SecJev：为 System One 决策模型引入安全专业知识

安全工作流要把复杂观测和显式策略变成类型化决策，通用Jev-like接口缺少安全专门化。

• 场景：作者称流程反复处理工具输出、认证历史或投票证据。同一响应可能既要判断注入又要决定信任边界动作，投票证据可能既要法定人数判断又要策略决定。
• 接口缺口：Jev返回类型化预测和概率，Kev提供指针头及Boolean、choice、ordered接口。作者认为安全专门化要让该接口解释领域观测并应用已陈述策略。
• 观察：一个场景的不同问题可共用同一模型和类型化接口；候选描述是输入，因此一个头可对应不同答案词表。
• 提出：作者提出SecJev，称据其所知是首个面向安全的Jev-like模型族（0.8B、2B、4B、9B）。SecJev-Corpus把来源标注预测和显式策略评估收进14个任务、八个来源，并用场景加权训练适配器与决策头。

领域与安全专门化

• Gururangan等（2020）、Wadden等（2025）、Shi等（2025）、Zeng等（2024）：领域自适应预训练或指令微调，把语言模型对准专门分布。
• CyberBench与CyberInstruct（Liu等，2024）：多任务网络安全基准，以及安全指令微调的生成模型族。SecBench（Jing等，2024）用选择题和简答评测安全知识与推理。
• Song等（2025）：用LLM微调做行为日志中的异常检测。

决策接口

• Jev（Almeida，2026）给出类型化System One预测；Kev（Palmer，2026）提供本文使用的指针头，以及Boolean、choice、ordered-score接口。LoRA（Hu等，2022）与温度缩放（Guo等，2017）是本文采用的适配和置信度方法。
• Sood与Savelka（2026）：分类头微调，对每条上下文–候选序列分别打分。论文把它作为另一种判别式选择题接口，并与共享单次打分比较。
• Wu与Lim（2026）：研究对Jev类型化概率决策的提示注入。论文称这促使评估决策模型如何解释安全证据。

安全观测与策略数据

• AgentDojo（Debenedetti等，2024）与InjecAgent（Zhan等，2024）提供工具集成的注入场景。
• CICIoT2023、ToN-IoT、LANL、VeReMi提供网络、认证和车辆观测（Neto等，2023；Moustafa，2021a；Kent，2015；Hermann等，2026）。
• Twins与ByzFL支持受控共识和联邦学习场景（Bano等，2022；González等，2025）。论文称语料保留其目标语义，并用同一接口写问题和候选含义。

基线与基准

• 基线：各任务训练集多数语义类；官方Kev（0.8B/4B/9B）及作者的2B通用决策初始化；answer-only生成式SFT；0.8B候选序列分类头；0.8B无Kev初始化的direct-Qwen指针。
• 基准：SecJev-Corpus安全测试；BIPIA衍生决策与IoT-23连接标签；Kev的general decision与general transfer套件。

作者把本文定位为：把安全专门化接到Jev-like共享单次候选打分器上，同时覆盖来源标注预测和显式策略决策，并与单token生成和候选序列分类比较。

整体做法是在Kev的单次候选打分器上做安全适配：SecJev冻结骨干，训练LoRA与指针头，用场景加权交叉熵学习三类类型化决策。Figure 1的图注写明：实线为训练和推理的前向计算；灰色虚线把金标签和logits送入场景加权交叉熵；珊瑚色虚线只更新LoRA和头。

决策接口

• 场景：状态s加若干问题。每题有指令q和候选描述C。状态可以是文本、遥测或观测历史，并包含该题所需策略。
• 输出：Boolean返回true的概率；choice返回候选概率和最高分键；ordered另返回期望等级，即对0到K−1的等级，把(k−1)乘对应概率后求和。
• 渲染：每题是独立因果行，含状态、问题、分隔候选和决策标记，字段名与顺序不变，以配合Qwen3.5的混合循环与注意力骨干。行可批处理，问题token不跨行共享；候选顺序在行内可见。

单次候选打分

hd、hk分别是最终决策标记和候选k结束分隔符处的隐状态。共享仿射投影到dp=256，候选分数为

z_k=(W_Q h_d+b_Q)^⊤(W_K h_k+b_K)/√d_p

概率为

p(c_k∣ s,q,C)=exp(z_k/T)/∑_jexp(z_j/T)

训练时T=1，预测取最大概率候选。键和概率在打分后组装，不自回归解码答案token。三类输出都只用候选交叉熵，没有序距离损失。另在校准划分上拟合一个正标量温度以最小化NLL；缩放改变置信度，不改变最高分候选。

