MambaITD: An Efficient Cross-Modal Mamba Network for Insider Threat Detection
College of Cyber Security（网络安全学院）；Jinan University（济南大学）；Department of Electrical and Electronic Engineering（电子与电气工程系）；Xi’an Jiaotong-Liverpool University（西安交通大学利物浦大学）
针对现有内部威胁检测在时序建模、效率及跨模态融合上的不足，本文提出MambaITD框架，利用Mamba状态空间模型和门控融合，结合自适应阈值优化，高效检测异常并优于Transformer方法。
2025-08-06 cs.CR cs.LG
The Danger Within: Insider Threat Modeling Using Business Process Models
本文针对现有威胁建模缺乏非技术资产表示的问题，提出基于BPMN业务流程模型的内部威胁建模方法，开发了内部威胁知识库与建模应用，并通过IT提供商和投票过程的真实案例验证了无需标注即可自动识别内部威胁。
2024-09-03 cs.CR
An Insider Threat Mitigation Framework Using Attribute Based Access Control
本文提出一种结合移动目标防御、欺骗和属性访问控制的内部威胁缓解框架，通过引入相关属性生成变异策略，在不影响系统可用性的前提下提高内部人员非授权访问的难度和成本。
2023-05-31 cs.CR
Image-Based Feature Representation for Insider Threat Classification
Deakin University（迪肯大学）
内部人员是组织中受信任的实体，但对访问敏感信息网络和资源构成威胁。内部威胁检测是安全分析中一个研究得很好的问题。从数据源中识别特征并将其与正确的数据分析算法一起使用，使各种威胁分析成为可能。内部威胁分析主要使用从数据源提供的原始数据中提取的基于频率的属性来完成。在本文中，我们提出了一个基于图像的特征表示的日常资源使用模式的用户在组织中。从组织的审计文件中提取的特征表示为灰度图像。因此，这些图像用于表示资源访问模式，从而表示用户的行为。分类模型被应用到代表性的图像，以检测内部人员的异常行为。图像被分类为恶意和非恶意。使用CMU CERT数据V4.2和最先进的图像分类模型（如Mobilenet，VGG和ResNet）评估所提出的表示的有效性。实验结果表明，提高了准确性。与现有作品的比较表明，在高召回率和精度值方面的性能提高。
2019-11-13 cs.CR cs.CV cs.LG
Insider Threats Mitigation: Role of Penetration Testing
本文通过系统性文献综述，利用扎根理论方法全面评估渗透测试在发现、缓解内部威胁及跨行业应用中的作用，旨在帮助企业制定更全面有效的安全策略。
2024-07-24 cs.CR
Insight into Insiders and IT: A Survey of Insider Threat Taxonomies, Analysis, Modeling, and Countermeasures
内部威胁是当今最具挑战性的网络安全问题之一，常用的安全解决方案无法很好地解决这些问题。尽管在这一领域发表了一些科学著作，我们认为，该领域可以受益于拟议的结构分类和新颖的分类研究，有助于组织和消除歧义的内部威胁事件和防御解决方案。我们分类的目的是系统化内部威胁研究的知识，同时利用现有的扎根理论方法进行严格的文献综述。所提出的分类描述了特定类别之间的工作流，包括：1）事件和数据集，2）攻击者分析，3）模拟和4）防御解决方案。特别注意的是内部威胁的定义和分类，我们提出了一个内部威胁事件的结构分类，这是基于现有的分类和5W1H问题的信息收集问题。我们的调查将加强研究人员在内部威胁领域的努力，因为它提供了：a）一种新的结构分类法，有助于对事件进行正交分类，并定义针对这些事件采用的防御解决方案的范围，b）关于可用于测试针对其他作品的新检测解决方案的公开可用数据集的更新概述，c）参考现有案例研究和框架，对内部人员的行为进行建模，以审查防御解决方案或扩展其覆盖范围，以及d）讨论可用于内部威胁领域推理的现有趋势和进一步研究方向。
2018-11-10 cs.CR cs.CY
AnyThreat: An Opportunistic Knowledge Discovery Approach to Insider Threat Detection
