随着物联网（IoT）设备数量激增，这些资源受限的设备显著扩大了攻击面，暴露了关键网络脆弱性。传统的基于静态签名模式的入侵检测系统（IDS）已无法应对现代攻击者采用的复杂、自动化且新颖的零日攻击。现有的基于机器学习的IDS模型在真实场景中面临概念漂移和泛化能力不足等问题。为此，本文提出了PANDORA（Probabilistic Adversarial Network Defense Over Resource-constrained Architectures），一种面向边缘设备检测零日攻击的端到端轻量级对抗防御框架。PANDORA的核心贡献包括：1）学习不确定性感知的概率嵌入，用于生成鲁棒的流量表征；2）提出新颖的概率流形结构和距离（PMSD）损失函数，实现有效的零样本泛化；3）采用高效的Mamba混合专家（MoE）架构，支持设备端部署。此外，作者还创建了TTDFIoTIDS2025数据集，这是一个包含复杂程序化生成攻击的高保真基准。大量实验表明，PANDORA显著优于现有最先进模型：在CICIDS2017上仅需10样本微调即可达到0.971的F1分数；在域迁移场景下零样本检测准确率高达99%；部署在树莓派上仅占用24MB内存，吞吐量达4.26流/秒，证明了其在实时边缘安全中的实际可行性。

未知网络攻击（尤其是零日攻击）检测是入侵检测系统的重大挑战。监督学习方法对已知攻击类效果好，但无法处理训练数据中未出现的新攻击类型；无监督方法虽能检测未知攻击，但误报率高，限制了实际应用。本文提出UNAD+框架，是对原有UNAD的改进。UNAD+包含三个核心组件：1）仅使用良性样本训练的无监督集成模型，通过加权多数投票（WMV）聚合基检测器结果；2）基于伪标签的监督细化阶段，利用无监督检测输出生成伪标签并训练分类器，以降低误报；3）事后可解释性层，提供局部和全局解释，增强透明度。在CICIDS2017和NSL-KDD基准数据集上的实验表明，UNAD+在保持高检测率的同时，F1分数超过98%，误报率显著低于原始UNAD。集成可解释性使其更适用于实际部署。该研究主要面向网络安全研究人员和入侵检测系统开发者，提供了一种平衡检测率与误报率的未知攻击检测方案。

该论文提出了一种基于元学习的无监督零日Web攻击检测框架RETSINA，旨在解决现有方法需要大量训练数据且仅能针对特定域名训练的问题。研究背景是现有基于无监督学习的Web应用防火墙（WAF）增强系统虽然能检测零日攻击，但需要长时间收集训练数据，部署周期长。核心问题是如何在仅有少量训练数据的条件下，跨组织内多个不同域名实现高效的零日攻击检测。方法上，RETSINA利用元学习在异构域名之间共享知识，包括HTTP请求之间的关联关系，从而快速训练检测模型。具体设计了自适应预处理模块，支持跨域Web请求的语义分析；并提出多域表示方法，捕获不同域名之间的语义相关性以进行跨域模型训练。实验使用四个真实世界数据集（共2.93亿条Web请求），结果表明RETSINA仅需5分钟的训练数据即可达到现有方法使用1天训练数据分别训练各域模型的检测性能。此外，在互联网公司实际部署一个月，RETSINA在两个域名中分别日均捕获126和218个零日攻击请求。该工作对安全社区的主要贡献是显著降低了零日Web攻击检测的部署门槛，使得在数据稀缺的新域名上快速启用自适应检测成为可能。适合关注Web安全、异常检测、元学习应用的研究人员和工程师阅读。

该论文对零日攻击的本质进行了系统性的再审视，核心研究问题是：零日攻击究竟源于新颖的攻击行为还是新颖的漏洞？作者回顾了跨越20年的已记录零日攻击事件，发现这些攻击无一例外地源自对未公开漏洞（即零日漏洞）的利用，而非攻击者采用了前所未见的行为模式（TTPs）。基于这一发现，论文提出了一种基于漏洞类型的分类法，将零日漏洞分为内存破坏、逻辑错误、配置缺陷等类别，并统计了各类型在历史事件中的出现频率，结果显示内存破坏漏洞最为常见，而针对防御机制漏洞的攻击在近年呈上升趋势。作者进一步分析了现有基于机器学习（ML）的入侵检测系统（IDS）所依赖的假设，指出一个关键错位：事件报告强调漏洞利用，而许多ML检测器却旨在检测假设中的“新颖行为”，例如异常流量模式或异常系统调用。这种错位可能导致ML-IDS的零日检测能力被高估。论文认为，以漏洞为中心的方法（如自动补丁生成、内存安全强化）更贴合真实攻击机制，并呼吁业界谨慎解读行为检测的声称，同时推动开发更符合现实利用特征的自动漏洞检测框架。研究结论对于设计下一代入侵检测系统具有指导意义，强调应优先发展漏洞侧的方法，而非单纯依赖行为分析。