安全适配

• 初始化：0.8B、4B、9B继承已发布Kev适配器与头。2B先在Qwen3.5-2B-Base上，用Kev通用决策数据以及日期推理、缺失证据补充集学习通用决策。作者称这是内部初始化，不是官方Kev。
• 可训练部分：骨干冻结。rank-16 LoRA，缩放32，dropout 0.05，外加指针头。适配器覆盖attention、前馈和DeltaNet投影。四个规模都用三个安全训练epoch；每道安全题每epoch出现一次，无通用域回放。
• 损失：场景i中第j题的权重为1/mi。N个场景上，损失是各场景内平均对数似然的再平均。优化用AdamW，权重衰减0.01，梯度裁剪1.0；首epoch峰值学习率2e-5，后续1e-5，有效批大小128与192。

语料与任务

SecJev-Corpus有170,185题、115,324个场景、八个来源、14个任务（Table 1）。其中Boolean 137,067，choice 25,721，ordered 7,397。ordered只涉及共识证据，每一级有显式含义。两类目标：从观测预测来源标注；对照展示的规则和历史做策略评估。

• 工具输出：AgentDojo保留可信请求、工具调用、不可信响应和信任策略，问题是嵌入注入是否存在，以及响应应否当作数据或排除其重定向指令。InjecAgent区分信息转移请求与其他操作；目标描述所请求操作，不是攻击是否成功。仅含正类的检测表述被排除。
• 流量与车辆：CICIoT2023从测量流量预测攻击捕获标签。ToN-IoT从协议与应用遥测预测连接标签，省略端点身份。VeReMi用本地车辆消息历史预测最后一条的操纵标签，以及十类攻击/正常类别。
• 更新、投票与认证：ByzFL监督来自80个受控MNIST实验，输入含更新幅度、中位距离和历史余弦相似度，参考FoolsGold；标签区分攻击生成更新与诚实本地训练，含non-IID客户端。Twins问题覆盖可见冲突、法定人数、证书动作和证据等级；所述策略是拒绝已观察的冲突投票者，否则达到法定人数就接受，否则等待。LANL用当前事件及源账户/计算机此前300秒历史，排除同一秒事件，因为顺序未知；这是事后分诊，当前成败可能可见。

划分与质量控制

Table 2：训练118,818题/81,410场景，校准14,821/9,333，开发14,912/9,911，测试21,634/14,670。同一场景的题不拆开。分组按捕获、源主机、模拟运行、日期或规范化工具响应；VeReMi保留独立测试边界。每语义类在每任务/划分至少50题；类占比不超过80%，最大跨划分类占比差为8.58个百分点。无序题的正确答案位置在类和划分内分布，ordered等级保持原序。输入排除监督与来源信息，8,192 token内不截断。37,490道LANL/Twins题经独立策略重算。

实验设置

• 模型：SecJev-0.8B/2B/4B/9B。Init.为官方Kev（0.8B/4B/9B）和作者的2B通用决策模型。对照含匹配Qwen3.5基座的生成式SFT（0.8B/4B）、Qwen3.5-0.8B-Base上的候选序列分类头，以及无Kev初始化的0.8B指针。
• 数据：安全测试为全部21,634题、14任务。迁移确认为BIPIA 600个答案、IoT-23 1,000条连接。通用保留为general decision 1,200题、general transfer 656题。
• 指标与基线：task-macro对14任务等权；micro按题加权；balanced macro再在任务内平均类召回。三类输出的准确率都取最高概率候选。另有NLL、Brier、ECE、Recall、FPR、时延和峰值显存。多数类基线取各任务训练集最常见语义类。配对95%区间为2,000次按来源分层的整组重抽样。
• 精度与检查点：主准确率对0.8B/2B/4B用FP32骨干，9B用BF16，适配器与头为FP32。开发集task-macro balanced accuracy选检查点：0.8B/2B/4B为epoch 3；报告的9B是检查外部分数后保留的epoch 2（附录F）。
• 时延：一张RTX 3090，BF16骨干、FP32适配器与头。每请求一题，无提示缓存复用。短输入至多512 token，长输入2,048–8,192；每档100道固定开发题，五次计时。

主结果

据Table 3（%）。2B的Init.是作者的通用决策模型，不是官方Kev。9B的SecJev为附录F的epoch 2；0.8B/2B/4B为epoch 3。主结果中9B骨干为BF16，其余为FP32。

