NetAgent：面向多任务网络流量分析的智能体框架

现有方法要么按任务单独训练、难以组合，要么依赖在分布偏移下仍会变差的流量基础模型；作者要无需任务专用训练、能拆解并编排多任务分析的智能体。

• 场景： 任务包括入侵与恶意流量检测、加密流量分类、指纹和流关联。作者称 SOC 要综合多类结果。文中例子是：先按应用过滤加密流，再对未归属流做隧道检测，再检查相关主机是否失陷。作者称没有任何单个模型能提供这种互相依赖的工作流。
• 现有不足： 作者称一任务一模型限制迁移和组合，新任务要重新标注和训练。nPrint 仍产出孤立浅层分类器。TrafficFormer 预训练贵、微调要大量标签；引言称其在分布偏移下 F1 下降超过 61.2 个点（指向 Section 4.4）。作者称单体模型一次前向不能拆解复杂分析。
• 直接使用 LLM： Figure 1 中，USTC-TFC2016 的 1000 条 C2 beacon 连接，五个主要 LLM 最多认出 3 条，并幻觉出捕获中没有的攻击；简单代码任务正确执行率最高 78%；加入未见 MAWI 后，web 攻击检测 F1 降到 50% 以下。作者把原因概括为语义鸿沟、动作空间碎片和长程分析脆弱。
• 方案： 作者认为解析、特征提取、聚合和流分类可做成原子工具再动态编排。作者提出 NetAgent，称它是首个统一的多任务流量分析智能体框架，由决策者、规划器和执行器闭环完成分解、执行与重规划。
• 使用设定： 使用者是企业网关或 SOC 监测点上的操作员或分析员，用自然语言查询 PCAP、NetFlow 或 CSV/TXT 特征表，并可根据结论继续追问。作者称现有系统多是固定的输入流量、输出标签接口。

规则与浅层机器学习

• 规则与统计： 端口方法按注册端口映射应用（Dreger 等，2006）；Snort（Roesch 等，1999）和 Suricata 对载荷做签名匹配。作者称这类方法快，但攻击者可改端口或变异载荷以规避固定规则；如何维护规则集又不造成过多误报，作者引用为仍开放的问题。
• 手工特征加浅层分类器： 流统计上的入侵检测、设备指纹，以及握手和时序特征上的代理检测。作者称手工特征要为新任务重做，应用和攻击演变后判别力会下降。

深度模型与流量基础模型

• 按任务训练的深度模型： GNN 建模流之间的结构关系，用于恶意流量检测和加密流量分类；序列模型捕捉包级时序，用于 DDoS 检测和网站指纹。作者称它们仍是一任务一模型，并需要大量标注。
• 共享预训练模型： ET-BERT（Lin 等，2022）、TrafficFormer（Zhou 等，2025）和 MM4flow（Yang 等，2025）在大规模流量上自监督预训练，再为下游任务微调。TrafficLLM（Cui 等，2025；作者注明 unpublished）用流量专用分词和微调改编通用 LLM，而不是从零预训练。作者称预训练贵、微调仍要大量标签，单体模型不能拆成协同步骤；并称 TrafficFormer 与 TrafficLLM 在网络漂移下泛化下降（Section 4.4）。

LLM 智能体

• 通用闭环： ReAct（Yao 等，2022）让模型规划子任务、调用工具、观察反馈并改计划。同类智能体已用于软件工程、生物医学和化学研究。论文只描述这些工作，没有逐篇对照本文。
• 安全智能体： PentestGPT（Deng 等，2024）辅助人工引导的渗透测试；PentestAgent（Shen 等，2025）自动化侦察与利用；Chimera（Yu 等，2026）用多智能体模拟内部威胁。CAGE（Kiely 等，2025）评测在抽象环境状态上行动的强化学习防御智能体，而不是真实流量。
• 流量分析智能体： IDS-Agent（Li 等，2025）把迭代闭环用于 IoT 入侵检测。作者称该闭环实际上只聚合少数浅层分类器的预测，且只针对 IoT。作者称此前没有智能体同时覆盖多样任务域、异构输入和长程复杂分析。

