DOI: https://doi.org/10.1038/s41598-026-40763-5
PMID: https://pubmed.ncbi.nlm.nih.gov/41723225
تاريخ النشر: 2026-02-22
المؤلف: Abdullah AlHayan وآخرون
الموضوع الرئيسي: أمن الشبكات وكشف التسلل
نظرة عامة
تقدم البحث إطار الكشف عن التسلل والتخفيف الفيدرالي (FIDMF)، وهو نهج مبتكر مصمم لمعالجة التحديات الرئيسية في الكشف عن التسلل، مثل خصوصية البيانات، وقابلية التوسع، وعدم توازن الفئات، والحاجة إلى الفهم الدلالي والقدرة على التفسير. يستخدم FIDMF التعلم الفيدرالي للتدريب التعاوني مع الحفاظ على الخصوصية ويجمع بين بنية الذاكرة طويلة وقصيرة المدى (LSTM) مع الانتباه للكشف الفعال عن الأنماط الزمنية. ومن الجدير بالذكر أنه يدمج نماذج اللغة الكبيرة مفتوحة المصدر (LLMs) لتعزيز الميزات السياقية، وزيادة البيانات الدلالية عبر الشبكات التنافسية التوليدية (GANs)، والذكاء الاصطناعي القابل للتفسير (XAI) لتوفير رؤى قابلة للقراءة من قبل البشر. بالإضافة إلى ذلك، يستخدم الإطار تقنية زيادة العينة للأقليات الاصطناعية (SMOTE) لمعالجة عدم توازن الفئات، مما يؤدي إلى نظام كشف التسلل (IDS) قوي وقابل للتوسع.
تظهر تقييمات FIDMF عبر مجموعات بيانات متعددة، بما في ذلك NSL-KDD و CIC-IDS2017 و UNSW-NB15، أدائه المتفوق، حيث حقق دقة إجمالية تبلغ 99.40% ودرجة F1 تبلغ 99.38% على NSL-KDD، مع درجة F1 مثيرة للإعجاب تبلغ 99.70% لفئات الهجوم الأقل. كما حافظ الإطار على دقة عالية على CIC-IDS2017 (99.65%) و UNSW-NB15 (98.05%)، مما يدل على قوة التعميم. أكدت دراسة الإزالة أهمية كل مكون، وخاصة مساهمات LLMs في الذكاء الدلالي. يظهر FIDMF كحل قابل للتوسع، يحافظ على الخصوصية، وقابل للتفسير مناسب لبيئات الشبكة الحديثة، متوازنًا بفعالية بين الخصوصية والأداء بينما يعزز الفهم الدلالي وقابلية التفسير في التطبيقات الحساسة للأمان.
مقدمة
تسلط مقدمة هذه الورقة البحثية الضوء على الحاجة الملحة لأنظمة كشف التسلل المتقدمة (IDS) في سياق الشبكات الرقمية المتطورة مثل إنترنت الأشياء (IoT) والشبكات المتنقلة (MANET) وبيئات السحابة. تواجه أنظمة IDS التقليدية تحديات كبيرة، بما في ذلك محدودية التكيف مع أساليب الهجوم الجديدة، ومعالجة البيانات المركزية التي تعرض خصوصية المستخدم للخطر، ومشكلات عدم توازن الفئات التي تؤدي إلى معدلات عالية من السلبية الكاذبة في كشف الهجمات. تؤكد الورقة على ضرورة وجود قدرات كشف في الوقت الحقيقي وتعالج “الفجوة الدلالية” في النماذج الحالية، التي تكافح لتفسير سجلات الشبكة الخام بشكل فعال.
لتجاوز هذه القيود، يقترح المؤلفون إطار عمل مبتكر يسمى التعلم الفيدرالي المدعوم بالانتباه-LSTM (FIDMF)، الذي يدمج نماذج اللغة الكبيرة (LLMs) في عملية الكشف الأساسية. يستخدم هذا الإطار ثلاثة وحدات مبتكرة: (i) تعزيز الميزات السياقية باستخدام DistilBERT لتضمين دلالي لميزات الشبكة، (ii) زيادة البيانات الدلالية عبر الشبكات التنافسية التوليدية (GANs) الموجهة بواسطة GPT-2 لإنشاء أنماط هجوم جديدة، و (iii) توليد الذكاء الاصطناعي القابل للتفسير (XAI) لتوفير تفسيرات مفهومة للبشر عن الشذوذ المكتشف. يضمن إطار FIDMF خصوصية البيانات من خلال التعلم الفيدرالي، كما يعالج عدم توازن الفئات ويعزز أداء الكشف، محققًا درجة F1 من الطراز الأول تبلغ 99.38% على مجموعة بيانات NSL-KDD. يمثل هذا العمل تقدمًا كبيرًا في تكنولوجيا IDS، حيث يجمع بين التعلم العميق، والذكاء الدلالي، والقدرة على التفسير لإنشاء حل أمني قوي وقابل للتكيف.