表格较宽，可左右滑动

规模	Init. task-macro	SecJev task-macro	SecJev micro	SecJev balanced
0.8B	50.94	90.34	85.03	88.00
2B	52.15	92.98	86.48	90.31
4B	67.88	94.51	88.01	92.42
9B	69.82	94.08	87.18	91.27

• 作者报告四规模宏增益为39.40、40.83、26.63、24.26个百分点，配对区间都不含0；4B为[18.59, 30.75]，全部区间见Table 26。训练多数类task-macro为62.89%。SecJev-0.8B比Kev-9B高20.51个百分点。
• 作者给出4B分组：三个工具文本任务从63.38%到99.30%，五个来源标注任务从50.53%到85.19%，六个显式策略任务从84.58%到99.87%。作者称增益也延伸到来源标注预测和工具响应解释。
• ByzFL在2B最高，Table 3为97.50%。两个VeReMi任务都低于72%：4B为70.34%与69.23%。车辆消息分类有6,642道测试题，但宏平均只计两项；作者用这一点解释micro低于macro。

与其他决策接口比较

• 协议：生成式SFT用同一安全数据、rank-16 LoRA、场景加权和三epoch，预测一个答案键token；解码用答案键语法，无效输出计为错误。0.8B分类头对分开编码的上下文–候选序列打共享标量分。
• 准确率：FP32下生成式task-macro为0.8B/4B的90.02%/94.35%，SecJev为90.34%/94.51%；balanced macro为87.79%/92.30%对88.00%/92.42%（Section 5.3）。0.8B分类头为89.85% macro、86.84% balanced；direct-Qwen指针为88.17%、83.75%（Table 7、Table 29）。
• 代价：Table 4在统一BF16上重测。SecJev-0.8B短/长中位数79.2/164.1 ms，峰值显存2.56 GiB；生成式为80.4/167.4 ms、3.52 GiB。4B为10.18对12.58 GiB。作者称短/长中位数加速比为0.8B的1.02/1.02倍、4B的1.07/1.04倍。batch-eight下4B两方法与Kev-9B显存不足；0.8B吞吐上SecJev与生成式均为4.33 questions/s，direct-Qwen为4.45。统一BF16下的macro为SecJev-0.8B 90.46%、Kev-9B 69.79%，与Table 3的跨精度比较不是同一设置。

新来源确认

• 设置：冻结SecJev-4B epoch 3与SecJev-9B epoch 2，对照匹配Kev和开发集选出的4B生成模型（Table 5）。BIPIA为150个新上下文、600个答案，保留原载荷模板并更换背景；召回和FPR只计二分类注入题。IoT-23为四个新捕获、1,000条连接、每类500，用13个共享遥测特征预测来源标签。
• BIPIA：SecJev-4B/9B准确率72.00%/73.00%，Kev为50.17%/50.83%，FPR均为0.00，注入召回48.67%/44.00%。生成式4B为54.33%。作者称SecJev-4B在这些新背景上高17.67个百分点，并称其更能识别注入的工具内容。
• IoT-23：作者报告SecJev把准确率从Kev的50.00%提到65.10%/60.80%。生成式4B为68.10%，召回87.60%、FPR 51.40%；SecJev-4B召回96.60%、FPR 66.40%。作者称两种接口的迁移画像不同，生成式在固定决策规则下的流量精确率–召回更均衡，并称误报依赖捕获。

一致性、初始化与置信度

• 释义与置换（Table 6）：1,400对释义使四规模准确率下降0.07–0.93个百分点，语义一致率95.36%–98.36%。500对choice置换使准确率变化−0.80到+0.40个百分点，一致率97.40%–98.80%。0.8B释义把联邦更新从91%降到85%，车辆攻击类型从39%降到32%。9B上ToN-IoT从95%降到89%，CICIoT从88%升到95%。
• 初始化（Table 7）：固定骨干、指针、安全数据和三epoch时，Kev初始化的0.8B测试macro为90.34%、balanced为88.00%，直接在Qwen3.5上训练为88.17%、83.75%。作者称增益不均：direct-Qwen在AgentDojo边界动作和联邦更新上更好，Kev初始化在车辆任务上增益更大（附录G）。
• 保留与校准：Table 8中通用决策准确率变化不超过0.50个百分点。0.8B通用迁移从68.45%降到66.01%，配对区间[−4.73, −0.15]，其余通用准确率区间含0。Table 9：温度缩放降低各规模安全测试NLL，但Brier与ECE变差；9B的NLL从0.364到0.355，ECE从1.53%到2.48%。作者称这与只优化NLL相符。