基线与基准

• 23 个单任务基线： 7 个经典 ML（Random Forest、SVM、KNN、Gradient Boosting、Logistic Regression、Decision Tree、KMeans）和 16 个深度方法，含 HyperVision、PointCloud、RAPIER、Lemon、NetRadar、Rosetta、TFE-GNN、Sugar、Deep Fingerprinting、Swallow、Multi-tab WF、IoT Device ID、WiFinger、Semantics-Aware、Joint Adversarial Training DGA Classification、IDS-Agent。
• 5 个多任务基线： nPrint、ET-BERT、TrafficFormer、TrafficLLM，以及配备 NetAgent 工具库的 ReAct。基准为 Table 2 的 9 个数据集；稳健性实验另用 MAWI/WIDE。

作者把本文放在可分解、可编排、可泛化的范式上，称 NetAgent 是首个统一的多任务流量分析智能体框架，用共享操作的动态组合代替按任务训练或一次前向预测。

NetAgent 用决策者、规划器和执行器的迭代闭环回答自然语言查询：规划工作流、执行，再决定结束或重规划。支撑件是知识增强规划、工具库、代码执行空间、三层记忆，以及沙箱和运行时修复。

智能体闭环

• 决策者： 汇总各轮发现，向规划器发出规划请求，写明分析目标和待查流量。执行后决定发下一请求、修改当前请求，或返回最终结论。
• 规划器： 把请求变成有序步骤，并用数据流图记录依赖。每步或调用已核验工具，或指定一项操作，由执行器生成代码实现。失败时重生成失败步骤及其依赖步骤。
• 执行器： 在持久代码空间运行工作流，把逐步结果交回决策者。规划函数的输入包括请求、流量批次、工具库、以往结论，以及按请求和观测流量检索到的知识。

知识增强的工作流规划

• 多视图特征： 原始捕获协议混杂，作者认为 LLM 难以直接推理。系统把批次中的每条流映射成一行特征。论文写 F(x)=(f₁(x),…,f_m(x))，即 m 个 view 各给出一个实数特征，再堆成行对应流、列对应 view 的矩阵。view 超过 50 个，覆盖包长统计、到达间隔、流统计、协议字段、TCP 标志和包长分布。当前设计排除 payload；作者给出的理由是大量流量已加密，且载荷特征会随应用版本漂移。规划器还拿到每个特征的格式、含义和期望范围。
• 攻击知识库： 每条规则把攻击类别连到特征条件。论文写 ∀x. cond₁(x)∧⋯∧cond_k(x)⇒c(x)，并附自然语言解释。论文中的 cryptomining 例子用连接时长、平均包长和平均到达间隔三类谓词。规则由 LLM 从构建工具库的同一批 50 余篇论文抽取，再人工对照原文核验；作者称同一流程也可纳入公开威胁报告。
• 检索： 规则按其类别和公式嵌入一次；查询嵌入请求文本和批次特征。用余弦相似度取最相似的若干条。Table 5 中该检索条数 k=10。作者称这些条件指出必须计算哪些特征，从而引导选工具和组工作流。

工具动作空间

• 从文献抽取： LLM 流水线处理 50 余个安全与网络方向的已发表系统，识别目标任务，按五层分类拆操作。有源码则改编，否则按论文描述实现。每个工具是带类型签名和自然语言说明的 Python 函数，可追溯到源论文和操作。实现经人工对照论文核验、预定用例测试，并在适用时于相同数据集上复现原文结果。作者称复现与原文相当（Table 6），例如 UNSW-NB15 上 F1 从 0.9780 到 0.9758。
• 去重： 候选操作有重叠。作者把保留全部操作覆盖的最小子集写成集合覆盖，用贪心选择再剪枝，并人工去掉换名重复和可用少量生成代码完成的琐碎操作。作者称去掉超过 85% 的原候选，最终 157 个工具；摘要亦写 150+。
• 五层偏序（Table 1）： L1 读取 PCAP、NetFlow、CSV/TXT；L2 抽取包级和流级原子特征；L3 构造窗口统计、多流或主机分布、预训练编码器表示；L4 按增强知识派生攻击相关特征；L5 运行监督分类器、异常检测或聚类。只允许较低层的输出进入同层或更高层，层可以跳过。规划器在执行前检查该顺序。同层接口统一，可替换或对同一输入并行使用。

