نماذج LLM الوكيلة لكشف هجمات الشبكات

هل يستطيع وكيل LLM يستخدم الأدوات أن يحقق بشكل مستقل في التقاط شبكة خام ويحدد هجومًا؟

ما استعلامات تحليل الحزم التي سيختارها، وهل يمكنه أن يبقى فعّالًا عندما تكون حركة المرور نفسها محاطة بنشاط خلفي أكبر بكثير؟

يقيّم هذا المشروع ما إذا كان بإمكان LLM يستخدم الأدوات تحديد هجوم مباشرةً من التقاط حزم خام، وكيف يتغير تحقيقه في ظل حركة مرور خلفية حميدة أكثف. يبدأ كل تحقيق بمسار PCAP وأوصاف عامة لـ 11 هجومًا محتملاً. لا يتلقى النموذج أي ميزات حزم محسوبة مسبقًا أو ملخص لحركة المرور.

نظرة سريعة على المعيار المرجعي

flowchart TB
    low["Low background<br/>11 attack captures + 11 benign captures"] --> matrix
    high["Generated high background<br/>11 attack captures + 11 benign captures"] --> matrix
    prompts["6 prompt variants<br/>generic labels and observable descriptions"] --> matrix
    configurations["18 model/reasoning configurations"] --> matrix

    matrix["44 PCAPs × 6 prompts × 18 configurations<br/>4,752 completed investigations"]
    matrix -->|"PCAP path; no precomputed features"| agent["Tool-using OpenCode agent"]

    agent -->|"selects a query"| tools["Packet-analysis and shell tools"]
    tools -->|"returns observations"| agent

    agent --> decision["One capture-level decision"]
    agent --> trace["Complete investigation trajectory"]
    decision --> results["Scoring and aggregate results"]
    trace --> dashboard["Session dashboard"]

البيانات والنتائج

المورد	المحتويات
صفحة مجموعة البيانات والمنتج على Hugging Face	الإصدار الأساسي مع ملفات PCAP البالغ عددها 44، وجميع مسارات التحقيق البالغ عددها 4,752، ومتغيرات المطالبات، وتكوينات النماذج، والنتائج المجمّعة، ومعلومات الترخيص، وبيانات الاستشهاد الوصفية
بوابة النتائج التفاعلية	جداول النتائج، وسبعة أشكال من الدراسة، ومقارنات النماذج، ولوحة جلسات العمل الكاملة

يحتوي هذا المستودع على التنفيذ المرخّص بموجب MIT وسير عمل إعادة الإنتاج. تم تقديم المخطوطة المرافقة من تأليف Matthieu Aureille وJan Fesl للمراجعة من قبل الأقران؛ وسيُضاف رابط عام عند توفره.

تغطية مجموعة البيانات

حالة حركة المرور	تكوين الالتقاط
خلفية منخفضة	حركة مرور السيناريو ونشاط الخمول العادي لبيئة الاختبار، دون حركة مرور خلفية مُولّدة
خلفية عالية مُولّدة	نفس نوع السيناريو مقترنًا بحركة مرور حميدة مُولّدة تلقائيًا بكمية أكبر بكثير

تحتوي كل حالة على 11 عملية التقاط هجومية و11 عملية التقاط حميدة. لكل عملية التقاط مخرج متوقع ثابت واحد.

فئات الهجوم

يقدّم الجدول تفسيرًا موجّهًا للقارئ للتسميات العامة للمعيار المرجعي. لم تُعرض أسماء الهجمات الأساسية، وأسماء الفحص، وأسماء الأدوات على نموذج اللغة الكبير (LLM). استخدمت المطالبات فقط Attack 1 حتى Attack 11 ووصفت خصائص حركة المرور القابلة للملاحظة.

في ملفات المطالبات المُولّدة، تعني "الهجمات المجهولة" أن أسماء الهجمات استُبدلت بتسميات عامة؛ لم تُجرَ إخفاء الهوية على بيانات الحزم نفسها.