由于越来越多的恶意内部事件，内部威胁检测越来越受到学术界、工业界和政府的关注。现有的方法提出的检测内部威胁仍然有一个共同的缺点，这是大量的误报（误报）。这些方法面临的挑战是，必须检测属于特定威胁的所有异常行为。为了解决这个缺点，我们提出了一个机会主义的知识发现系统，即AnyThreat，目的是检测所有恶意内部威胁中的任何异常行为。我们设计的AnyThreat系统有四个组件。(1)一个功能工程组件，它从具有相同角色的一组用户的活动日志中构造社区数据集。(2)在过采样部分，我们提出了一种新的过采样技术，称为人工少数过采样和捕获器REMOVAL（AMOTRE）。AMOTRE首先去除与正常（多数）实例相似度高的少数（异常）实例，以减少虚警数量，然后通过屏蔽多数类的边界对少数类进行综合过采样。(3)引入类分解组件，将多数类的实例聚类为子类，在不损失信息的情况下削弱多数类的影响。(4)分类组件，它对子类应用分类方法，以实现多数类和少数类之间更好的分离。AnyThreat基于卡内基梅隆大学生成的合成数据集进行评估。它检测到大约87.5%的恶意内部威胁，并实现最低误报率= 3.36%。
2018-12-01 cs.CR cs.LG stat.ML
Real-Time Detection of Insider Threats Using Behavioral Analytics and Deep Evidential Clustering
针对传统安全机制难检测内部威胁的问题，提出结合行为分析与深度证据聚类的实时检测框架，可动态适应行为变化、降低误报，在基准数据集上取得94.7%准确率，为企业部署相关系统提供参考。
2025-05-21 cs.CR
Deep Learning for Unsupervised Insider Threat Detection in Structured Cybersecurity Data Streams
Western Washington University（西华盛顿大学）；Pacific Northwest National Laboratory（太平洋西北国家实验室）
对组织的计算机网络活动的分析是早期检测和减轻内部威胁的关键组成部分，这是许多组织日益关注的问题。原始系统日志是流数据的典型示例，可以快速扩展到超出人类分析师的认知能力。作为人类分析师的前瞻性过滤器，我们提出了一种在线无监督深度学习方法，用于实时的从系统日志中检测异常网络活动。我们的模型将异常分数分解为单个用户行为特征的贡献，以提高可解释性，从而帮助分析师审查潜在的内部威胁案例。使用CERT Insider Threat Dataset v6.2和威胁检测召回作为我们的性能指标，我们的新型深度和循环神经网络模型优于主成分分析，支持向量机和基于隔离森林的异常检测基线。对于我们的最佳模型，在我们的数据集中标记为内部威胁活动的事件的平均异常得分为95.53百分位，这表明我们的方法有可能大大减少分析人员的工作量。
2017-12-15 cs.CR cs.LG cs.NE
Insider Threat Detection via Hierarchical Neural Temporal Point Processes
内部人员通常会给组织造成重大损失，而且很难被发现。目前，已经提出了各种方法来实现内部威胁检测的基础上分析的审计数据，记录员工的活动类型和时间的信息。然而，现有的方法通常侧重于建模的用户的活动类型，但没有考虑活动的时间信息。在本文中，我们提出了一个分层的神经时间点过程模型相结合的时间点过程和递归神经网络的内部威胁检测。我们的模型是能够捕获一个一般的非线性依赖的历史上的所有活动的两级结构，有效地模型活动时间，活动类型，会话持续时间和会话间隔信息。在两个数据集上的实验结果表明，我们的模型优于只考虑活动类型或时间信息的模型。
2019-10-09 cs.CR
Insight-LLM: LLM-enhanced Multi-view Fusion in Insider Threat Detection
针对内部威胁检测中单视图建模覆盖有限、多视图直接应用存在可扩展性差等问题，提出首个专用模块化多视图融合框架Insight-LLM，采用冻结预训练大语言模型，实现低开销下的最优检测效果。
2025-09-01 cs.CR
Insider threats in Cyber Security: The enemy within the gates
内部威胁已经成为特斯拉等民用公司的现实，特斯拉经历了破坏和知识产权盗窃，而Capital One遭受了欺诈。美国国防部的数据泄露事件造成了更大的社会影响，这是由著名的攻击者切尔西·曼宁和爱德华·斯诺登造成的，他们的间谍活动和黑客活动广为人知。近年来此类事件的急剧增加以及内部人员造成的不可估量的损害必须成为网络安全界所有成员的警告。继续低估内部威胁的问题是不可接受的。企业、组织、机构和政府需要在其安全态势中引领和接受文化变革。通过采用内部威胁计划，让所有战略分支机构（包括人力资源、法律、信息保障、网络安全和情报）参与，由首席信息安全官协调，并由C级高管提供支持，可以实施一个框架，以防止、检测和响应不忠诚和/或无意的内部威胁。因此，保护企业免受内部威胁是信息安全最佳实践的重要组成部分。至关重要的是，您的公司非常有价值的机密数据和资产受到保护，免受其最大的威胁：大门内的敌人。
