该论文聚焦于基于系统调用（syscall）的主机入侵检测（HIDS）这一经典方向，指出当前方法存在的一个关键结构性缺陷：现有工作通常直接按原始执行顺序对 syscall 序列建模，而来自不同进程的序列在同一时间线上彼此交错（interleaved），导致真正具有判别力的行为模式被噪声淹没，模型难以学到攻击的语义本质。为此作者提出两个研究问题：原始 syscall 序列是否可以被重组为更具判别力的表示？以及如何在重组后的序列上有效学习复杂的攻击模式？ 针对上述问题，论文提出 ReSHID 框架，包含“资源感知的行为重构”与“层次化语义学习”两部分。在行为重构层面，方法利用 syscall 的语义不变量（semantic invariants），把跨 PID 命名空间下的主体身份识别与关系解析建模为一个二分图匹配（bipartite matching）问题，从而在容器/云环境中正确区分不同进程主体；同时通过跟踪文件描述符（FD）的生命周期，将指向同一底层资源的描述符关联起来，最终重建出语义上连续的序列，消除进程交错带来的干扰。在语义学习层面，从重构序列中抽取的特征被组织成一个轻量级的“主体行为图”，图中包含主体之间的关系边，并使用 GATv2 图注意力网络捕获跨主体的关键协作/协调模式，用以刻画涉及多个主体协同完成的复杂攻击。 实验结果表明，序列重构与检测方法结合可以显著提升 HIDS 性能：即使使用最轻量的线性分类器，所提方法在 F1（98.64%）、ROC-AUC（99.80%）和 PR-AUC（98.10%）三项指标上均优于所有对比方法；同时相比原始序列与 MGFE 方法，n-gram 特征数量分别减少约 75.2% 和 44.1%，在检测精度与计算开销之间取得了较好的平衡。该工作适合研究主机侧检测、云原生容器安全、图神经网络在安全领域应用的读者阅读。

该论文研究了基于系统调用轨迹的主机入侵检测系统（HIDS）在从已知漏洞（CVE）泛化到同一弱点类别（CWE）中新漏洞时的表现。传统HIDS通常对单个CVE进行训练和评估，但实际运营中需要识别已知弱点类型的新攻击。作者利用LID-DS-2021数据集中的六个攻击场景，将其分为三个CWE家族：CWE-307（认证绕过）、CWE-89（SQL注入）和CWE-434（无限制文件上传）。他们提取了每滑动窗口的66维Peng-Guo风格特征向量，并使用Isolation Forest和SGD One-Class SVM训练单类异常检测器，通过校准阈值固定目标假阳性率（FPR）。论文定义了四个研究问题：自检测能力、不对称跨CVE迁移、CWE级联合正常轮廓的价值、特征过滤对迁移性的影响。实验结果表明，CWE-307的联合检测器在FPR=0.05时达到了F1=0.6976（精确率0.8994，召回率0.5698），而CWE-89和CWE-434在相同协议下F1≤0.21。跨CVE迁移显示出强烈的方向依赖性，主要受源正常行为轮廓的广度而非CWE标签的影响。作者得出结论：使用当前系统调用特征，CWE级泛化在某些弱点家族中是可实现的，但并非所有；并强调校准FPR是在此类设置中诚实报告的方法论前提。该研究为HIDS在弱点类别级别泛化提供了实证基础，指出了当前方法的局限性和改进方向。