代码执行与失败恢复

• 代码作为组合介质： 动作是在持久 Python 命名空间中执行的片段，而不是孤立的 JSON 或文本调用。工具是可调用函数，中间结果留在变量中，后续步骤直接引用。片段可以包含循环、分支和中间计算，也可与标准 Python 库一起使用。
• 沙箱： 每步在用完即销毁的轻量沙箱中运行，只有显式记录的结果写入持久空间。文件分只读输入区、用完即毁的计算区和只提交必要产物的输出区。
• 执行前检查与运行时修复： 执行前核对参数、类型，以及引用变量是否已在命名空间中且数据有效。import 白名单为标准库加 20 个批准的分析库；未通过检查的片段先重新生成。运行时异常和步骤日志交回执行器，用于定位、重写并在新沙箱中以相同输入重跑。若错误来自上游，按数据流图只重跑故障步骤及其依赖。仍失败则把失败和命名空间状态交给规划器，换工具重生成。Figure 4 示意该过程。

三层记忆

• 决策： 每一轮决策者接收当前请求、执行结果、已有结论和与查询相关的记忆，输出本轮结论、0 到 1 的置信度，以及下一步是再规划还是回答用户。
• 三层： 情节层存带时间戳的每轮结论；模式层合并相似情节；知识层存长期结论，如例行主机行为或反复出现的攻击模式。检索按与查询的语义相似度和条目权重取前若干条；Table 5 中决策者检索 30 条。权重用 sigmoid 混合新颖性与置信度，新颖性权重 α=0.6；新颖性由直方图密度估计。
• 巩固与漂移： 相似情节向上并成模式，反复出现的模式再蒸馏为知识，也可合并不同查询的结论。条目仅在年龄、频次和冲突满足阈值时保留。Table 5 中年龄阈值 60、频次阈值 0.1、冲突阈值 0.5，三层上限分别为 20000、500、50 条。作者称由此用较新、反复出现的结论替换过时或冲突结论。最大闭环次数为 30，沙箱修复最多 4 次。
• 提示词： 附录 B 给出规划、工具选择、代码执行和决策四类提示词，规定各模块的输入、输出和作用；完整提示词见附录 B。

实验设置

• 任务与规模： Table 2 列出 9 项。CIC-IDS2017 为 2.8M，含 14 类攻击和 benign；CIC-IDS2018 为 16.2M，50 个攻击者且类别不平衡；UNSW-NB15 为 2.5M，9 个攻击家族；CICIoT2023 为 46.8M，33 种攻击、7 类、105 台设备；CIC-DDoS2019 为 50M+，12 种攻击；ISCX-VPN2016 为 9.8K，7 个应用，含 VPN 与非 VPN；DF2018 为 140K，95 个 Tor 站点、41K 条 open-world traces；CAIDA AS 为 70M+，2025 年 AS 级拓扑；DGArchive 为 100M+，93+ 个家族。稳健性另用 MAWI/WIDE，论文写 200M+、10-Gbps 骨干网追踪。
• 基线： 23 个单任务方法（7 个经典 ML、16 个深度方法）和 5 个多任务方法（nPrint、ET-BERT、TrafficFormer、TrafficLLM、配备同一工具库的 ReAct）。单任务基线在其目标数据集上评测，多任务基线覆盖九个数据集。有公开代码则用默认设置，否则按论文重实现并核验。
• 骨干 LLM： NetAgent 与 ReAct 使用 GPT-5.5。Section 4.5 另评 DeepSeek-V4-Flash（284B）和 Qwen3.5-9B。正文写评测的替代 LLM 参数规模从 9B 到 284B。
• 协议与指标： 每个数据集按 80%/20% 划分训练与测试，结果在 10 折交叉验证上取平均。主指标为 F1。Table 3 报告的是 end-to-end F1。论文未写独立评审模型、判定阈值或人工一致性。
• 作者对训练的说法： 作者称 NetAgent 不做任务专用训练。L5 工具包含已有的监督学习分类器等模型；纳入前按原论文复现（Table 6）。
• Figure 1 的预备实验： 五个主要 LLM 用于 C2 识别、代码执行和漂移下的 web 攻击检测。正文未逐一写出这五个模型的名称。

