近日，由360集团创始人周鸿祎，360集团首席科学家、360数字安全集团CTO潘剑锋等领衔的研究团队所提出的《HyperGLLM：基于超图增强大语言模型的高效终端威胁检测框架》，被AAAI 2026收录并在大会现场进行报告展示。该研究针对当前终端安全中攻击隐蔽、行为复杂等难题，提出了一种融合超图推理与大语言模型的新型高效架构，不仅推进了大模型在安全场景中的落地应用，也为终端威胁检测技术的进一步发展奠定了扎实基础。
AAAI是国际人工智能领域最具影响力与权威性的学术会议之一，今年适逢其第四十届年会。本届会议共收到23680篇有效投稿，创历史新高，其中4167篇被录用，接收率仅为17.6%，为近三年最低。
随着高级持续性威胁(APT)与隐蔽攻击的日益普遍，终端检测与响应(EDR)系统已成为现代安全防护体系的核心支柱。然而，传统基于规则或机器学习的方法，在面对持续演化、高度复杂的攻击手法时，往往显得力不从心。
近年来，大语言模型(LLM)凭借强大的语义与行为理解能力，为终端行为分析提供了新的可能。但在真实安全场景中，其落地仍面临双重考验：一是终端事件规模庞大、实时性要求极高;二是攻击行为往往交错复杂，隐蔽而零散的恶意操作藏在海量正常行为中，对系统的长上下文建模与威胁行为检测提出了严峻挑战。
为此，360研究团队创新地将超图推理与大语言模型相结合，提出HyperGLLM框架。该框架首先构建属性-值的关系图，以捕捉低阶结构语义并减少文本冗余;随后，引入集成多粒度聚类的微分超图模块，用于捕捉交错事件中的高阶行为依赖关系;将超图增强的语义表示与大语言模型对齐，从而实现对潜在恶意行为的高效上下文推理。
HyperGLLM框架
为了深入验证研究结果，团队构建了大规模数据集EDR3.6B-63F，涵盖36亿条事件和63个行为家族。实验评估显示，HyperGLLM框架在恶意行为种类判别上准确性高达94.65%，误报率仅为1.67%。不仅显著提升了大语言模型对超长EDR日志的建模效率，还在保持高效推理模型能力的同时，性能显著优于现有基线模型。
该项研究不仅推进了大语言模型在安全场景中的落地能力，也为终端威胁检测领域的研究提供了坚实的基础。目前，360在安全大模型赋能下，构建了覆盖威胁感知、分析、响应的终端智能体蜂群体系，为政府、金融、能源、医疗等关键基础设施提供持续进化的安全防御能力。未来，团队将继续推动AI与安全技术的深度融合，助力行业应对日益复杂的新型威胁。
