该研究针对网络流量入侵检测中长期存在的「概念漂移」问题：合法业务行为与攻击手法会同步演进，导致任何检测模型在两次更新之间的窗口期内迅速失效，检测方始终落后攻击者一步。作者提出把干预点从「漂移发生后再修复模型」前移到「训练之前先选好特征空间」，从而在方法论的层面改变应对范式。为此论文引入 t-robustness——一种针对单个特征独立定义、不依赖任何具体检测模型的稳定性评分，可在整个特征空间内横向比较。该评分由两部分构成：一是特征相邻统计状态之间的逐步距离（捕捉突变），二是特征相对初始状态的累积散度（捕捉长期偏移），二者结合使得缓慢而单调的漂移无法被误判为「稳定」，这正是传统漂移度量常见的盲区。候选特征并非直接取原始流统计量，而是从扫描、拒绝服务以及端点间通信所留下的异常网络连通性模式中提取，读取方式基于图社区指标（community metrics）与谱指标（spectral metrics），即将流量拓扑结构化为图后刻画其社区划分与谱特性。评估在 UGR16 数据集上完成，覆盖三种学习场景与一个对照场景，并额外测试了完全不进行模型更新的极端情形。结果显示：在基线方法检测能力崩溃之处，t-robust 特征空间仍能维持检测，最后一个测试区间的 retained expectancy 达到 0.6025，而图社区特征为 0.5230、基础 NetFlow 特征仅为 0.3831，验证了特征级稳定性筛选对缓解概念漂移的有效性。适合入侵检测、机器学习安全与漂移治理方向的研究者及检测工程团队阅读。

本文针对水分配网络（WDN）中工业控制系统（ICS）面临的网络攻击问题，提出一种基于拓扑分析的攻击检测方法。研究背景是传统检测方法依赖原始流量或协议信息，难以捕捉攻击引起的结构性变化，导致检测能力有限。作者采用基于图处理机器学习（GPML）框架，将原始网络流量转化为动态图，提取社区结构（community）和谱图（spectral）特征，并分析这些特征随时间的变化，以识别通信和结构异常。在三个工业水分配数据集（HITL、SWaT和CrossTest）上进行了评估，结果表明联合使用谱和社区图指标能有效提升对网络攻击和物理攻击的检测性能。该方法展示了图分析在ICS安全中的潜力，为关键基础设施的安全防护提供了新的视角。本文适合从事关键基础设施保护、工业控制系统安全以及异常检测研究的从业者和研究人员阅读。

随着互联网流量广泛加密以保护通信隐私，攻击者也常常滥用加密技术来隐藏恶意行为。由于加密后的恶意流量与正常流量的特征极其相似，传统的检测方法（如基于签名或监督学习）难以有效识别，尤其是面对未知攻击时，因为它们依赖于已知攻击的标签数据集。本文提出 HyperVision，一种基于实时无监督机器学习的加密恶意流量检测系统。核心创新在于构建一个紧凑的内存图（Flow Interaction Graph），该图通过捕获流之间的交互模式（而非特定攻击特征）来表示网络流量的结构特征。HyperVision 采用无监督图学习方法，通过分析图的连通性、稀疏性和统计特征来检测异常交互模式，从而无需任何已知攻击的标记数据即可识别各类加密攻击流量。此外，作者建立了信息论模型，证明该图所保留的信息接近理想的理论上限。实验使用了包含 48 种攻击的 92 个数据集，结果表明 HyperVision 的 AUC 不低于 0.92，F1 分数不低于 0.86，显著优于现有方法；值得注意的是，超过 50% 的攻击可以逃避所有对比方法。系统还实现了 80.6 Gb/s 的检测吞吐量和平均 0.83 秒的检测延迟，满足实时性要求。

本文提出了一种相关感知的安全排序与排列方法，旨在提升迭代式两方图分析中安全多方计算的效率。在联合图分析场景中，双方需要在不泄露原始数据的情况下处理包含丰富拓扑和属性信息的图数据。现有方法存在冗余的安全排序或高开销的安全洗牌操作，导致效率低下。部分工作通过放松安全假设（如引入差分隐私或辅助方）来改进，但可能牺牲隐私保护强度。本文提出的方法利用图分析中数据相关性特征，优化了安全排序和排列协议，减少了不必要的计算和通信开销。实验表明，该方法在保持同等安全级别的前提下，显著提升了迭代图分析任务（如PageRank、连通分量等）的执行效率。该研究适合安全计算和图分析领域的研究人员阅读。