主结果

下表取 Table 3。行是任务，因为各任务的对照方法不同。为不超过表长，列入 NetAgent F1 最低的 VPN，并省略三项；省略项的数字写在表后。

Swipe horizontally to read the table

任务	NetAgent	Best Single-Task	Best Multi-Task
VPN，ISCX-VPN2016	0.9242	Rosetta，0.9120	ET-BERT，0.9454
NIDS，UNSW-NB15	0.9863	PointCloud，0.9750	nPrint，0.9807
Web，CIC-IDS2017	0.9995	HyperVision，0.9920	TrafficLLM，0.9955
IoT，CICIoT2023	0.9998	IDS-Agent，0.9691	ReAct-Agent，0.8262
DDoS，CIC-DDoS2019	0.9999	NetRadar，0.9989	nPrint，0.9850
WF，DF2018	0.9965	DeepFP，0.9797	TrafficFormer，0.9520

Table 3 未列入上表的三项：fine-grained（CIC-IDS2018）NetAgent 0.9999，Classical ML 0.9999，TrafficFormer 0.9985；BGP（CAIDA AS）NetAgent 1.00，Semantics-Aware 1.00，ReAct-Agent 0.9752；DGA（DGArchive）NetAgent 0.9999，Classical ML 0.9899，nPrint 0.9750。表题把 ∆ 称为 absolute F1 differences，格内写作 +1.13% 这类百分数；上表只保留 F1 原值。

• 作者称 9 项中 8 项 NetAgent 最高，唯一例外是 VPN。作者把例外归因于分类依赖细粒度字节封装，而当前库没有字节级编码器，以避免加密载荷噪声影响其他任务；并称该编码器可作为工具加入而不改框架。作者称在其余 8 项上平均超出 ET-BERT 35.51 个 F1 点。作者亦称这 8 项 F1 都高于 98.63%；Table 3 中这 8 项的最低格是 NIDS 的 0.9863。
• 作者称多任务基线只在部分任务上较好。Table 8 中 nPrint 的 VPN F1 为 0.5478；TrafficFormer、ET-BERT、TrafficLLM 的 DGA F1 为 0.3556、0.2588、0.5257。ReAct 的 website fingerprinting、VPN、DGA 为 0.4997、0.3967、0.4228。作者称 ReAct 在这三项上低于 49.97%，并称它通常调用不超过三个工具就下结论。
• 作者的结论是：多任务分析既要任务专用的特征提取，也要智能体对中间结果的推理和决策。

跨数据集泛化

• 测了什么： web 攻击检测。基线在 UNSW-NB15 上训练，在 CIC-IDS2017 的共享攻击类别上测试。共享类别为 DDoS、scanning、reconnaissance、exploits、infiltration。作者称这两个数据集的社区基线在分布内达到 98% accuracy。NetAgent 按作者说法没有对应的任务专用训练。
• 结果： 最高的单任务和多任务基线 F1 为 2.74% 和 3.04%，相对其分布内结果下降 95.16 和 82.56 个点。NetAgent 为 90.04%，下降 9.91 个点。Figure 6(a) 标题写基线降到约 3% F1，NetAgent 为 90.04%。论文未点名这两个“最高基线”具体是哪个方法。
• 作者的解读： nPrint、IDS-Agent 一类浅层分类器过拟合数据集特定模式；ET-BERT、TrafficFormer 对良性流量欠拟合，微调集中在训练数据中的攻击模式，因而在新数据的良性流量上假阳性多；TrafficLLM 没有外部知识库，仍绑在训练模式上。作者认为 NetAgent 能泛化，是因为规划时检索攻击知识，并在工具库上分解任务。

