エンコーダ型大規模言語モデルによるアトリビューション駆動の説明可能な侵入検知

要旨: ソフトウェア定義ネットワーキング（SDN）はネットワークの柔軟性を向上させる一方で、信頼性が高く解釈可能な侵入検知の必要性も増大させます。大規模言語モデル（LLM）は、強力な表現学習能力により、サイバーセキュリティのタスクに対して近年検討されてきました。しかし、その透明性の欠如は、セキュリティ上の重要性が高い環境での実用的な採用を制限しています。したがって、LLMがどのように意思決定を行うのかを理解することが不可欠です。本論文では、フローレベルのトラフィック特徴を用いたネットワーク侵入検知に対し、エンコーダ型LLMの帰属（attribution）駆動の分析を提示します。帰属分析により、モデルの意思決定が意味のあるトラフィック行動パターンによって導かれていることが示され、トランスフォーマー型SDN侵入検知における透明性と信頼が向上します。これらのパターンは、確立された侵入検知の原則と一致しており、LLMがトラフィックのダイナミクスから攻撃行動を学習していることを示唆します。本研究は、LLMベースのセキュリティ分析を検証し、信頼するうえでの帰属手法の価値を示します。