2019-11-21 cs.CR cs.CY
Image-based Insider Threat Detection via Geometric Transformation
几十年来，内部威胁检测一直是一项具有挑战性的任务，现有的方法通常采用传统的生成式无监督学习方法来生成正常的用户行为模型，并将显著的偏差检测为异常。然而，这样的方法在精度和计算复杂性上是不足的。本文提出了一种新的内部威胁检测方法--基于图像的几何变换内部威胁检测器（IGT），该方法将无监督的异常检测转化为有监督的图像分类任务，从而通过计算机视觉技术提高了检测性能。为了说明，我们的IGT使用一种新的基于图像的特征表示的用户行为，通过将审计日志转换为灰度图像。通过对这些行为灰度图像进行多次几何变换，IGT构建了一个自标记的数据集，然后训练一个行为分类器，以自监督的方式检测异常。我们提出的方法背后的动机是，从正常行为数据转换的图像可能包含独特的潜在特征，这些特征在几何变换后保持不变，而恶意的图像则不能。在CERT数据集上的实验结果表明，IGT的性能优于经典的基于自动编码器的无监督内部威胁检测方法，并将基于实例和基于用户的AUROC分别提高了4%和2%。
2021-08-24 cs.CR
A Graph Based Framework for Malicious Insider Threat Detection
虽然大多数安全项目都专注于抵御来自组织边界之外的攻击，但真正的威胁来自这些外围保护内的人员。内部威胁已经通过对国家安全、金融稳定和成千上万人的隐私造成巨大影响来显示其威力。新闻中的内容只是冰山一角，还有更多的事情在雷达下进行，一些威胁从未被发现。我们提出了一种基于图形分析和异常检测方法的混合框架，以应对这种严重的网络安全威胁。我们的框架分析异构数据，隔离可能的恶意用户隐藏在别人背后。实证结果表明，该框架是有效的区分大多数用户表现出典型的行为，从少数用户表现出可疑的行为。
2018-09-01 cs.CR
A Framework for Data-Driven Physical Security and Insider Threat Detection
本文介绍了PS0，本体框架和方法，提高物理安全和内部威胁检测。PS0可以通过利用基于规则的异常检测来促进取证数据分析并主动减轻内部威胁。在太多的情况下，基于规则的异常检测可以检测员工对组织安全策略的偏离。此外，PS0可以被认为是一种安全起源解决方案，因为它能够完全重建攻击模式。可以进一步分析出处图，以识别欺骗性行为，并克服可能导致错误决策的分析错误，例如错误归因。此外，这些信息还可以用来丰富可用的情报（关于入侵尝试），这些情报可以形成用例来检测和修复系统中的限制，例如松散耦合的起源图，在许多情况下，它表明物理安全架构中的弱点。最后，通过用例验证该框架展示并证明了PS0可以在物理安全和内部威胁检测方面改善组织的安全状况。
2018-09-25 cs.CR
Classifier Suites for Insider Threat Detection
PeopleTec, Inc.（PeopleTec公司）
检测内部威胁的更好方法需要新的预期分析，以便在丢失数据之前捕获风险行为。为了寻找最好的整体分类器，这项工作经验评分88机器学习算法在16个主要家庭。我们从大型CERT数据集中提取风险特征，该数据集将真实的网络行为与个人威胁叙述相结合。我们发现测量员工情绪的预测重要性。在CERT上测试的主要分类器家族中，随机森林算法提供了最佳选择，不同的实现得分超过98%准确。与更模糊或黑盒的替代方案相比，随机森林是许多决策树的集合，因此提供了一组深度但人类可读的检测规则（>2000条规则）。我们通过使用交叉验证惩罚长执行时间对较高的中位数精度来解决性能排名。我们将威胁的相对罕见性作为低信噪比（< 0.02%恶意活动到良性活动）的情况来解决，然后对统计平衡的欠采样和过采样数据进行训练，以识别恶意行为者。
2019-01-30 cs.CR cs.LG stat.ML
ADSAGE: Anomaly Detection in Sequences of Attributed Graph Edges applied to insider threat detection at fine-grained level
Atos Information Technology（Atos信息技术公司）；University of Passau（帕绍大学）