真实背景流量下的稳健性

• 测了什么： CIC-IDS2017 的 web 攻击检测，向测试集注入 5× 体积的 MAWI/WIDE。注入流量超过 2.83 亿个包。原标签不变，新增流都视为 benign。
• 结果： Section 4.4 称最高的单任务、多任务基线失去 74.7 和 74.2 个 F1 点，全部基线降到约 25% F1；NetAgent 下降 4.85 个点，F1 为 95.1%。摘要和引言写的对照降幅是 74.88 和 74.80 个点，NetAgent 仍为 4.85 个点。Figure 7 标题写基线约 25%、NetAgent 维持 95.1% 且下降 4.85 个点。引言另称 TrafficFormer 在分布偏移下 F1 下降超过 61.2 个点，并指向 Section 4.4；该节正文没有再次写出 61.2。图中文字与方法的列对齐不可靠，这里不把图中的 0.25 附近数值分派给具体基线。
• 组件与作者解读： 100 条单任务查询和 100 条多任务查询中，规划器给出合法工作流的是 98 和 96；作者称多任务只低 2 个点。执行器首次成功 88%，论文列出的其余比例为参数类型错误 8%、未定义引用 3%、import 错误 1%；一次修复后成功率超过 99%。Figure 6(b) 的四个任务（标题列为 CIC-IDS2017、CIC-DDoS2019、CICIoT2023、ISCX-VPN2016）上，中间结论最多相差 45.51 个 F1 点；决策者的最终结论平均高于最佳单个结论 2.26 个 F1 点。作者称基线崩溃是因为闭世界训练，未见背景流被分进最近的已知模式；NetAgent 只标记符合检索规则的流，并用规则匹配和流量统计交叉检查分类器输出。

其他消融与分析

• 三层记忆： 在 web 攻击检测上换成扁平自然语言笔记，正文称 F1 下降 35.57 个点；Figure 8 轴名为 F1 Drop After Component Removal (%)，标注 −35.57%。
• 代码执行空间： 换成同一工具库上的 ReAct 式调用，正文称下降 26.57 个点（Figure 8 标 −26.57%）。
• 攻击知识库： 分类器仍可用时下降 5.39 个点；无监督设置下降 68.94 个点（正文；Figure 8 分列 Supervised 与 Unsupervised）。
• 失败恢复： 去掉后执行代码量增至 3.8×（相对 1.0×）；正文称 F1 变化 10.05 point，未写升高或降低。
• 换 LLM（Table 4，同一 web 攻击检测）： 三者都用 GPT-5.5 时 F1 为 0.9995；都用 DeepSeek 时 0.9993（代码量 1.1×，步骤 1.2×）；都用 Qwen 时 0.7745（5.2×，0.7×）。只换执行器为 Qwen3.5-9B：0.9989、4.9×；只换规划器：0.9173、步骤 0.8×；只换决策者：0.8241。表中 Qwen 有 Qwen3-9B 与 Qwen3.5-9B 两种写法，正文统一为 Qwen3.5-9B。作者称全 GPT-5.5 最高，DeepSeek-V4-Flash 相差在 0.02 个 F1 点以内；并称规划器和决策者更依赖更强的 LLM，执行器较不敏感，因为代码空间和失败恢复会纠正较弱模型的错误。作者还称换执行器时代码量增至 4.9×、F1 只降 0.06 个点；换规划器时工作流缩短到原来的 80%，F1 降 8.22 个点；换决策者时 F1 降 17.54 个点。
• 特征来源（Figure 5）： 作者取每项任务上最佳基线的特征，另训一个 Random Forest，称与最佳结果的差距在 2 个 F1 点以内。nPrint 与 IDS-Agent 在 IoT 上都用 Random Forest，作者称相差 14.59 个 F1 点；Table 8 中二者为 0.8232 和 0.9691。

