IoT 入侵检测中的深度强化学习综述¶
初读范围：本文基于 arXiv 元数据、摘要和公开条目信息建立阅读卡片；尚未完成 PDF 全文逐段复核、分类表抽取或指标对比核验，因此保持
UNVERIFIED / UNREVIEWED。
为什么值得读¶
普通入侵检测像门卫拿着固定规则表：黑名单里有就拦，没有就放。深度强化学习更像会试错的保安系统：它根据环境反馈学习什么时候拦、什么时候观察、什么时候升级处置。但在 IoT 中，误报会耗电和打扰业务，漏报可能让设备被接管。
这篇综述把 DRL-based IDS 按 WSN、DQN、医疗、混合方法等方向分类，并整理 accuracy、recall、precision、FNR、FPR、F-measure 等指标，适合补充现有边缘入侵检测笔记。
论文要回答的问题¶
- IoT IDS 为什么需要比传统监督学习更自适应的方法。
- DRL-based IDS 在 IoT 研究中有哪些主要类别。
- 不同研究使用哪些数据集和评价指标。
- DRL 自动化防御的收益和风险在哪里。
指标速读¶
| 指标 | 直觉 | IoT 风险 |
|---|---|---|
| Accuracy | 总体判对比例 | 类别不均衡时可能虚高 |
| Recall | 攻击被抓住的比例 | 低 recall 意味漏报多 |
| Precision | 报警里真攻击比例 | 低 precision 意味误报多 |
| FNR | 攻击被漏掉比例 | 安全关键场景最危险 |
| FPR | 正常流量被误报比例 | 会耗电、阻断业务、制造告警疲劳 |
与现有笔记的关系¶
intrusion-detection-edge提供边缘 IDS 全景。network-traffic-anomaly-ml提供流量异常检测基础。- 本文聚焦 DRL，把“检测”进一步扩展到可学习的序贯决策。
初读结论¶
DRL 用于 IoT IDS 的吸引力在于自适应和自动化，但它也引入奖励设计、训练稳定性、仿真到真实迁移和误报成本等新问题。工程上不能只看 accuracy，需要同时关注 FPR/FNR、数据集代表性、设备资源消耗以及处置动作是否可回滚。
后续核验清单¶
- 从 PDF 中抽取五类 DRL-based IDS 分类和代表论文。
- 核对每类使用的数据集、指标和攻击类型。
- 标出哪些结果来自仿真，哪些来自真实 IoT/WSN 流量。
- 对接现有
intrusion-detection-edge，补一张“监督学习 vs DRL IDS”选型表。
参考文献¶
[1] A. Gueriani, H. Kheddar, and A. C. Mazari, "Deep Reinforcement Learning for Intrusion Detection in IoT: A Survey," arXiv:2405.20038, 2024. Related DOI: 10.1109/IC2EM59347.2023.10419560.