PCAP-LM: An LLM-Native Text Representation for TLS Bulk Traffic Analysis
PCAP-LM 论文提出一种面向 LLM 的 TLS 流量文本表示，将原始抓包转码为语义摘要，使用 PacketGlyphs 编码方向、TCP/TLS 状态、对数尺度大小和包间延迟，结合 PMI-BPE 分词器和基序游程编码压缩重复模式，并通过 @REFS 索引保留无损下钻。在 5G/4G TLS 1.3 批量下载流量语料上，BPE 词汇表饱和于 159 个 token，相比 tshark -V 实现 812 倍缩减，使整个抓包适配单个 LLM 上下文窗口。在 30 个保留文件的取证问答评估中，前沿 LLM 使用 PCAP-LM 文档达到 99.3% 准确率，而基线为 51.0%。
发展脉络
- 首次出现PCAP-LM: An LLM-Native Text Representation for TLS Bulk Traffic AnalysisarXiv cs.CL
- 当前判断该研究可能推动网络分析工具向 LLM 原生方向发展，使安全分析师能够用自然语言查询流量数据，降低专业门槛。但当前评估仅针对同质化的 TLS 批量下载流量，泛化性有待验证。Agent Pulse · 分析
PCAP-LM 论文提出一种面向 LLM 的 TLS 流量文本表示，将原始抓包转码为语义摘要，使用 PacketGlyphs 编码方向、TCP/TLS 状态、对数尺度大小和包间延迟，结合 PMI-BPE 分词器和基序游程编码压缩重复模式，并通过 @REFS 索引保留无损下钻。在 5G/4G TLS 1.3 批量下载流量语料上，BPE 词汇表饱和于 159 个 token，相比 tshark -V 实现 812 倍缩减，使整个抓包适配单个 LLM 上下文窗口。在 30 个保留文件的取证问答评估中，前沿 LLM 使用 PCAP-LM 文档达到 99.3% 准确率，而基线为 51.0%。
PCAP-LM 的核心创新在于将网络流量视为一种语言，通过 PacketGlyphs 字母表将原始数据包转换为紧凑的语义 token，并利用 PMI-BPE 分词器进一步压缩，使上下文窗口需求降低两个数量级。这种有损提取加无损索引的设计，为 LLM 处理长序列数据提供了新范式。
该研究可能推动网络分析工具向 LLM 原生方向发展，使安全分析师能够用自然语言查询流量数据，降低专业门槛。但当前评估仅针对同质化的 TLS 批量下载流量，泛化性有待验证。
对于网络安全和网络监控行业，PCAP-LM 可能降低流量分析的人力成本，提升威胁检测效率，并催生新的 LLM 驱动的分析产品。
后续可关注 PCAP-LM 在多样化流量类型（如交互式、加密恶意流量）上的表现，以及是否被集成到商业网络分析平台中。