作者指出的局限与后续方向

• 非实时： 每次闭环调用 LLM 做规划、代码生成和决策，执行器还可能对一份捕获跑多次分析。作者称延迟由迭代推理而不是包到达率主导，并称这是有意权衡：它回答需要中间证据的开放问题，固定检测器则快速回答预定义问题，二者互补（Section 5）。
• 覆盖边界： 没有匹配工具的任务退回 LLM 生成的代码；知识库中没有的攻击要用分类器或异常检测等其他可用工具分析。作者称这是覆盖限制，不是架构限制（Section 5）。
• 并行扩展： 作者把按主机、时间窗或攻击假设并行运行 planner-executor、再由上层决策者汇总，写成 possible extension（Section 5）。当前采用的是决策者协调规划器和执行器的分层角色结构。
• 未来工作： Conclusion 写未来工作包括实时集成、更广的工具与知识覆盖，以及更并行的多智能体架构（Section 6）。

实验覆盖范围

• 主实验： Table 2 的 9 个任务，对照 23 个单任务基线和 5 个多任务基线；主指标 F1；80%/20% 划分，10 折交叉验证平均（Section 4.1）。
• LLM： 默认骨干为 GPT-5.5；Section 4.5 另换 DeepSeek-V4-Flash（284B）和 Qwen3.5-9B，且是逐个替换规划器、执行器或决策者。
• 偏移与消融： 泛化是基线在 UNSW-NB15 上训练、在 CIC-IDS2017 的共享攻击类别上测试（Section 4.3）。背景流量是 CIC-IDS2017 web 攻击检测注入 5× MAWI/WIDE（Section 4.4）。逐组件消融也在 web 攻击检测上做（Section 4.5）。
• 设计中写出的边界： 特征矩阵当前排除 payload（Section 3.2）。工具最终 157 个，来自 50 余个已发表系统；规则和工具经人工对照论文核验（Section 3.2、3.3）。
• 论文未报告的量： 端到端延迟、token 消耗和查询次数的具体数值；统计显著性检验；把已确认发现转成 IDS 或防火墙规则后的执行结果（Section 5 只写系统支持这种转换）。Figure 1 使用的五个 LLM，正文没有逐一命名。

NetAgent 是一个多任务网络流量分析智能体框架。作者要让分析员用自然语言把分类、隧道检测和主机研判串成可重规划的工作流，而不为每个任务单独训练一个模型。

• 问题： 作者认为单任务模型难迁移、难组合，流量基础模型预训练贵、仍要大量标签，且一次前向不能拆解复杂分析。直接使用 LLM 时，高层攻击知识对不上低层流量特征，工具分散，长程执行也容易因一步出错而失败。
• 方法： 决策者、规划器和执行器循环工作。流量被收成不含 payload 的多视图特征；攻击规则写成这些特征上的条件，检索后用来选工具。157 个工具来自 50 余个已发表系统，按从读数据到分类的五层偏序组合。执行器用持久 Python 空间把工具编成代码，并按数据流只重跑失败步骤及其依赖。三层记忆把每轮结论压成模式和长期知识，再按时效、频次和冲突替换过时条目。
• 主结果： Table 3 的 9 项里，作者称 8 项 NetAgent 最高，并称这 8 项 F1 高于 98.63%；表中 NIDS 为 0.9863，BGP 为 1.00。VPN 分类 NetAgent 为 0.9242，低于 ET-BERT 的 0.9454，高于表中的单任务方法。
• 偏移： 基线在 UNSW-NB15 训练后，于 CIC-IDS2017 的共享攻击类别上做 web 攻击检测，单任务与多任务最高为 2.74% 和 3.04%，NetAgent 为 90.04%。注入 5× MAWI/WIDE 后，NetAgent 为 95.1% F1，下降 4.85 个点。摘要写对照基线下降 74.88 和 74.80 个点，Section 4.4 写 74.7 和 74.2 个点。
• 作者的结论： 先前方法的报告成绩在很大程度上来自对数据集特定模式的过拟合，在背景噪声和分布偏移下会变差；作者称 NetAgent 在这些设置下仍然准确、可泛化且稳健，并能把任务专用方法收成一个不做任务专用训练的多任务框架。作者计划后续做实时集成、扩大工具与知识覆盖，以及更并行的多智能体结构。