一座企业靶场里，攻击者用被盗的管理员凭证进入网络，安防规则看到了后续横向移动，却只会终止会话；这次移动没有可终止的持久会话，攻击者最终读走了五份预置文件。换成 BlueSTAR 的分层防御后，规则照常运行，模型从先前的异常凭证活动和当前告警中判断风险，封锁相关登录并隔离目标主机，五份文件没有被读取。这是研究者在受控网络中的一次对照，不是生产网络已经实现无人值守防御的证明。
9 月 10 日提交的 BlueSTAR 预印本提出的问题很具体：安全日志来得太快，模型不能逐条读；而让模型为了阻断攻击随意隔离主机，也可能让企业自身停摆。它的选择是保留快速、可预测的规则处置，只把规则难以安全判定的上下文交给 Agent。对安全团队而言，关键不是把多少告警交给大模型，而是哪些动作可以由规则立即执行，哪些需要跨时间的证据与人工收尾。
先把日志变成带有对象的线索，再分给规则和模型
BlueSTAR 的检测器每轮从安全事件、终端和工业控制系统遥测中提取线索，按行为主体聚合，并解析出可以操作的账户、证书或主机。确定性规则层同步处理已知且明确的指标，例如恶意证书或工业控制异常；模型层在后台读取模糊行为线索、规则刚做过的动作，以及前几轮尚未解除的威胁和处置历史，再提出补充动作。模型推理跨越多轮时，规则仍按自己的节奏运行，模型的结果不会阻塞它。
这种压缩改变了输入的单位。研究者在一座靶场测得安全平台每秒约接收 167 条事件，按其估算相当于约 23.4 万输入 token；他们测试的模型直接读取原始事件时，处理速度均低于这一输入速率。在一次原始日志模型的干运行中，469 项拟议动作只有 18 项目标正确，313 项甚至指向防守方自己的机器；这些危险动作没有真的执行。换成已聚合的线索输入，同一攻击下模型提出的四项动作均指向正确对象。两组只是特定模型、攻击和靶场的比较，不能把四分之四解释为普遍准确率；它说明的是，先确认“谁做了什么、该对谁动手”比简单扩大上下文更重要。
这一思路与早先在 CAGE 4 模拟环境研究 LLM 防守者的工作不同：后者研究多 Agent 协作与模拟奖励，BlueSTAR 把检测、目标解析和执行接到运行中的企业 IT/OT 靶场。它因此更接近实际响应流程，也更依赖事先配置好的检测器、资产表和可执行动作集合；模型并不是从未经处理的流量中自行发现一切。
模型的增量出现在凭证失窃和并发攻击
论文在两座靶场设置七条攻击链，其中六条在电力场景，一条在水箱场景。对证书滥用和水箱攻击，规则层已经及时阻断：水箱链的韧性曲线面积分数为规则层 0.907、完整 BlueSTAR 0.915，两者最终都保住了关键资产。作者也明确说，这类小幅分数差异主要是处置时点的波动，不是模型证明了更强的结局。
差别出现在规则不能对单条模糊信号放心动作时。被盗凭证场景中，完整系统的韧性分数为 0.390，规则层为 0.146；规则层的会话终止没有挡住文件外传，模型层结合此前凭证活动封锁登录并隔离财务主机。另一个场景同时放入高声量诱饵和低声量的数据窃取者：规则层忙于处置诱饵，五份文件全部失守，分数为 0.014；模型层追踪另一条路径并提前隔离存放文件的主机，三次试验均保住文件，平均分数为 0.356。
这些动作并不等于威胁已经根除。论文承认，有的凭证提取发生在封锁之前，Agent 给出的密码轮换是交给操作员的建议，不是自动完成的修复。它的历史记忆使“上次终止会话后攻击者又回来”可见，但能否安全地解除封锁、恢复服务，仍要由组织处理。
韧性分数惩罚误伤，但没有算尽业务代价
BlueSTAR 不只看最后是否防住攻击，而是把攻击者在普通资产上的立足点、关键任务资产是否受损，以及防守动作带来的中断组合成逐时分数，再计算整个攻防过程的曲线面积。隔离没有攻击者驻留的主机会受惩罚；重启也有较小的惩罚。这比只数阻断次数更能暴露“为了安全把网络全关掉”的问题。
不过，论文给误伤的系数设为 0.2，相关扣分最多占综合分的 20%；只有对没有攻击者活动的主机执行隔离或重启才进入该项。账户封锁后的业务影响、真正的停机损失、恢复时间与人工审批成本不在这套测量里。工业控制环境尤其不能把靶场分数当作上线许可：NIST 的 OT 安全指南要求安全控制同时考虑性能、可靠性与人身安全。
实验的模型是 Claude Sonnet 4.6，检测轮询为一秒；四条复杂攻击链的两种防守配置各跑三次，其余三条各只有一次。两座靶场共享 Windows 域等 IT 基础，攻击者虽会重试和切换路径，却不会观察防守决策后重新制定策略。论文尚未给出不同企业拓扑、适应性对手和长期正常业务下的误报与恢复成本。BlueSTAR 已证明的，是在这组靶场中把规则速度与上下文决策分开有用；下一道生产门槛，是让企业在真实资产、正常业务和持续变化的攻击面上，验证模型每次提前封锁究竟防住了什么，又让谁付出了中断代价。