طرق
يمثل إطار الكشف عن التسلل والتخفيف الفيدرالي المقترح (FIDMF) تقدمًا كبيرًا في أنظمة كشف التسلل من خلال دمج تقنيات حديثة متعددة لمعالجة التحديات الرئيسية مثل خصوصية البيانات، ودقة الكشف، والقدرة على التفسير. تستخدم البنية التعلم الفيدرالي (FL) من أجل قابلية التوسع والخصوصية، ونواة LSTM مع الانتباه من أجل القوة الزمنية، وتستخدم SMOTE بالتزامن مع الشبكات التنافسية التوليدية (GANs) الموجهة بواسطة LLMs للتخفيف من عدم توازن الفئات. تعطي التصميم الأولوية للقوة، وقابلية التوسع، والكفاءة الحسابية، مما يجعله مناسبًا للبيئات اللامركزية، كما هو موضح في الأشكال والخوارزمية المرفقة.
في التقييم التجريبي، يتم تقييم أداء إطار FIDMF بدقة باستخدام مجموعة بيانات NSL-KDD، مع إجراء دراسة إزالة مفصلة لتحديد مساهمات كل مكون. يتضمن الإعداد التجريبي إطار تعلم فيدرالي يجمع بين تقنيات التعلم العميق (LSTM، والانتباه، وSMOTE) مع نماذج اللغة الكبيرة مفتوحة المصدر (LLMs). تم اختيار DistilBERT-base-uncased و GPT-2-medium بشكل خاص لتوازنها بين الدقة الدلالية والكفاءة الحسابية. تم تقدير التكلفة الحسابية الإجمالية لمجموعة التجارب بـ 120 ساعة GPU، مما يبرز الطبيعة المستهلكة للموارد للإطار. تشمل تفاصيل التنفيذ استخدام DistilBERT لتعزيز الميزات السياقية و GPT-2-medium لزيادة البيانات الدلالية والقدرة على التفسير، مما يعزز قدرات الإطار.
نتائج
تقدم قسم النتائج تحليلًا شاملاً لديناميات التدريب وأداء التحقق لمختلف النماذج، مدعومًا بتصورات مثل توزيع الفئات ومنحنيات ROC. ومن الجدير بالذكر أن دراسة الإزالة تسلط الضوء على أداء نموذج “الانتباه المركزي-LSTM”، الذي يعمل كمعيار، و “FIDMF (الإطار الكامل + LLM)”، الذي يمثل الحل المقترح للحفاظ على الخصوصية.
تقدم الأشكال 10 و 11 مقارنة بصرية موحدة لهذه النماذج، تعرض مصفوفات الالتباس ومنحنيات ROC. تشير النتائج إلى أن النهج الفيدرالي، المعزز بنماذج اللغة الكبيرة (LLMs)، يتفوق باستمرار على النموذج المركزي عبر جميع المقاييس الرئيسية، مما يدل على قوته وفعاليته في سياق الدراسة.
مناقشة
تسلط قسم المناقشة في الورقة البحثية الضوء على نهج مبتكر لأنظمة كشف التسلل (IDS) التي تدمج تقنيات التعلم الآلي المتقدمة، وبشكل خاص DistilBERT و GPT-2-medium، ضمن إطار التعلم الفيدرالي. تعزز هذه التكاملات من إثراء الميزات وتمكن من إنشاء أنماط هجوم دلالية معقولة من خلال الشبكات التنافسية التوليدية (GANs). لا يحسن استخدام نماذج اللغة الكبيرة (LLMs) الفهم الدلالي لسجلات الشبكة فحسب، بل يوفر أيضًا قدرات الذكاء الاصطناعي القابل للتفسير (XAI)، مما يقدم تفسيرات بلغة طبيعية للشذوذ المكتشف. يعالج هذا النهج متعدد الأوجه التحديات الحرجة في IDS التقليدية، مثل عدم توازن الفئات، ومخاوف الخصوصية، والحاجة إلى الكشف في الوقت الحقيقي.
