L2M-AID: Autonomous Cyber-Physical Defense by Fusing Semantic Reasoning of Large Language Models

该文章提出了L2M-AID框架，通过融合大语言模型（LLM）的语义推理与多智能体强化学习（MARL），实现工业物联网（IIoT）中信息物理系统的自主防御，解决了传统防御缺乏上下文感知、难以应对多阶段攻击的问题。

一、文章主要内容总结

1. 研究背景：工业物联网（IIoT）中OT与IT融合，使关键信息物理系统暴露于复杂多阶段攻击；传统基于特征的入侵检测系统（SIDS）无法应对零日攻击，基于异常的入侵检测系统（AIDS）易被“低速攻击”规避，且均缺乏对攻击者意图的理解。
2. 框架设计：L2M-AID采用分层多智能体架构，分为战略层和战术层。战略层的“协调智能体”由LLM驱动，负责威胁关联分析、任务分解与态势感知；战术层包含网络监控、主机分析、威胁情报、缓解执行4类专项智能体，执行数据感知、异常检测与防御响应。
3. 核心机制：LLM将非结构化遥测数据转化为含上下文的语义状态（如“检测到侦察行为”），为MARL提供理解基础；MARL采用MAPPO算法，在“集中训练、分散执行”（CTDE）范式下学习协同防御策略，其奖励函数平衡威胁中和（安全目标）与物理过程稳定性（运行目标），避免防御动作破坏工业流程。
4. 实验验证：在SWaT基准数据集和基于MITRE ATT&CK for ICS生成的合成数据集上测试，L2