VX-One：类型化决策头如何重塑边界流量分类

当签名引擎遇上未知攻击：边界分类的困境

边界流量分类长期面临一对难以调和的矛盾：签名引擎速度快、格式安全，但对从未见过的攻击几乎完全失明；生成式模型语义理解强，却推理慢、输出难以解析，难以直接嵌入实时流水线。这一矛盾在商业产品中已有回应——据原文观察，2026年末一批商业 System One 决策模型（如 TypeSafe Jev、Microsoft-Decision-1）开始将类型化决策原语（二值门、闭集选择、序数评分）作为产品 API 出售，但学术界对此类设计缺乏系统研究。VX-One 正是试图填补这一空白：一个参数量在 100K–10M 之间的小型多头网络，输出被约束为上述三种可解析原语，并以多任务方式训练、逐头做温度校准，在 CPU 上 p50 延迟约 0.7–1.7 ms。

三头输出：把"不确定性"变成可编程接口

VX-One 的核心设计不是追求更强的表征能力，而是把决策输出结构化。

门控、选择与评分

第一个头是校准后的二值门，回答"这条流是否可疑"；第二个头在闭集候选中做选择，且候选集始终包含一个显式的 unknown 选项——这一点在安全场景中至关重要，它让模型具备了"拒绝表态"的合法出口；第三个头输出序数评分，用于排序与分级处置。三个头联合训练，但各自独立做温度校准，使每个输出的置信度可以单独解释和阈值化。

为什么类型化很重要

生成式模型的自由文本输出在实时流水线中无法直接消费，而类型化原语天然可被下游规则引擎解析。VX-One 的取舍是牺牲一部分表达自由度，换取部署可行性与可审计性——这也是商业决策模型选择同一路线的原因。

温度校准（Temperature Scaling） 是一种后处理校准方法：在模型输出的 logits 上除以一个可学习的标量温度参数 T，再经 softmax 得到概率。T>1 时分布更平滑，T<1 时更尖锐，通过最小化验证集上的负对数似然来拟合 T。它的优点是参数极少、不改变模型排序，只调整置信度的绝对数值。VX-One 对三个头分别做温度校准，意味着门控的"可疑概率"、选择的"候选置信度"、评分的"分级可信度"可以各自独立地阈值化。但温度校准假设验证集与部署分布同源，一旦发生时间漂移，标定出的 T 就会失效——这正是文中 ECE 从 0.04 恶化到 0.40 的机制来源。

实验结果：检测赢，归因输

论文在 UNSW-NB15、CIC-IDS2017、EMBER2024 三个基准上，与校准后的 XGBoost、Random-Forest、MLP 和 Kitsune 对比，并测量了"Suricata（52,674 条 Emerging-Threats 规则）→ VX-One"的两阶段级联，在 CIC-IDS2017 上跨五天运行。

结论呈现明显的分裂：VX-One 在 UNSW-NB15 的检测指标（AUROC、FPR@95%TPR）上胜出，在 CIC-IDS2017 的时间漂移条件下同样领先（0.711 vs 0.637）；但多类归因任务上，XGBoost 在三个基准上全部胜出。这意味着类型化决策头的优势集中在"是否异常"的判断，而非"属于哪类攻击"的细粒度划分。

未知攻击的诚实度：9/9 与低于随机的落差

VX-One 宣称的"未知攻击诚实性"在留一攻击族（leave-one-family-out）测试中表现极端不均匀。在 UNSW 的 9 个折上，门控全部成功检出从未见过的攻击族，达到 9/9；但在 CIC 的 recon 族上，检测率跌至随机水平以下。同一套机制在两个基准上表现如此分裂，说明门控对"未知"的泛化高度依赖数据分布本身。

同样值得警惕的是弃权阈值的迁移性：在一个基准上调好的 abstention 阈值，换到另一个基准后表现很差。这直接削弱了"即插即用"的部署叙事——阈值需要针对目标环境重新标定。

留一攻击族交叉验证（Leave-One-Family-Out, LOFO） 是评估未知攻击泛化能力的标准协议：每次从训练集中完全移除某一攻击族（如 DoS、recon、exploits），用其余族训练，再在被移除族上测试。由于模型在训练中从未见过该族的任何样本，测试结果反映的是对"真正未知"的检测能力，而非对已知类的记忆。它比随机划分更严格，因为随机划分会让同一攻击族的样本同时出现在训练和测试集，导致指标虚高。LOFO 的折数等于攻击族数量，UNSW-NB15 有 9 个攻击族，因此为 9 折。该协议的局限在于：被移除族若在特征分布上与保留族差异极大，模型可能学到的是"分布外检测"而非"攻击检测"，这解释了为何同一机制在不同基准上表现分裂。

级联的灰区：99.9% 的流量去哪了

在无载荷重构场景下，签名引擎只能解析约 0.1% 的流，灰区覆盖约 99.9% 的流量。这一数字直观说明了纯签名方案在现代边界上的覆盖缺口。级联设计让第二阶段接管灰区，合并召回率达到 ≥0.978，验证了两阶段架构的必要性：第一阶段负责快速削峰与格式安全，第二阶段负责语义补位。

无载荷重构（payload-free reconstruction） 指在加密流量、私有协议或分片重组不完整的场景下，签名引擎无法获取应用层载荷进行模式匹配，只能依赖包头、流统计特征（包长序列、到达间隔、方向比例等）做判断。Suricata 的 52,674 条 Emerging-Threats 规则大多依赖载荷中的特征串，因此在无载荷场景下仅约 0.1% 的流能被规则命中，其余 99.9% 落入"灰区"——既未被判定为恶意，也未被证明清白。灰区并非"安全流量"，而是签名引擎的盲区，这正是需要第二阶段语义模型接管的原因。级联设计的核心价值在于：第一阶段以极低成本处理可解析的少量流量并保证格式安全，第二阶段用轻量模型对灰区做二值判断，从而在不显著增加延迟的前提下把合并召回率提升到 0.978 以上。

校准在漂移下崩塌

最严峻的发现与校准有关。在时间漂移下，所有方法的校准都出现崩塌，ECE 从 0.04 恶化到 0.40，而排序能力仅部分存活。这动摇了"校准置信度可直接用于自动化处置"的前提：模型输出的概率在分布变化后不再可信，但相对排序仍有一定参考价值。对生产系统而言，这意味着基于绝对阈值的自动化决策需要配合持续监控与重校准机制。

期望校准误差（Expected Calibration Error, ECE） 衡量模型预测概率与实际准确率之间的偏差：将预测置信度分箱，计算每个箱内平均置信度与平均准确率之差的加权和。ECE=0.04 表示平均偏差仅 4 个百分点，置信度基本可信；ECE=0.40 则意味着模型说"90% 可疑"时实际可能只有 50% 命中，绝对阈值决策会严重失准。ECE 的缺陷是对分箱策略敏感、只反映平均偏差而不反映方向，因此常与 MCE、Brier Score 配合使用。文中"排序能力仅部分存活"指的是 AUROC 等只依赖相对顺序的指标下降幅度小于 ECE，因为校准漂移主要破坏概率的绝对数值，而排序信息在分布变化下相对更稳健。

实践启示

VX-One 提供了一份诚实的测量记录：类型化校准决策在检测与灰区回收上有明确价值，在多类归因上不如梯度提升树，在未知族泛化与阈值迁移上存在显著脆弱性，在漂移下校准不可依赖。对工程团队而言，更务实的路线可能是——用签名引擎做第一道快速过滤，用类型化决策头处理灰区与二值判断，把细粒度归因交给树模型，并为所有置信度输出准备漂移监控与重校准方案。