RulePilot：一个由LLM驱动的安全规则生成代理
密码学与安全
2025-11-18 v1
摘要
系统安全的实时需求使得检测规则成为入侵检测生命周期的重要组成部分。基于规则的检测常通过预定义的语法逻辑识别恶意日志，需具备深厚领域知识的专家才能生成规则。因此，规则的自动化生成可显著节省时间，减轻安全工程师在规则相关任务上的负担。本文提出RulePilot，通过LLM驱动的代理模仿人类专业知识，解决规则创建或转换等规则相关挑战。使用RulePilot，安全分析师无需按照语法撰写规则，而只需提供自然语言描述等注释，RulePilot即可自动生成检测规则，无需进一步干预。RulePilot配备中间表示（IR），将复杂的配置规则抽象为结构化、标准化的格式，使LLM能够以更易管理和一致的方式生成规则。我们对RulePilot进行了全面评估，基于文本相似性和执行成功能力，展示RulePilot能够生成高保真度规则， 在文本相似性方面相较于基线模型提升了最高达107.4%，在实际执行测试中实现更好的检测准确率。我们进行了来自新加坡产业合作伙伴的案例研究，表明RulePilot显著帮助初级分析师和普通用户在规则创建过程中。
引用
@article{arxiv.2511.12224,
title = {RulePilot: An LLM-Powered Agent for Security Rule Generation},
author = {Hongtai Wang and Ming Xu and Yanpei Guo and Weili Han and Hoon Wei Lim and Jin Song Dong},
journal= {arXiv preprint arXiv:2511.12224},
year = {2025}
}
备注
This paper has been accepted for publication at ICSE 2026