该论文针对基于大语言模型（LLM）的网络入侵检测系统（IDS）在对抗性流量操控下的鲁棒性问题，提出了一种名为“流量感知随机平滑”（Traffic-Aware Randomized Smoothing, TA-RS）的分类器无关认证防御方法。传统随机平滑（RS）通常假设所有特征均可被攻击者控制，但在网络流量场景中，部分特征（如源/目的IP、端口等）可能被远程攻击者修改，而另一些特征（如时间戳、包间隔等）则不受控制。TA-RS的核心思想是在微调与认证阶段，仅向攻击者可直接控制的特征子空间（DC subspace）注入高斯噪声，从而使平滑分布与攻击者可控子空间对齐，避免不必要的噪声破坏不可控特征，进而提高认证准确率。实验使用CIC-IDS-2018、HIKARI-2021和RT-IoT2022三个流量数据集，以及LLaMA3-8B和Qwen3-8B两种LLM模型。结果显示，标准随机平滑在干净训练模型上的认证准确率很低（14%-33%），而噪声增强微调后恢复至68%-100%（sigma=0.25）。在L_inf等价阈值R_inf下，TA-RS在CIC-IDS-2018和HIKARI-2021上取得55%-100%的认证准确率，且中位认证半径R远超R_inf（1.8-5倍）。与各向同性随机平滑基线相比，TA-RS的优势可达72个百分点，但这一差异主要源于训练与认证的不匹配（各向同性噪声会扰动不可控特征，导致高达68%的弃权率）。在RT-IoT2022数据集上，默认微调方案失效，但增加噪声增强后恢复到76%/69%的认证准确率。该工作首次为LLM-IDS提供可证明的鲁棒性保障，揭示了特征子空间对齐在认证防御中的关键作用。

本文针对随机平滑（Randomized Smoothing, RS）认证方法计算开销过大的问题，提出了一种基于元学习的早停框架。传统RS需要为每个输入进行数万次模型评估，且必须预先固定样本量，导致实际部署困难。作者设计了一个轻量级元学习器，为每张图像预测特定的先验分布，并将其注入到序列E过程中，从而在保持严格统计保证的前提下，将样本复杂度降低20倍。此外，该框架支持“随时有效性”（anytime-validity），可根据应用风险阈值动态调整计算资源分配，这是传统认证框架无法实现的资源分诊机制。实验表明，该方法在认证性能上与标准RS相当，同时大幅提升了效率，为实时安全关键部署提供了可行路径。

本文提出了一种基于差分隐私的原偶视角（primal-dual perspective）来证明机器学习模型对后门攻击的鲁棒性。后门攻击同时污染训练数据和测试数据，使得现有仅针对训练时或推理时单一阶段的随机平滑认证方法失效。作者将随机平滑与差分隐私中的隐私配置文件（privacy profiles）相结合，该配置文件提供了一种数值化方法来组合异构随机机制。由此得到的框架能够对复杂的组合机制进行紧致、模块化的端到端认证，同时可以利用现有差分隐私机制的分析结果。作者将该框架实例化到DP-SGD（差分隐私随机梯度下降）和深度分区聚合（Deep Partition Aggregation）并加入推理时平滑，推导出同时对抗训练时和后门注入、推理时触发器激活的联合鲁棒性保证。在MNIST和CIFAR-10上的实验表明，该方法能够有效认证模型在联合威胁模型下的鲁棒性。本文为使用组合机制认证复杂威胁模型下的鲁棒性提供了一个通用且原则性的框架。