏洞触发模式，在目标语言代码上产生大量误报。通过交叉表示探针实验（将文本训练权重直接应用于 AST 编码输入，无需重新训练），Qwen3-8B 的 FPR 从 0.866 骤降至 0.583，且 37.2% 的误报转变为真负。然而，直接使用 AST 进行微调并不能保持这种优势（FPR 至少 0.970），因为 AST 的扁平线性化引入了自身的结构表面线索。该模式在两个模型家族中均得到验证。在 Python 数据集上，AST 探针的 FPR 为 0.554，与 Java 结果仅差 2.9 个百分点，这一发现弱化了域偏移解释。基于这些发现，作者提出了一种部署前一致性门控机制：同时通过文本和 AST 两条路径运行告警，作为无需重新训练的误报敏感场景过滤器，但以牺牲部分召回率为代价。