随着互联网流量广泛加密以保护通信隐私，攻击者也常常滥用加密技术来隐藏恶意行为。由于加密后的恶意流量与正常流量的特征极其相似，传统的检测方法（如基于签名或监督学习）难以有效识别，尤其是面对未知攻击时，因为它们依赖于已知攻击的标签数据集。本文提出 HyperVision，一种基于实时无监督机器学习的加密恶意流量检测系统。核心创新在于构建一个紧凑的内存图（Flow Interaction Graph），该图通过捕获流之间的交互模式（而非特定攻击特征）来表示网络流量的结构特征。HyperVision 采用无监督图学习方法，通过分析图的连通性、稀疏性和统计特征来检测异常交互模式，从而无需任何已知攻击的标记数据即可识别各类加密攻击流量。此外，作者建立了信息论模型，证明该图所保留的信息接近理想的理论上限。实验使用了包含 48 种攻击的 92 个数据集，结果表明 HyperVision 的 AUC 不低于 0.92，F1 分数不低于 0.86，显著优于现有方法；值得注意的是，超过 50% 的攻击可以逃避所有对比方法。系统还实现了 80.6 Gb/s 的检测吞吐量和平均 0.83 秒的检测延迟，满足实时性要求。

本文针对 REST API 安全中因文档不完整或缺失导致传统安全方案失效的问题，提出了一种无监督异常检测方法 HRAL（HTTP REST API Learning）。HRAL 直接从网络流量中学习 API 端点结构（如 URL 路径、参数、方法等）及正常行为模式，无需依赖 OpenAPI 规范或预定义规则。其核心创新在于利用图结构建模 API 调用间的关联，并基于统计异常检测识别偏离正常行为的恶意请求。实验在多个真实 API 数据集上进行，评估了不同 OpenAPI 文档覆盖度下的性能。结果显示，HRAL 在仅有部分文档时平均召回率达 82.07%，F1 分数为 87.24%，显著优于现有方法；当与 OWASP ModSecurity CRS 等签名规则结合时，检测率达到 100%。该方法特别适合 DevOps 和 API 安全团队在缺乏完整 API 文档的生产环境中构建基线检测能力。论文贡献包括：提出一种轻量级、不依赖文档的 API 行为建模方法；在部分文档场景下实现接近全文档定义的检测效果；验证了无监督学习与签名规则互补的可行性。

未知网络攻击（尤其是零日攻击）检测是入侵检测系统的重大挑战。监督学习方法对已知攻击类效果好，但无法处理训练数据中未出现的新攻击类型；无监督方法虽能检测未知攻击，但误报率高，限制了实际应用。本文提出UNAD+框架，是对原有UNAD的改进。UNAD+包含三个核心组件：1）仅使用良性样本训练的无监督集成模型，通过加权多数投票（WMV）聚合基检测器结果；2）基于伪标签的监督细化阶段，利用无监督检测输出生成伪标签并训练分类器，以降低误报；3）事后可解释性层，提供局部和全局解释，增强透明度。在CICIDS2017和NSL-KDD基准数据集上的实验表明，UNAD+在保持高检测率的同时，F1分数超过98%，误报率显著低于原始UNAD。集成可解释性使其更适用于实际部署。该研究主要面向网络安全研究人员和入侵检测系统开发者，提供了一种平衡检测率与误报率的未知攻击检测方案。

本文提出 AIRTAG，一个基于无监督学习的自动化攻击调查框架，旨在从原始日志文本中自动识别攻击事件、生成语义标签并定位根因，无需依赖预定义的攻击知识库或规则。现有攻击调查方法通常需要人工定义攻击模式或依赖规则匹配，难以应对新型或变种攻击。AIRTAG 利用预训练语言模型（如 BERT）将日志消息编码为上下文感知的语义向量，通过无监督聚类算法（如 HDBSCAN）将日志分组为不同的事件簇，每个簇代表一个攻击步骤或原子行为。然后利用时间序列分析和图论方法构建事件之间的时序因果关系，最终生成攻击调查图并推断根因。实验在多个公开数据集（如 DARPA TC、OpenStack 日志）上评估，结果表明 AIRTAG 能够有效识别多步攻击链，在真实攻击场景下达到高准确率（F1 分数超过 0.9），并且比现有监督方法具有更好的可迁移性。该工作的主要贡献在于：1) 提出了完全无监督的日志语义理解框架；2) 结合预训练语言模型与聚类、时序推理，实现了对未知攻击的自动调查；3) 公开了原型系统和实验数据，为后续研究提供基准。