Architecting software monitors for control-flow anomaly detection through large language models a...

文章核心总结与翻译

一、主要内容

本文针对现代计算机系统（尤其是安全关键型系统）运行时控制流异常检测的挑战，提出了一种结合大型语言模型（LLMs）和一致性检查的软件监控方法。

1. 研究背景：现代系统复杂度高，设计时验证难以覆盖所有运行时场景，易出现"未知未知"型控制流异常，传统运行时验证存在模型与实现一致性难维持、日志质量低等问题。
2. 核心方法：
   • 三阶段方法论：软件开发（需求工程→过程建模→代码实现）、软件监控设计（提示工程→LLM驱动的源代码插桩→日志提取）、软件异常检测（监控器训练→运行时日志分析→一致性检查与异常识别）。
   • 利用LLMs自动生成插桩代码，关联设计时过程模型与底层实现，生成高质量运行日志；通过一致性检查（基于Petri网）分析日志与模型的契合度，结合无监督学习（如自编码器AE、DBSCAN）实现异常检测。
3. 实验验证：基于欧洲铁路交通管理系统（ERTMS/ETCS）的任务启动（SoM）流程进行案例研究，测试了Gemini 2.5 Pro等3种LLM的插桩效果，以及多种异常检测技术的性能。
4. 关键结果：
   • LLM插桩最高实现84.775%的控制流覆盖（Gemini 2.5 Pro）；
   • 异常检测峰值性能达96.610% F1分数和93.515% AUC（AE模型），可有效识别缺失活动、未知活动、顺序错误三类异常。