Know the Normal, Track the Attack: Context-Grounded and Stateful LLM Investigation over System Provenance

该论文关注基于溯源（provenance）的入侵检测系统（PIDS）在落地环节的一个核心痛点：PIDS 虽然能在系统审计流中识别可疑活动，但其输出通常只是孤立的异常点或子图，难以被转化为连贯、可读的攻击叙事，安全分析师仍需大量人工拼接。作者

历史摘要 · 未重新核验 · arXiv cs.CR