フアン・S・サンティリャーナ (Juan S. Santillana) 氏は2026年10月21日(現地時間)、「VX-One: Typed, Calibrated Decision Heads for Real-Time Perimeter Triage」と題する研究論文をarXivに提出した。この研究は、リアルタイムの境界トリアージ (perimeter triage) における遅延とセマンティクスのトレードオフに対処するため、「VX-One」と呼ぶ小型マルチヘッドネットワークを提案し、その実証的評価を行ったもの。TypeSafe JevやMicrosoft-Decision-1などの商用System One ディシジョンモデルが提供するAPIと互換性のある出力形式を持つ点が特徴となる。
従来の境界トリアージ手法は、シグネチャエンジンが高速かつフォーマット安全であるものの、未知の攻撃には対応できないという課題を抱えていた。一方、生成モデルはセマンティックな情報を扱えるものの、処理が遅く、解析不能な出力を生成する問題があった。
2026年後半には、TypeSafe JevやMicrosoft-Decision-1といった商用のSystem One ディシジョンモデルが、バイナリゲート、閉集合選択、順序スコアといったタイプ付き決定プリミティブを製品APIとして提供を開始した。しかし、これらの学術的な取り扱いは存在していなかった。
今回発表されたVX-Oneは、100Kから10Mパラメータの小型マルチヘッドネットワークで、これらのプリミティブ（較正済みゲート、明示的な未知オプションを含む閉集合候補セットの選択、順序スコア）を出力する。マルチタスク学習され、ヘッドごとに温度較正されており、CPU上で約0.7〜1.7ミリ秒のp50性能を持つ。
VX-Oneは、UNSW-NB15、CIC-IDS2017、EMBER2024の各データセットにおいて、較正済みXGBoost、Random-Forest、MLP、Kitsuneといった既存手法と比較して評価された。また、Suricataに52,674のEmerging-Threatsルールを適用した後にVX-Oneが処理する2段階カスケードもCIC-IDS2017の5日間のデータで測定された。
評価結果として、VX-OneはUNSW-NB15およびCIC-IDS2017における時系列ドリフト下での検出性能 (AUROC/FPR@95%TPR) で優位性を示した (0.711対0.637)。しかし、多クラス分類の帰属においては、XGBoostがこれら3つのベンチマークすべてで優れた結果を出した。
未知のファミリーを検出するleave-one-family-outゲートは、9/9のUNSWフォールドで未見のファミリーを検出したが、CIC reconファミリーでは偶然性を下回る結果となった。また、アブステンション閾値はベンチマーク間で転移しにくいことも判明した。ペイロードなしの再構築では、シグネチャエンジンがフローの約0.1%しか解決できず、トラフィックの約99.9%がグレーゾーンとなったが、これはPhase 2によって回復された。さらに、時系列ドリフト下ではすべての手法で較正が崩壊する (ECE 0.04から0.40) 一方で、ランキングは部分的に維持されることが示された。本研究は、タイプ付き較正済み決定が境界トリアージに役立つ点と課題について、測定された説明を提供している。
参考: arXiv cs.CR (アーカイブ) — 2026年10月22日 02:39 (JST)
原文ハイライト"typed decision primitives - binary gates, closed-set choices, ordinal scores - as product APIs"