本文提出了一种名为 SHADEWATCHER 的自动化网络威胁检测系统。研究背景是现有基于数据来源分析的审计记录异常检测方法存在误报率高、依赖专家知识、检测信号粗糙等问题。核心创新在于识别了网络安全威胁检测与信息检索中推荐系统之间的结构相似性，将系统实体交互映射为用户-物品交互，从而通过预测系统实体对其交互实体的偏好来识别威胁。受推荐系统中利用物品侧信息建模高阶连接的启发，作者将这一思想迁移到网络威胁分析，并定制了 SHADEWATCHER 系统。该系统利用图神经网络从审计记录中挖掘高阶信息，提升检测效果；同时配备动态更新机制，以更好地泛化减少误报。实验在真实和模拟网络攻击场景下进行，结果表明 SHADEWATCHER 在精确率和召回率上均具有优势，并且能够在数秒内从近百万系统实体交互中定位威胁。

本文提出了一种新颖的基于模板的图同态加密（TGHE）框架，旨在解决现有同态加密（HE）图神经网络（GNN）系统在边缘-云系统中进行隐私保护推理时面临的可扩展性问题。传统的HE-GNN系统采用图中心范式，每个查询的成本与全局图大小成正比，导致实际应用仅限于最多约2万个节点的图，无法处理动态且大规模的金融交易图。TGHE通过利用事务图中局部计算树收敛为少量结构形状的“模板”现象，转向以自我为中心（ego-centric）的视角。该框架在边缘设备上对每个节点的ego图进行规范化，将结构相同的树打包到共享的CKKS密文中，实现SIMD并行加密推理。为解决长尾分布问题，提出了两个优化器：近似模板拟合（ATF）和拓扑坍缩（TC），以强制所有ego图都适合SIMD操作。在包含370万个节点和430万条边的DGraphFin数据集上，TGHE-Collapse版本相比顺序加密基线实现了66.9倍的加速，且AUC损失小于0.002。实验证明了该方法在保持高精度的同时，显著提升了加密推理效率，使隐私保护GNN能够扩展到实际大规模金融图。该工作主要贡献在于揭示了图结构中的模板特性，并首次实现了基于ego图打包的SIMD同态加密推理，为边缘-云环境下的隐私计算提供了高效路径。适合对隐私保护机器学习、同态加密、图神经网络及其在金融领域应用感兴趣的研究者和工程师阅读。

该论文关注在去中心化金融（DeFi）或加密货币交易中日益猖獗的价格操纵攻击（如闪电贷攻击、三明治攻击等）。这些攻击通过在短时间内创建大量虚假交易或利用时间差操纵资产价格，导致其他交易者蒙受巨大损失。现有的检测方法多基于交易后分析，无法实现实时拦截。本文提出了一种名为“Following Devils' Footprint”的实时检测框架，其核心思想是通过追踪攻击者在区块链上留下的异常交易模式（如频繁的微小交易、特定时间窗口内的快速买卖对等）来提前预警。方法包括：1) 构建基于图神经网络的交易序列特征提取器，捕捉交易间的依赖关系；2) 设计轻量级在线分类器，能在区块确认前快速判定交易是否属于价格操纵；3) 利用对抗训练增强模型对新型攻击的鲁棒性。在真实以太坊交易数据集上的实验表明，该方法在检测召回率和实时性上均优于现有基线，平均预警时间可提前2-3个区块。该研究为DeFi安全提供了实用的实时监控工具。