تسمية المعيار المرجعي	الفئة الأساسية الإرشادية (غير معروضة على LLM)
Attack 1	فيضان TCP ACK باستخدام تجزئة IP
Attack 2	انتحال ARP
Attack 3	فيضان DNS
Attack 4	فحص FIN
Attack 5	فيضان تجزئة ICMP
Attack 6	فحص NULL
Attack 7	فحص منافذ TCP SYN (`nmap -sS`)
Attack 8	Slowloris
Attack 9	فيضان تجزئة UDP
Attack 10	فحص UDP
Attack 11	فحص Xmas

دليل المستودع

الهدف	ابدأ من هنا
إعادة إنتاج المعيار المرجعي	`RUNBOOK.md`
فهم التنفيذ	`scripts/README.md`
فحص تكوين المعيار المرجعي ومتغيرات المطالبات	`config/` و`prompts/`
مراجعة البيانات الوصفية للنماذج والبرمجيات وبيئة الاختبار والمحللات	`reproducibility/` و`vllm_parsers/`
استكشاف الأشكال ولوحات المعلومات المُولّدة	`docs/`

سير عمل التنفيذ

flowchart LR
    entry["scripts/*.py<br/>command-line entry points"] --> benchmark["benchmark/<br/>execute · schedule · resume"]
    entry --> reporting["reporting/<br/>score · aggregate · publish"]
    entry --> orchestration["orchestration/<br/>optional remote model lifecycle"]

    sources["config/ · prompts/ · PCAP workspaces"] --> benchmark
    orchestration --> benchmark
    benchmark --> artifacts["Retained run artifacts"]
    artifacts --> reporting
    reporting --> outputs["CSVs · figures · dashboards"]

توجد أدوات المسار المشترك ومساحة العمل وOpenCode والعرض والنتائج مباشرةً ضمن scripts/agentic_pcap/. خريطة الوحدات الداخلية الكاملة موثّقة في scripts/README.md.

إعادة إنتاج المعيار المرجعي

يستخدم تنفيذ Python المكتبة القياسية فقط. تتطلب التحقيقات الحية أيضًا OpenCode وTShark وtcpdump وأدوات Unix الشائعة ومساحات عمل PCAP ومزوّد نموذج مُهيأ.

[!WARNING] ينفّذ الوكيل أوامر shell غير مقيّدة. شغّله فقط في حاوية معزولة أو جهاز افتراضي قابل للتخلص منه.

اتبع دليل التنفيذ على جهاز جديد لإعداد Debian/Ubuntu، وتكوين vLLM الخاص بالعتاد، والتنفيذ، والاسترداد، وإنشاء لوحة المعلومات. توثّق أوامر التشغيل التاريخية بيئة الدراسة؛ config/benchmark_orchestrator.local.json هو القالب لجهاز جديد.

لم يُطبَّق أي أخذ عينات أو تجاوز للبذرة. تُحفظ بيانات التعريف الدقيقة لوقت التشغيل ضمن reproducibility/، والجلسات ولوحات المعلومات المُعدّة مسبقًا متاحة من إصدار Hugging Face الرسمي.

الاستشهاد

إذا استخدمت هذا المعيار المرجعي، فيرجى الاستشهاد بـ مجموعة بيانات Hugging Face والإشارة إلى مستودع شيفرة GitHub هذا.

الاستشهاد المقترح لمجموعة البيانات

M. Aureille and J. Fesl, “Agentic LLMs for Network Attack Detection,” version 1.0.0, Hugging Face dataset, 2026. [Online]. Available: https://huggingface.co/datasets/maureille/agentic-pcap

BibTeX

@misc{aureille2026agentic,
  author       = {Matthieu Aureille and Jan Fesl},
  title        = {Agentic LLMs for Network Attack Detection},
  year         = {2026},
  howpublished = {Hugging Face dataset},
  note         = {Version 1.0.0},
  url          = {https://huggingface.co/datasets/maureille/agentic-pcap}
}

تتوفر بيانات وصفية قابلة للقراءة آليًا لاستشهاد البرمجيات الخاص بهذا المستودع في CITATION.cff.

الترخيص

يستخدم هذا المشروع تراخيص منفصلة لمكونات البرمجيات والبيانات الخاصة به:

المكوّن	الترخيص	التغطية
البرمجيات	MIT	كود المعايير والتنسيق والتقييم وتوليد المطالبات وتوليد لوحة المعلومات وعرض GitHub Pages
قوالب Gemma 4 المنسوخة	Apache 2.0	قالبا Jinja التابعان لجهات خارجية ضمن `vllm_parsers/`؛ المصادر الثابتة والتجزئات مسجّلة في `vllm_parsers/README.md`
مجموعة البيانات والمنتجات التجريبية	CC BY 4.0	ملفات PCAP وبيانات الالتقاط الوصفية وأوصاف الهجمات والمطالبات المقدَّمة والجلسات والقرارات والجداول والأشكال وبيانات المعايير المضمّنة؛ الترخيص الكامل متوفر مع مجموعة بيانات Hugging Face

agentic-pcap

الأكثر شعبية