轻量级行为监测模块通常只有几十到几百KB，运行在设备固件层，通过监控系统调用序列建立正常行为基线，利用轻量级异常检测模型识别偏离基线的行为。