其他消融与分析

• 人工复核280题、每任务20：答案一致261/280（93.21%）；180道工具文本与显式策略题，两人答案都与语料标签一致；100道来源标注题一致81，两人都认为证据充分的为28（Section 6.4）。
• 独立策略重算37,490道LANL/Twins题，作者报告不一致答案为0（Table 10）。
• 通用套件上，安全温度降低各规模SecJev的NLL、Brier和ECE，但作者称未完全恢复初始化置信度；0.8B迁移的校准ECE为21.10%，初始化为4.19%（Table 27）。
• 探索性IoT-23（Table 13）SecJev-4B准确率88.40%、FPR 23.00%；确认集Table 5为65.10%、66.40%。附录F称9B曾参照外部分数选检查点，那些分数是探索性迁移。
• Table 23：9B epoch 3的安全macro为94.51%、IoT-23为75.70%；epoch 2为94.08%与83.70%。报告结果保留epoch 2。
• 附录I：分类头全局温度把测试NLL从0.433降到0.420，Brier从0.2178升到0.2184，十箱ECE从1.81%升到2.23%，准确率不变。

作者指出的局限与后续方向

• 决策范围（Limitations）：只评估给定观测上的候选决策。捕获和实验标注可能依赖单条输入之外的信息，那些任务测的是来源标注预测；策略任务测的是应用所展示的规则。端到端攻击防护和自主响应需要单独的部署评估。
• 任务难度（Limitations）：14个任务难度不均，策略任务上的高分与较低的车辆消息准确率并存。task-macro对任务等权。
• 分组与迁移（Limitations）：记录的组边界针对特定依赖；残余语义重叠，以及超出已测来源的迁移，仍然开放。
• 人工复核（Limitations）：答案分歧集中在来源标注任务，可见遥测对来源标注提供的证据不完整。
• 精度（Limitations）：主准确率对较小骨干用FP32、对9B用BF16；效率比较使用匹配精度。
• 重复（Limitations）：每个训练条件一次运行。生成式比较同时改变初始化和输出机制，0.8B有direct-Qwen指针对照。SecJev与生成式SFT的小准确率差描述的是这些运行，训练种子变异仍未测量。

实验覆盖范围

• 安全测试包含0.8B、2B、4B、9B，SecJev-Corpus全部21,634道测试题、14个任务（Section 5.1，Table 3）。
• 接口比较包含answer-only生成式SFT（0.8B与4B）、0.8B候选序列分类头，以及0.8B direct-Qwen指针（Section 5.3，Table 29）。
• 新来源确认使用冻结的SecJev-4B/9B、匹配Kev和4B生成模型，BIPIA 600个答案、IoT-23 1,000条连接（Section 5.4，Table 5）。
• 分析包含释义1,400对、choice置换500对、通用决策1,200题、通用迁移656题、校准划分上的温度，以及280题双人复核（Section 6）。
• 论文写明每个训练条件一次运行；报告的9B对应附录F的epoch 2，0.8B/2B/4B为epoch 3。

SecJev是0.8B到9B的安全决策模型族，作者称据其所知是首个面向安全的Jev-like家族。

• 问题：把工具输出、流量、联邦更新、共识、认证和车辆消息变成Boolean、choice或ordered决策。通用接口返回类型化概率；专门化负责解释观测并应用已陈述策略。
• 方法：冻结Qwen3.5骨干，训练rank-16 LoRA与指针头，沿用Kev单次候选打分。0.8B/4B/9B继承官方Kev，2B用作者的通用决策初始化。语料170,185题、14任务，场景加权交叉熵训练三epoch，校准集拟合一个温度。
• 测试：21,634道安全测试题上，四规模task-macro为90.34%、92.98%、94.51%、94.08%（Table 3；9B为epoch 2，骨干BF16）。相对初始化的宏增益为39.40、40.83、26.63、24.26个百分点。SecJev-0.8B比Kev-9B高20.51个百分点。两个VeReMi任务低于72%。
• 对照：FP32下生成式SFT的task-macro为0.8B 90.02%、4B 94.35%，SecJev为90.34%、94.51%。Table 4中0.8B峰值显存为2.56 GiB，生成式SFT为3.52 GiB。BIPIA上SecJev-4B准确率72.00%（Kev-4B 50.17%，注入题FPR为0）；IoT-23上SecJev-4B为65.10%、FPR 66.40%，生成式4B为68.10%、FPR 51.40%。
• 作者结论：作者称专门化改进了每个模型，与只生成答案键的微调在准确率上接近且峰值显存更低，并把增益迁到新来源组；通用决策初始化也加强了0.8B。伦理部分称证据不完整时预测会出错，行动需另有策略和评估。