攻撃者の行動を状態として扱う隠れマルコフモデルが発表された。モデルは「レジーム」と呼ばれる状態が列ごとに持続・切替できることと、行動は状態に応じて実行可能かどうかが変わる構造を、実行可能枝だけ残した木で表現することで同時に捉える。

推論はまず正確なフィルタリングで状態の確信度を更新し、次にロジスティック回帰で行動確率を計算する。レジームがラベル付けされていない場合は、Baum–Welch 法がこれらの回帰パラメータを再利用する。

CAGE 2 サイバー防御ベンチマークで、この手法はフィルタリング付き基準に比べ1ステップあたり0.8 natsの負対数尤度を改善した。さらに、制御器が切替わった後、損失が落ち始めるまでに3ステップしかかからず、再帰モデルでは10ステップかかった。

ただし、モデルには「全ての実行可能行動を均一に生成するフォールバック状態」を明示的に設けていないため、検知設定実験で過信になる可能性が指摘されている。