网络流量能揭示多少 LLM 智能体任务与操作信息，以支持审计？

ANT 将流量与三个层级的智能体行为配对

论文要回答的是：审计人员仅凭网络流量、在不检查用户私密内容的前提下，能了解 LLM 智能体多少信息。为此，作者构建了 ANT（Agent Network Traffic），一个把网络流量与三个粒度的智能体行为信息并列的数据集：风险、场景和行为原语。

规模是具体的。ANT 包含 3,114 个执行片段，采集自五种智能体组合、20 个任务、5 个场景，对应 659 个不同任务实例和 104.07 GB 流量。它包含 276,417 条双向流和 40,049 个行为原语片段，归入 47 个宏组。采集在地理分布的云服务器上进行，总成本为 2,176.50 美元。

五个场景是四类常见智能体用例加一个高风险用例：计算工件工程、通用知识问答、科学证据评估、交互式应用操作，以及网络安全滥用。作者表示，据其所知，这是首个专门针对客户端 LLM 智能体执行网络流量的数据集。

现有流量数据集缺少任务与阶段的联合标注

论文指出的缺口在于标注，而非原始流量。网站和应用语料库标注的是站点或应用，而不是带有同步阶段的完整智能体执行。AgentPrint 能识别智能体和粗粒度活动，但作者称它缺少与执行阶段对齐的片段风险、任务场景和行为原语的联合标注。

正是这种缺失的组合，使审计问题变得可检验。如果没有把数据包轨迹同时绑定到所运行任务和执行阶段的标签，基准就无法追问：流量能否区分良性工作流与恶意工作流，或区分一个场景与另一个场景。ANT 将数据包轨迹与任务和阶段语义对齐，使三个目标可以共享相同的划分、目标和指标。

十三个基线共享同一划分与仅头部输入

该基准评估 13 个加密流量分类和网站指纹识别基线，涵盖卷积网络、Transformer、状态空间模型和学习式流量表示。加密流量分类基线包括 FlowLens、YaTC、NetMamba、TFusion 和 TrafficFormer；网站指纹识别基线包括 DF、AWF、Tik-Tok、Var-CNN、NetCLR、TMWF、ARES 和 BAPM。

片段在每个任务内被随机划分为固定的训练、验证和测试集，由所有基准共享。行为原语片段继承其来源片段的划分，因此同一片段的片段绝不会跨集。片段测试集包含 209 个片段，其中 189 个为良性、20 个为恶意。

输入仅使用数据包头部和侧信道特征，如数据包方向、时序和长度。源 IP 和目的 IP 等可识别字段被掩蔽，以缓解捷径学习。加密流量分类基线在流上运行，而网站指纹识别基线在片段上运行；对于片段级评估，流预测采用四种候选策略中验证准确率最高的策略进行聚合。

当恶意任务看似良性时风险识别失效

风险结果是论文中最尖锐的警示。在完整流量下，若干基线达到高准确率，却几乎检测不到恶意类。FlowLens、YaTC 和 NetMamba 的准确率均为 0.923 至 0.928，但 F1 仅为 0.333 至 0.400，召回率为 0.200 至 0.250，假阳性率接近零。

这一模式在多数基线中一致：由于测试集以良性片段为主，准确率保持高位，而在 20 个恶意片段上的召回率仍然很低。TFusion 和 TrafficFormer 的准确率为 0.933，F1 为 0.462，召回率为 0.300。

有两个基线打破了这一模式。DF 的准确率为 0.976，F1 为 0.872，召回率为 0.850，假阳性率为 0.011。Tik-Tok 的准确率为 0.981，F1 为 0.905，召回率为 0.950，但假阳性率为 0.016。作者的解释是，当恶意工作流与良性任务相似时，方法难以识别风险，因此核心结论不是流量无法标记风险，而是多数被测方法在该基准上无法可靠地做到这一点。

