מערכת לגילוי חדירות (Intrusion Detection System) מנטרת רשת או מחשב ומחפשת פעילות זדונית או הפרת מדיניות, ומדווחת עליה למנהל המערכת או למערכת מרכזית לניהול אירועי אבטחה. יש שתי משפחות: מערכת המנטרת את התעבורה מכל המכשירים ברשת ומוצבת בנקודות מפתח שלה, ומערכת המותקנת על מחשב בודד ומנטרת רק את מה שנכנס אליו ויוצא ממנו.
ההבחנה החשובה יותר היא בשיטת הזיהוי. זיהוי מבוסס חתימות מחפש דפוסים ידועים — רצף בתים אופייני בתעבורה, או רצף פקודות זדוני מוכר. הוא מדויק מאוד באיומים מוכרים וחסר אונים מול איום חדש, ותמיד קיים פער זמן בין גילוי איום בעולם לבין הפצת חתימה מתאימה. זיהוי מבוסס חריגות פועל אחרת: למידת מכונה בונה מודל של פעילות תקינה במערכת הספציפית הזו, ומסמנת סטיות ממנו. כך אפשר לתפוס גם התקפה שאיש לא ראה קודם.
המחיר של הגישה השנייה הוא התרעות שווא, וזו אינה בעיה שולית אלא הבעיה המרכזית של התחום: מספר ההתקפות האמיתיות נמוך כל כך ביחס למספר האזעקות הכוזבות, שהתקפות אמיתיות מוחמצות ומתעלמים מהן בתוך הרעש. מגבלות נוספות: תעבורה מוצפנת חומקת מרוב המערכות, ואף מערכת אינה מפצה על מנגנון הזדהות חלש.
שורשי התחום מוקדמים בהרבה מגל הבינה המלאכותית הנוכחי. ג'יימס אנדרסון ניסח את הרעיון ב-1980, דורותי דנינג פרסמה ב-1986 מודל יסוד שעליו נשענו המערכות שאחריו, ב-1993 פותחה במכון המחקר SRI מערכת בשם NIDES, וב-1998 הופיעו Bro ו-Snort — האחרונה הפכה למערכת הנפוצה בעולם, עם למעלה מ-300 אלף משתמשים פעילים.
היתרון המעשי של הגישה הלומדת הוא שאפשר לאמן אותה לפי היישומים ותצורת החומרה של ארגון מסוים, ולכן היא מכלילה טוב יותר מרשימת חתימות אחידה. הענף הישראלי פעיל כאן במיוחד; לדוגמה, Hunters, שנוסדה ב-2018, מפתחת פלטפורמת ציד איומים שאינה נשענת רק על כללי זיהוי שנכתבו ידנית.