以前的作品在CERT内部威胁检测的情况下，忽略了图形和文本功能，尽管它们的相关性来描述用户的行为。此外，现有系统严重依赖于特征工程和审计数据聚合来检测恶意活动。这是耗时的，需要专业知识，并防止追溯警报到精确的用户操作。为了解决这些问题，我们引入ADSAGE来检测异常的审计日志事件建模为图形边缘。我们的一般方法是第一个在边缘级别进行异常检测，同时支持边缘序列和属性，可以是数字，分类，甚至文本。我们描述了ADSAGE如何在CERT用例的不同审计日志中用于细粒度的事件级内部威胁检测。值得注意的是，没有标准的CERT问题的基准，我们使用以前提出的评估设置的基础上现实的召回为基础的指标。我们评估ADSAGE的身份验证，电子邮件流量和来自CERT内部威胁数据集的Web浏览日志，以及真实世界的身份验证事件。ADSAGE可以有效地检测身份验证中的异常，建模为用户与计算机的交互，以及电子邮件通信。简单的基线也会产生令人惊讶的强大结果。我们还报告了CERT数据集中存在的恶意场景的性能分裂：有趣的是，几个检测器是互补的，可以结合起来提高检测。总的来说，我们的研究结果表明，图特征是翔实的恶意内部活动的特征，并在细粒度级别的检测是可能的。
2020-07-14 cs.CR cs.LG stat.ML
DANTE: Predicting Insider Threat using LSTM on system logs
Rensselaer Polytechnic Institute（伦斯勒理工学院）
内部威胁是世界各地信息和通信技术（ICT）最有害的威胁载体之一，因为内部人员的信任和访问程度提高。这种类型的威胁可能来自有动机的恶意用户以及疏忽的用户，他们无意中泄露了有关商业机密、公司信息的详细信息，甚至向恶意玩家访问信息。在本文中，我们提出了一种新的方法，使用系统日志来检测内部行为使用一个特殊的递归神经网络（RNN）模型。使用DANTE建立地面实况，并将其用作识别异常行为的基线。为此，系统日志被建模为一个自然语言序列，并从这些序列中提取模式。我们创建遵循自然语言逻辑和控制流的动作序列的工作流。这些流被分配了各种行为类别-恶性或良性。任何与这些序列的偏差都表明存在威胁。我们进一步将威胁分类为CERT内部威胁数据集中提供的五个类别之一。通过实验评估，我们表明，该模型可以达到99%的预测精度。
2021-02-10 cs.AI cs.CR
Insider threat modeling: An adversarial risk analysis approach
内部威胁在地缘政治、网络风险管理和商业组织中带来重大安全问题。到目前为止提出的博弈论模型没有考虑到一些重要的因素，如组织文化和攻击者是否被检测到。他们也没有对组织已经建立的防御机制进行建模，以减轻内部攻击。我们提出了两个新的模型，其中包括这些设置，因此更现实。该领域的大多数早期工作都集中在标准的博弈论方法来找到解决方案。我们使用对抗性风险分析（ARA）方法来找到模型的解决方案。ARA不假设常识，而是从一个参与者的角度来解决问题，考虑到他们的知识和关于他们、他们的对手、可能的结果、他们的效用和他们的对手的效用的不确定性。我们的模型和ARA解决方案是通用的，可以应用于大多数内部威胁场景。一个数据安全的例子说明了讨论。
2019-11-22 cs.CR
Insider Threats in Emerging Mobility-as-a-Service Scenarios
移动即服务（MaaS）将云计算的一切即服务模式应用于交通运输：MaaS提供商向其用户提供不同旅行社解决方案的动态组合，并将其整合到一个统一的界面中。传统上，交通和移动数据属于分散的运营商。因此，我们认为，MaaS的经济模型是供应商联盟，每个供应商都交易其资源，以协调多模式的移动解决方案。这种灵活性带来了许多安全和隐私问题，其中内部威胁是最突出的问题之一。在本文中，我们遵循分层结构-从单个运营商到联合MaaS提供商的市场-对每一层的潜在威胁进行分类，并提出相应的对策，以减轻问题。
2016-09-21 cs.CR
LAC : LSTM AUTOENCODER with Community for Insider Threat Detection
National Institute of Science Education and Research（国家科学教育与研究所）；Homi Bhaba National Institute（霍米·巴巴国家研究所）
任何组织、机构或行业的雇员都在计算机网络上花费大量时间，在那里他们在一段时间内以网络事务的形式开发他们自己的活动例程。内部威胁检测涉及识别可能以数据泄漏和秘密共享的形式对组织造成损害的例程或异常中的偏差。如果不是自动化的，这个过程涉及到建模人类行为的特征工程，这是一个繁琐而耗时的任务。人类行为中的异常被转发给人类分析师以进行最终的威胁分类。我们使用LSTM AUTOENCODER开发了一个无监督的深度神经网络模型，该模型可以学习模仿单个员工的行为，这些行为来自他们每天的时间戳活动序列。它通过异常例程的重大损失来预测威胁场景。社区中的员工倾向于将他们的日常工作与其他员工保持一致，而不是与社区外的员工保持一致，这促使我们探索AUTOENCODER的变体，LSTM AUTOENCODER-在社区（LAC）中的活动交错序列上进行培训。我们在CERT v6.2数据集上评估了该模型，并对4000名员工的正常和异常日常损失进行了分析。我们的论文的目的是检测异常的员工，以及探索周围的员工是如何影响员工的日常工作随着时间的推移。
