该论文提出了一种基于LLM的自动化攻击调查系统SherAgent，旨在解决实际企业安全运营中心（SOC）中基于溯源图的攻击调查面临的依赖爆炸和因果链碎片化问题。通过与服务数亿用户的互联网公司SOC合作，作者分析了现有LLM驱动的调查工作流（每天处理数万条原始告警，仍需数千条人工分诊）的失败根因与挑战。受此启发，SherAgent采用迭代式“查询-过滤”回溯范式，利用LLM的语义推理能力处理非结构化数据（如调查上下文和威胁情报），以克服因果链碎片化——动态调整查询条件以扩大搜索范围，同时进行精确结果过滤和策略性节点选择以缓解依赖爆炸。在真实环境中的广泛评估显示，相比企业基线方法和最新技术，SherAgent端到端调查成功率分别提升31.1%和63.7%，每次调查API成本低于0.10美元、耗时不到4分钟。用户研究证实，SherAgent提供准确清晰的洞察，显著减轻安全专家分析负担。

本文提出了一种基于溯源图的检测框架 PROVGUARD，用于识别软件定义网络（SDN）中的控制策略操纵（CPM）攻击。SDN 通过将控制平面与数据平面解耦提升了网络灵活性，但逻辑集中的控制平面易受 CPM 攻击，攻击者通过操纵控制器的网络视图引入错误策略。现有异常检测和配置验证方法因仅关注数据平面而存在局限性，某些隐蔽的 CPM 攻击若不分析控制器决策的因果关系则难以与正常行为区分。PROVGUARD 通过监控控制器活动来检测 CPM 攻击，利用静态分析识别与数据平面相关的控制器操作并指导控制器插桩，从捕获的控制平面活动构建溯源图。该框架通过减少冗余并提取溯源图中的路径作为上下文，以捕获简洁且长期的特征。基于序列到序列预测模型，通过识别导致预测误差超出正常范围的路径来标记可疑行为。作者在 Floodlight 控制器上实现了原型，实验证明该方法成功识别了先前方法无法完全处理的四种典型 CPM 攻击，并为攻击行为调查提供了有价值的见解。

本论文针对基于溯源图的主机入侵检测系统（HIDS）提出了模仿攻击（Mimicry Attacks），旨在揭示这类系统在面对精心构造的恶意行为时存在的脆弱性。作者首先形式化地定义了模仿攻击问题，即攻击者通过模仿正常系统行为模式来绕过基于溯源图的异常检测模型。然后设计并实现了一种攻击方法，包含两个核心组件：攻击规划器（Attack Planner）和恶意有效载荷生成器（Malicious Payload Generator）。攻击规划器利用系统溯源图模型，自动搜索能够隐藏恶意活动的正常行为序列；有效载荷生成器则将恶意操作嵌入到这些合法序列中，使得整体执行轨迹与正常行为难以区分。实验基于真实数据集（如UNM、ADFA-LD等）和多个主流溯源图HIDS（如Uni-GNN、StreamSpot、MAGIC等）进行评估，结果表明所提攻击能够以高成功率（平均超过80%）绕过现有检测系统，同时保持较低的检测成本。论文还讨论了潜在的防御策略，包括增加上下文感知的检测维度、利用时序相关性分析等，但未提供完整的防御方案。该研究为HIDS的安全加固提供了新的视角，警示业界需警惕针对溯源图的对抗性攻击。