Bài viết này do AI tạo ra, dựa trên bài viết kỹ thuật của APNIC Blog ngày 06/11/2026 và paper nghiên cứu được tác giả dẫn lại. Kết quả thử nghiệm chưa phải chuẩn chung cho mọi loại lưu lượng hay mọi model AI.
PCAP-LM là cách biểu diễn lại packet capture để trợ lý AI đọc được hành vi tổng thể của lưu lượng thay vì bị ngợp bởi bản xuất chi tiết từ Wireshark/tshark. Theo tác giả Xavier Marjou, mục tiêu không phải nén file PCAP đơn thuần mà là giữ “câu chuyện” của mỗi flow: hai đầu giao tiếp, thời lượng, lượng dữ liệu mỗi chiều, trạng thái mã hóa và tín hiệu lỗi.
tshark -V là 18.738.238 token, cao hơn khoảng 812 lần.Packet capture là bằng chứng gốc khi điều tra chậm tải, lỗi kết nối hay sự cố bảo mật. Nhưng vài MB traffic khi chuyển sang text chi tiết có thể nở tới gần 20 triệu token. Nén gzip không giải quyết nhiều vì phần lớn traffic đã mã hóa. Nếu cắt input theo context window, model chỉ thấy vài chục packet đầu và không thể kết luận đúng về thời lượng, tổng packet hay flow xuất hiện sau đó.
Mỗi conversation được viết thành dòng ký hiệu ngắn: hướng client-to-server hoặc ngược lại, cờ TCP, dữ liệu TLS hay handshake, DNS query/response, bucket kích thước và khoảng trống thời gian. Các chuỗi lặp được gom bằng run-length encoding; cụm ký hiệu thường gặp được hợp nhất bằng biến thể BPE bị ràng buộc. Tác giả nêu trường hợp lý tưởng 14.000 packet download có thể còn một dòng, còn capture thực tế thường khoảng 100 KB text.
Tác giả thử trên capture từ chiến dịch đo 5G/4G, chủ yếu là large encrypted download từ một test server. PCAP-LM trả lời đúng 99,3% cho 10 câu hỏi gồm số conversation, thời lượng, packet, reset/retransmission, mã hóa và dịch vụ liên hệ. Cùng model với text Wireshark bị cắt về cùng độ dài chỉ đạt 51%. Chênh lệch này phản ánh lợi ích của việc nhìn toàn bộ tóm tắt, không khẳng định notation “thông minh hơn” hay đúng cho mọi protocol.
PCAP-LM là lossy. Nó không giữ payload, sequence number hoặc timing chính xác; kiểm tra đơn giản đã bỏ sót retransmission ở khoảng một phần tư capture bị ảnh hưởng, đều ở phía sau proxy. Tác giả đề xuất side-index trỏ về frame gốc: AI đọc bức tranh lớn trước, sau đó analyst hoặc tool local lấy packet thật khi phát hiện bất thường. Đây là phần bắt buộc nếu dùng trong incident response.
APNIC khuyến nghị không gửi raw customer traffic lên cloud. PCAP-LM bỏ payload theo thiết kế và có thể thay IP, hostname bằng placeholder an toàn tại chỗ trước khi dữ liệu rời mạng. Tuy vậy metadata flow vẫn có thể nhạy cảm: tổ chức cần phân loại dữ liệu, kiểm soát retention, giới hạn truy cập và đánh giá nơi model xử lý tài liệu.
Giá trị của PCAP-LM là giải bài toán context và triage, không thay nhà phân tích. Khi AI chỉ nhận raw export bị cắt, nó có thể trả lời rất tự tin từ lát cắt sai. Bản tóm tắt toàn flow giúp phát hiện “unknown unknown” nhanh hơn, còn truy vết gói gốc giữ vai trò bằng chứng. Mô hình triển khai hợp lý là hybrid: chuẩn hóa và ẩn danh tại chỗ, AI làm first pass, rồi tool và người điều tra xác minh frame-level trước mọi quyết định vận hành hay bảo mật.
APNIC Blog, “PCAP-LM: Helping AI assistants read network traffic”, 06/11/2026; nghiên cứu PCAP-LM do tác giả dẫn chiếu.