2020-08-13 cs.CR cs.IR cs.LG
Detection of Insider Threats using Artificial Intelligence and Visualisation
内部威胁是公司或组织的IT系统和基础设施的最具破坏性的风险因素之一;内部威胁的识别引起了世界学术研究界的兴趣，并提出了几种解决方案来减轻其潜在的影响。为了实现本研究中描述的实验阶段，使用卷积神经网络（从现在开始CNN）算法，并通过Google TensorFlow程序实现，该程序经过训练，可以从可用数据集生成的图像中识别潜在威胁。通过检查生成的图像并借助机器学习，回答了每个用户的活动是否被归类为信息系统的恶意行为的问题。
2021-09-06 cs.AI cs.CR
A Proactive Insider Threat Management Framework Using Explainable Machine Learning
University of Pretoria（比勒陀利亚大学）
提出IT-XML框架，结合CRISP-DM与隐马尔可夫模型，通过问卷数据和可解释机器学习对组织安全成熟度分类，准确率91.7%，实现主动内部威胁管理。
2025-10-22 cs.CR cs.CY
Facade: High-Precision Insider Threat Detection Using Deep Contextual Anomaly Detection
Google（谷歌）；Palace Cybersecurity（Palace网络安全）
研究内部人员特权访问带来的威胁，提出Facade系统，通过考虑事件上下文、基于多模态模型及对比学习策略检测可疑事件，能高精度检测内部威胁且误报率极低，可用于大型企业环境。
2026-07-24 cs.CR
Insider Threat Detection Through Attributed Graph Clustering
虽然大多数组织继续投资于传统的网络防御，但在其自身范围内，一个巨大的安全挑战正在酝酿之中。拥有特权访问权限的恶意内部人员伪装成可信来源，进行了许多攻击，对公共和私营部门组织的金融稳定，国家安全和品牌声誉造成了深远的损害。举报人群体的曝光度和影响力不断增加，以及随着组织动态的变化对工作保障的担忧进一步加剧了这种情况。恶意攻击者的不可预测性以及恶意行为的复杂性，需要仔细分析与内部威胁问题相关的网络，系统和用户参数。因此，它创建了一个高维的，异构的数据分析问题，隔离可疑用户。本文提出了一个内部威胁检测框架，该框架利用了属性图聚类技术和离群值排序机制。实证结果也证实了该方法的有效性，达到最佳的曲线下面积值为0.7648的受试者工作特征曲线。
2018-09-01 cs.CR cs.SI
Developing Visualisations to Enhance an Insider Threat Product: A Case Study
本文描述了开发数据可视化的过程，以增强用于打击内部威胁的商业软件平台，其现有的UI虽然功能完善，但其允许分析师轻松发现可视化自然揭示的模式和异常值的能力有限。我们描述的设计和开发过程中，从最初的任务/需求收集，了解平台的数据格式，背后的可视化的设计的基本原理，然后通过收集反馈意见，从代表领域的专家谁也是当前用户的软件细化原型。通过一些示例场景，我们表明，可视化可以支持确定的任务，并帮助分析师发现和了解潜在的风险内幕活动在一个庞大的用户群。
2021-09-17 cs.CR cs.HC
Assessment of POS Owners Awareness of Cybersecurity and Insider Threats in POS Kiosks Related Financial Crimes
本文评估了POS机主对POS亭相关金融犯罪中网络安全和内部威胁的认知水平，指出尼日利亚POS运营模式导致用户卡片易被克隆这一非IT类主要威胁。
2023-08-01 cs.CR
OrgForge-IT: A Verifiable Synthetic Benchmark for LLM-Based Insider Threat Detection
Independent Researcher（独立研究者）
本文提出OrgForge-IT，一种可验证的合成基准，通过确定性模拟引擎和语言模型生成表面文本，确保跨 artifact 一致性。研究发现多模型 leaderboard 显示，三类威胁和八种可注入行为的检测策略存在显著差异。
2026-03-23 cs.CR cs.LG
What Do We Know About the Psychology of Insider Threats?