流量模式相近时场景识别变弱

第二个目标追问流量能否判断一个片段属于五个场景中的哪一个。论文报告称，现有方法难以区分流量模式相似的场景，这比笼统地无法进行场景识别是更窄的失败。

数据集本身说明了为何有些场景可分离、有些不可分离。将场景内不同任务与跨场景对进行比较，场景内原语嵌入的 MMD 距离小 15.46%，原语宏组比例之间的 Hellinger 距离小 14.79%。两项关联在 Holm 校正后仍显著，p 值分别为 0.0006 和 0.0050。

顺序在组成之外增加了结构。对于语义有向区域和原语宏组转移残差，距离缩减分别为 6.74% 和 5.70%，其凝聚增益比保持组成不变的随机重排均值高出 5.77 和 5.24 个百分点，Holm 校正后 p 值均为 0.0050。作者指出，这些顺序效应在角色位置固定时依然存在，因此观察到的顺序在出现哪些原语之外贡献了场景结构。

原语分类偏向高频且特征鲜明的宏组

第三个目标——行为原语分类——是三者中最可靠的，但可靠性是有条件的。论文报告称，原语分类对高频宏组和流量特征鲜明的宏组，比对稀有或语义相近的宏组更可靠。

47 个宏组高度不均衡。在原语类型计数中，search、browser fetch、code creation、conversation input 和 task prompt 等组包含数千个片段，而 http header probe、data decoding、xss testing 和 bypass attempt 等组仅包含数十到低数百个片段。最小的宏组包含 14 个原语类型。

聚类诊断显示该分组可用但不够清晰。在 K = 47 时，余弦轮廓系数约为 0.157，种子稳定性约为 0.51 ARI。对于原语识别，包含少于 200 个片段的训练类通过类内随机有放回采样过采样至 200，而验证集和测试集保留其原始分布，因此稀有组性能是在真实的不平衡分布上测量的。

该基准测量的是检测，而非归因或意图

若干边界限定了这些结果能走多远。片段测试集仅包含 20 个恶意片段，因此 F1 和召回率等风险指标建立在很小的正类之上，若干基线报告的接近零的假阳性率应结合这一基础比率来解读。

该基准还仅使用头部和侧信道特征，并掩蔽可识别字段。这一设计隔离了流量形态所揭示的信息，但也意味着结果并不描述审计人员在拥有额外遥测、端点日志或载荷访问权限时能取得什么。作者将 ANT 定位为开发更精确审计和取证分析的共同基础，而非一个完成的审计系统。

采集使用本地执行的智能体、用于状态改变型良性交互的本地模拟服务，以及用于攻击执行的隔离 Docker 环境，不涉及真实用户账户或个人可识别信息。因此恶意场景是一个受控的网络安全滥用设置，风险结果描述的是该设置，而非真实组织流量。

优先关注原语级信号而非片段级风险分数

论文自身的比较指向一个实用排序。片段级风险识别是多数基线失败之处：多数方法准确率高，但 F1 在 0.231 至 0.462 之间，召回率在 0.150 至 0.300 之间，尽管 DF 和 Tik-Tok 的 F1 达到 0.872 和 0.905。场景识别在流量模式相似时特别退化。原语分类是作者描述为更可靠的目标，但需注意其可靠性取决于宏组的频率和流量特征鲜明度。

这一排序之所以重要，是因为它改变了审计人员应信任什么。在该基准上，高片段级准确率可能与漏掉大多数恶意片段并存，因此准确率本身并非决策相关指标；恶意类上的 F1 和召回率才是。而且由于原语可靠性取决于宏组的频率和特征鲜明度，47 组结构提供了一种具体方式，来区分流量能支持的行为与不能支持的行为。

因此，对 ANT 最有用的解读是一张地图，标出基于流量的审计在何处强、在何处薄弱：对高频、特征鲜明的行为使用原语级信号，而将风险和场景判断视为更难、更未定的目标。

本文引用的文献