تحدد الورقة عدة أسئلة بحثية رئيسية، بما في ذلك فعالية تدريب IDS قوية على بيانات موزعة مع الحفاظ على الخصوصية، ونمذجة التسلسلات الزمنية لحركة مرور الشبكة، والتخفيف من عدم توازن الفئات. يظهر إطار العمل المقترح FIDMF تحسنًا كبيرًا في الدقة وقابلية التعميم عبر مجموعات البيانات المرجعية، محققًا دقة تبلغ 99.40% على NSL-KDD. تؤكد بنية الإطار على أهمية معالجة البيانات المحلية، وتجميع النماذج غير المتزامن، والاستخدام الاستراتيجي لـ LLMs لتعزيز كل من قدرات الكشف وقابلية التفسير، مما يسهم في تطوير تقنيات IDS أكثر تكيفًا وكفاءة.
القيود
في قسم القيود، يعترف المؤلفون بأنه بينما يمثل FIDMF تقدمًا كبيرًا في هذا المجال، إلا أنه ليس بدون تحديات ومخاطر. قد تؤثر هذه القيود على قابلية تطبيق النموذج وفعاليته في سياقات مختلفة، مما يستلزم مزيدًا من التحقيق والتنقيح.
يؤكد المؤلفون على أهمية معالجة هذه القيود في الأبحاث المستقبلية لتعزيز قوة وموثوقية FIDMF. يقترحون أن استكشاف منهجيات بديلة وإجراء تقييمات شاملة سيكون أمرًا حاسمًا في التغلب على التحديات المحددة وتقدم المجال.
DOI: https://doi.org/10.1038/s41598-026-40763-5
PMID: https://pubmed.ncbi.nlm.nih.gov/41723225
Publication Date: 2026-02-22
Author(s): Abdullah AlHayan et al.
Primary Topic: Network Security and Intrusion Detection
Overview
The research introduces the Federated Intrusion Detection and Mitigation Framework (FIDMF), a novel approach designed to tackle key challenges in intrusion detection, such as data privacy, scalability, class imbalance, and the need for semantic understanding and explainability. FIDMF employs federated learning for privacy-preserving collaborative training and integrates an Attention-Long Short-Term Memory (LSTM) architecture for effective temporal pattern detection. Notably, it incorporates open-source Large Language Models (LLMs) for contextual feature enrichment, semantic data augmentation via Generative Adversarial Networks (GANs), and Explainable AI (XAI) to provide human-readable insights. Additionally, the framework utilizes the Synthetic Minority Over-sampling Technique (SMOTE) to address class imbalance, resulting in a robust and scalable Intrusion Detection System (IDS).
The evaluation of FIDMF across multiple datasets, including NSL-KDD, CIC-IDS2017, and UNSW-NB15, demonstrates its superior performance, achieving an overall accuracy of 99.40% and an F1-score of 99.38% on NSL-KDD, with an impressive F1-score of 99.70% for minority attack classes. The framework also maintained high accuracy on CIC-IDS2017 (99.65%) and UNSW-NB15 (98.05%), indicating strong generalizability. An ablation study confirmed the significance of each component, particularly the contributions of LLMs to semantic intelligence. FIDMF emerges as a scalable, privacy-preserving, and explainable solution suitable for modern network environments, effectively balancing privacy and performance while enhancing semantic understanding and interpretability in security-sensitive applications.
Introduction
The introduction of this research paper highlights the pressing need for advanced intrusion detection systems (IDS) in the context of evolving digital networks such as IoT, MANET, and cloud environments. Traditional IDS face significant challenges, including limited adaptability to new attack methods, centralized data processing that compromises user privacy, and class imbalance issues that lead to high false-negative rates in attack detection. The paper emphasizes the necessity for real-time detection capabilities and addresses the ‘semantic gap’ in current models, which struggle to interpret raw network logs effectively.