本文通过系统性文献综述，梳理内部威胁心理学研究现状，指出理论化不足，并探讨研究空白，为后续心理学研究奠定基础。
2025-05-24 cs.CR cs.CY
Predicting Malicious Insider Threat Scenarios Using Organizational Data and a Heterogeneous Stack-Classifier
内部威胁仍然是信息安全社区面临的主要挑战。尽管在这一领域不断进行研究，但在这一群体的要求与目前可用的解决方案之间仍然存在很大差距。本文使用CERT数据集r4.2以及一系列机器学习分类器来预测特定恶意内部威胁场景的发生-在离开组织之前将敏感信息上传到wiki泄漏。这些算法被聚合成一个元分类器，它具有比其组成模型更强的预测性能。它还定义了一种方法，用于对组织日志数据进行预处理，将其转换为日常用户摘要进行分类，并用于训练多个分类器。提升也被应用于优化分类器的准确性。总体上，通过分析其相关的混淆矩阵和受试者工作特征（ROC）曲线来评估模型，并将性能最好的分类器聚合到集成分类器中。该元分类器的准确度为\textbf{96.2\%}，ROC曲线下面积为\textbf{0.988}。
2019-07-24 cs.CR
An Ethically Grounded LLM-Based Approach to Insider Threat Synthesis and Detection
Beacom College of Computer \& Cyber Sciences Dakota State University Madison, SD, USA；College of Arts \& Sciences Dakota State University Madison, SD, USA
本文提出基于伦理的LLM方法，利用Claude Sonnet 3.7动态生成syslog消息以检测内部威胁，实验显示其在减少误报和提高检测准确性方面优于GPT-4o。
2025-10-01 cs.AI cs.CL cs.CR
RMSL: Weakly-Supervised Insider Threat Detection with Robust Multi-sphere Learning
Nankai University（南开大学）
针对内部威胁检测中行为级标注缺失的问题，本文提出RMSL框架，通过多超球体建模正常行为模式，并结合多实例学习与自适应自训练去偏利用弱序列级标签，显著提升行为级异常检测性能。
2025-08-15 cs.AI cs.CR cs.LG
Scalable and Ethical Insider Threat Detection through Data Synthesis and Analysis by LLMs
The Beacom College of Computer and Cyber Sciences（贝科姆计算机与网络科学学院）；Dakota State University（达科他州立大学）
本文研究利用LLM结合合成数据生成与求职评论数据集进行内部威胁情绪检测，通过对比专家评分验证其有效性，并提出一种克服数据获取伦理与后勤障碍的可扩展检测方案。
2025-04-07 cs.AI cs.CL cs.CR
MOLE: Detecting Insider Threats in AI Agents
Carnegie Mellon University（卡内基梅隆大学）
MOLE是一个包含150个AI账户、30天、12种威胁的开放基准，用于检测AI智能体中的内部威胁，支持监控器比较与开发，显著提升检测性能。
2026-09-09 cs.CL cs.CR cs.LG
RedChronos: A Large Language Model-Based Log Analysis System for Insider Threat Detection in Enterprises
Institute of Information Engineering, Chinese Academy of Sciences（中国科学院信息工程研究所）；School of Cyber Security, University of Chinese Academy of Sciences（中国科学院大学网络空间安全学院）；Xiaohongshu（小红书）；School of Cyber Science and Technology, University of Science and Technology of China（中国科学技术大学网络空间安全学院）
本文提出 RedChronos 大模型日志分析系统，结合查询感知加权投票与 LLM 驱动变异的语义扩展遗传算法检测企业内部威胁，在 CERT 数据集上表现优异，并将小红书安全运营中心人工干预需求降低约 90%。
2025-03-13 cs.CR cs.LG
TabSec: A Collaborative Framework for Novel Insider Threat Detection
针对企业数据面临的内外威胁边界模糊、稀有攻击难检测的问题，提出融合IDS与UEBA的协作检测框架TabITD，结合TabNet稀疏注意力特征选择机制，提升检测性能，两数据集上平均准确率超96%。
2024-11-04 cs.CR
Anomaly Detection for Scenario-based Insider Activities using CGAN Augmented Data
Deakin University（迪肯大学）
内部威胁是来自组织的可信实体内部的网络攻击。缺乏真实世界的数据和数据不平衡的问题离开内部威胁分析研究不足的领域。为了减轻倾斜类分布的影响并证明多项式分类算法在内部威胁检测中的潜力，我们提出了一种将生成模型与监督学习相结合的方法，以使用深度学习来执行多类分类。基于生成对抗网络（GAN）的内幕检测模型引入条件生成对抗网络（CGAN）来丰富少数类样本，为多类异常检测提供数据。在基准数据集上进行的综合实验证明了引入GAN派生合成数据的有效性和在内幕活动分析中的多类异常检测能力。此外，该方法与其他现有的方法对不同的参数和性能指标进行了比较。
2021-07-08 cs.AI cs.CR cs.NE
