该论文聚焦 Windows 环境下“离地攻击”（Living-Off-the-Land, LOTL）的检测难题。LOTL 已成为 APT 组织最主要的规避手法：攻击者不投放自研恶意软件，而是滥用系统自带的合法签名工具（PowerShell、WMIC、certutil 等）完成侦察、横向移动与持久化，使依赖文件哈希、静态特征或单一命令关键字的传统检测大量失效。论文引用 Volt Typhoon 案例——该活动仅使用已签名的 Windows 工具，即在美国关键基础设施中隐蔽驻留超过 18 个月，说明现有方法在混淆命令与多阶段攻击序列面前存在系统性盲区。为此作者提出 SENTINEL 多通路（multi-pathway）架构，将四类能力融合：基于 BERT 的语义编码捕捉命令行语义意图；字符级 CNN 提供混淆不变性，抵抗转义、大小写变换、字符插入等扰动；命令间注意力机制建模多阶段命令链的前后依赖关系；自编码器异常打分提供对未知偏离的无监督识别能力。评测使用依据 Microsoft 与 CISA 威胁情报公告构建的平衡版 Volt Typhoon 基准集：在文档化的国家级攻击命令上达到 92.0% 准确率，在混淆变体上为 91.2%，而单独使用 BERT 仅为 74.0% 与 72.0%。按类分析给出重要警示：在不平衡数据上取得 98% 以上整体验证准确率的模型，在平衡对抗集上的恶意类召回仅 44–58%，说明整体准确率具有严重误导性。消融实验表明字符级处理为混淆不变性贡献 5.6 个百分点，且相较仅做数据增强的基线高出 8.0 个百分点，证明增益来自架构结构设计本身，而非单纯的数据驱动鲁棒性。