To overcome these limitations, the authors propose a novel framework called Federated Learning-powered Attention-LSTM (FIDMF), which integrates Large Language Models (LLMs) into the core detection process. This framework employs three innovative modules: (i) Contextual Feature Enrichment using DistilBERT for semantic embedding of network features, (ii) Semantic Data Augmentation via GPT-2-guided Generative Adversarial Networks (GANs) to create novel attack patterns, and (iii) Explainable AI (XAI) generation for providing human-understandable explanations of detected anomalies. The FIDMF framework not only ensures data privacy through federated learning but also addresses class imbalance and enhances detection performance, achieving a state-of-the-art F1-Score of 99.38% on the NSL-KDD dataset. This work represents a significant advancement in IDS technology, combining deep learning, semantic intelligence, and explainability to create a robust and adaptive security solution.
Methods
The proposed Federated Intrusion Detection and Mitigation Framework (FIDMF) represents a significant advancement in intrusion detection systems by integrating multiple modern techniques to address key challenges such as data privacy, detection accuracy, and explainability. The architecture employs Federated Learning (FL) for scalability and privacy, an Attention-LSTM core for temporal robustness, and utilizes SMOTE in conjunction with LLM-guided Generative Adversarial Networks (GANs) to mitigate class imbalance. The design prioritizes robustness, scalability, and computational efficiency, making it suitable for decentralized environments, as illustrated in the accompanying figures and algorithm.
In the experimental evaluation, the FIDMF framework’s performance is rigorously assessed using the NSL-KDD dataset, with a detailed ablation study conducted to quantify the contributions of each component. The experimental setup incorporates a federated learning framework that combines deep learning techniques (LSTM, Attention, SMOTE) with open-source Large Language Models (LLMs). Specifically, DistilBERT-base-uncased and GPT-2-medium were selected for their balance of semantic accuracy and computational efficiency. The overall computational cost for the experimental suite is estimated at 120 GPU-hours, highlighting the resource-intensive nature of the framework. The implementation details include the use of DistilBERT for contextual feature enrichment and GPT-2-medium for semantic data augmentation and explainability, enhancing the framework’s capabilities.
Results
The results section presents a comprehensive analysis of the training dynamics and validation performance of various models, supported by visualizations such as class distribution and ROC curves. Notably, the ablation study highlights the performance of the ‘Centralized Attention-LSTM’ model, serving as a benchmark, and the ‘FIDMF (Full Framework + LLM)’, which represents the proposed privacy-preserving solution.
Figures 10 and 11 provide a consolidated visual comparison of these models, showcasing confusion matrices and ROC curves. The findings indicate that the federated approach, augmented with large language models (LLMs), consistently outperforms the centralized model across all key metrics, demonstrating its robustness and effectiveness in the context of the study.
Discussion
The discussion section of the research paper highlights a novel approach to intrusion detection systems (IDS) that integrates advanced machine learning techniques, specifically DistilBERT and GPT-2-medium, within a federated learning framework. This integration enhances feature enrichment and enables the generation of semantically plausible attack patterns through Generative Adversarial Networks (GANs). The use of large language models (LLMs) not only improves the semantic understanding of network logs but also provides explainable AI (XAI) capabilities, offering natural language explanations for detected anomalies. This multifaceted approach addresses critical challenges in traditional IDS, such as class imbalance, privacy concerns, and the need for real-time detection.
The paper identifies several key research questions, including the effectiveness of training robust IDS on distributed data while preserving privacy, modeling temporal sequences of network traffic, and mitigating class imbalance. The proposed Federated Learning-Powered Intrusion Detection and Mitigation Framework (FIDMF) demonstrates significant improvements in accuracy and generalizability across benchmark datasets, achieving 99.40% accuracy on NSL-KDD. The framework’s architecture emphasizes the importance of local data processing, asynchronous model aggregation, and the strategic use of LLMs to enhance both detection capabilities and interpretability, ultimately contributing to the development of more adaptive and efficient IDS technologies.
Limitations
In the section on limitations, the authors acknowledge that while the FIDMF represents a significant advancement in the field, it is not without its challenges and risks. These limitations may impact the applicability and effectiveness of the model in various contexts, necessitating further investigation and refinement.
The authors emphasize the importance of addressing these limitations in future research to enhance the robustness and reliability of the FIDMF. They suggest that exploring alternative methodologies and conducting comprehensive evaluations will be crucial in overcoming the identified challenges and advancing the field.