AI-Driven IRM: Transforming insider risk management with adaptive scoring and LLM-based threat detection
Vectoredge
本文提出AI驱动的内部风险管理系统，通过自编码器自适应评分和实时策略执行，显著降低误报、提升检测精度并缩短响应时间。
2025-05-01 cs.AI cs.CR
Duplicity Games for Deception Design with an Application to Insider Threat Mitigation
最近发生的Colonial Pipeline勒索软件攻击和SolarWinds黑客攻击等事件表明，传统的防御技术已不足以阻止日益复杂的对手。主动防御和欺骗性防御是一种新兴的方法，用于防御零日攻击和高级攻击。这项工作开发了一个新的博弈论框架称为双重游戏设计欺骗机制，包括一个发电机，一个激励调制器，和一个信任操纵器，称为GMM机制。我们制定了一个数学规划问题来计算最佳的GMM机制，量化可执行的安全策略的上限，并表征条件对用户的可识别性和可识别性的网络属性和用户管理。我们开发了一个分离的原则，从GMM机制和等效原理，把发生器和机械手的联合设计到机械手的单一设计的调制器的设计。一个案例研究的动态蜜罐配置，以减轻内部威胁。数值实验证实了最优GMM机制可以从自私和敌对的内部人员中引发期望的行为，从而提高内部网络的安全态势。特别是，适当的调制器可以减少球员之间的\textcolor{black}{incentive misalignment}，实现自私的内线和防守者的双赢局面。同时，我们观察到，防御者总是受益于伪造的百分比时，最佳发电机。
2021-10-14 cs.CR cs.GT
Chimera: Harnessing Multi-Agent LLMs for Automatic Insider Threat Simulation
Singapore Management University（新加坡管理大学）；Tianjin University（天津大学）；Zhejiang University（浙江大学）
Chimera通过多智能体大语言模型生成真实企业环境中的内部威胁数据集，提升内部威胁检测的挑战性和实用性。
2026-01-03 cs.AI cs.CR cs.SE
Behavioral Analytics for Continuous Insider Threat Detection in Zero-Trust Architectures
本文提出基于AdaBoost的持续内部威胁检测方法，利用行为分析和机器学习技术，在零信任架构中实现高精度的异常检测。
2026-01-10 cs.CR cs.DC
LAN: Learning Adaptive Neighbors for Real-Time Insider Threat Detection
College of Cyber Science, Nankai University（南开大学网络空间安全学院）；College of Computer Science, Nankai University（南开大学计算机学院）
本文提出LAN框架，首次实现活动级实时内部威胁检测，通过图结构学习同时建模时间依赖和跨序列关系，并设计混合损失缓解数据不平衡，在CERT数据集上显著优于现有基线。
2024-03-17 cs.AI cs.CR cs.LG
Workplace Surveillance and Insider Threat Risk Management: Legal Limits and Privacy Harms
The Beacom College of Computer & Cyber Sciences, Dakota State University（达科他州立大学博科姆计算机与网络科学学院）；Department of Information & Communication Technology, Carl Sandburg College（卡尔·桑德堡学院信息与通信技术系）
本文探讨工作场所监控的法律限制与隐私损害，指出其虽服务于合法目的，但过度监控违法且会损害隐私，针对内部威胁（InT）提出提升监控透明度、开展培训及优化检测工具的建议。
2026-08-24 cs.CR
"Blockchain-Enabled Zero Trust Framework for Securing FinTech Ecosystems Against Insider Threats and Cyber Attacks"
本文提出集成 Ethereum 智能合约的零信任框架，结合 MFA、RBAC、JIT 与链上策略执行，增强金融科技抵御内部威胁和网络攻击的能力。
2025-07-26 cs.CR
Federated Graph AGI for Cross-Border Insider Threat Intelligence in Government Financial Schemes
Incedo Inc.（Incedo公司）；Indian Institute of Technology（印度理工学院）；University of Kent（肯特大学）
FedGraph-AGI通过整合AGI推理与联邦图学习，实现了隐私保护下的跨境内部威胁检测，准确率高达92.3%。
2026-02-18 cs.AI cs.CE cs.CR
New Frontiers of Network Security: The Threat Within
近70%的信息安全威胁来自组织内部。随着移动性的最新趋势（便携式设备，如笔记本电脑、智能手机等），内部威胁的机会以惊人的速度增加，无处不在的连接（无线或通过3G连接），并且随着越来越多的基于web的应用在因特网上可用，这种趋势增加。内部威胁通常由现任或前任员工、承包商或合作伙伴造成，他们有权访问组织的网络和服务器。窃取机密信息通常是为了物质利益或故意损害。互联网上的黑客工具、USB设备和无线连接都很容易被入侵。最终结果是在IP盗窃、客户/个人信息泄露等方面造成价值数百万美元的损失。本文介绍了对Insider威胁、攻击者及其动机的理解，并提出了组织层面的缓解技术建议
2010-10-13 cs.CR
Signal Decomposition Reveals Structure in Insider Threat Detection under Sparse Temporal Data
Georgia Institute of Technology（佐治亚理工学院）；Portland Community College（波特兰社区学院）
本文通过信号分解方法，在稀疏时间数据中揭示内部威胁检测的结构，通过双通道自编码器分离活动存在与强度，提升检测效果。
2026-04-29 cs.CR
Deterrence and Prevention-based Model to Mitigate Information Security Insider Threats in Organisations
以前的研究表明，信息安全漏洞和隐私侵犯是组织和个人的重要问题。人们认识到，要减少这一领域的风险，就必须在考虑人的因素的同时，考虑到信息安全的技术因素。员工有意或无意地对组织中的信息资产构成了很大一部分威胁。这项研究提出了一个新的概念框架，以减轻风险的内部人员使用威慑和预防的方法。威慑因素阻止员工在组织中从事信息安全不当行为，情景犯罪预防因素鼓励他们防止信息安全不当行为。我们的研究结果表明，感知制裁的确定性和严重性显着影响个人的态度，并阻止他们从信息安全不当行为。此外，输出显示，增加努力，风险和减少奖励（犯罪的好处）影响员工对防止信息安全不当行为的态度。然而，消除借口和减少挑衅并没有显着影响个人的态度，防止信息安全不当行为。最后，数据分析的结果还表明，主观规范、感知的行为控制和态度影响个人的意图，并最终影响他们避免信息安全不当行为的行为。
2019-03-15 cs.CR cs.CY
Percolation Model of Insider Threats to Assess the Optimum Number of Rules
规章制度和政策是文明社会的基础，用于协调具有各种目标和目的的个人的活动。历史告诉我们，过度监管（太多的规则）会使竞争变得困难，而监管不足（太少的规则）会导致危机。这意味着避免这两个极端的最佳规则数量。规则创建的边界定义了个人执行其活动的自由度。本文创建了一个玩具模型的工作环境，并检查它的纬度提供给一个正常的个人和纬度提供给内部的威胁。玩具模型的模拟说明了四个制度方面的内部威胁：监管不足，可能是最佳的，引爆点，监管过度。这些制度取决于规则的数量（N）和一个正常的个人进行活动所需的最小纬度（Lmin）。然后将玩具模型映射到来自理论物理的标准1D渗流模型上，并观察到相同的行为。这使得玩具模型可以推广到一系列更复杂的模型，这些模型已经被理论物理界很好地研究过，并且也表现出相同的行为。最后，通过估计N和Lmin，应该可以确定任何特定环境的状态。
2014-12-30 cs.CR cs.CY physics.soc-ph
FedAT: Federated Adversarial Training for Distributed Insider Threat Detection
School of Information Technology Deakin University（迪肯大学信息技术学院）
本文针对分布式内部威胁检测中数据隐私与极端类别不平衡问题，提出联邦对抗训练FedAT方法结合生成模型与SNN-MLP模型，在non-IID数据分布下显著提升了多类内部威胁检测性能。
2024-09-19 cs.AI cs.CR cs.DC
DMFI: A Dual-Modality Log Analysis Framework for Insider Threat Detection with LoRA-Tuned Language Models
College of Cyber Security, Jinan University, Guangzhou, China（广州大学网络安全学院）；School of Advanced Technology, Xi’an Jiaotong-Liverpool University, Suzhou, China（西安交通大学利物浦大学先进技术学院）
DMFI通过双模态框架整合语义推理与行为感知微调，利用LoRA增强的语言模型提升日志分析精度，实验表明其在检测准确率上优于现有方法。
2026-03-21 cs.AI cs.CL cs.CR
Audit-LLM: Multi-Agent Collaboration for Log-based Insider Threat Detection
State Key Laboratory of Mathematical Engineering and Advanced Computing（数学工程与先进计算国家重点实验室）；National University of Defense Technology（国防科技大学）
针对大语言模型在日志型内部威胁检测中面临的长上下文、幻觉等问题，提出含三类智能体的Audit-LLM框架及成对证据多智能体辩论机制，在三个公开数据集上性能优于基线且提升了解释忠实性。
2024-08-12 cs.AI cs.CR
Insider Detection using Deep Autoencoder and Variational Autoencoder Neural Networks
内部攻击是公司、企业和关键基础设施面临的最具挑战性的网络安全问题之一。尽管实施了周边防御，但这种攻击的风险仍然很高。事实上，内部攻击的检测是一项非常复杂的安全任务，对研究界提出了严峻的挑战。在本文中，我们的目标是通过使用深度学习算法Autoencoder和变分自编码器deep来解决这个问题。我们将特别研究应用这些算法自动防御潜在内部威胁的有用性，而无需人工干预。在公共数据集CERT数据集（CERT r4.2）上评估了这两个模型的有效性。此版本的CERT Insider Threat Test数据集包括从1000个模拟用户生成的良性和恶意活动。与其他模型的比较结果表明，变分自编码器神经网络具有更高的检测精度和合理的误报率，提供了最好的整体性能
2021-09-06 cs.AI cs.CR
Privacy Aware Memory Forensics
针对端到端加密下内部威胁检测与隐私保护难题，本文提出捕获并分析设备RAM、利用深度学习结合上下文识别敏感信息泄露的隐私感知内存取证方法，并通过军事用例验证其可行性。
2024-06-13 cs.CR
