Запрос ARP осуществляет вещание уровня 2 по определению (в противном случае, как оно должно работать?). Ответы ARP могут быть широковещательными (для незапрошенных объявлений) или одноадресными (для запрашиваемых ответов), но последние часто так или иначе отслеживаются многими ОС, так что это может быть также и широковещательная передача.
Итак, все работает как задумано.
Если вы видите ARP- спуфинг (какое-то устройство пытается выдать себя за другое устройство, отвечая на запросы ARP, не относящиеся к IP-адресу другого устройства, или отправляя незапрошенные ответы ARP с IP-адресом, который не является его собственным), это действительно вредоносное поведение; в этом случае отредактируйте вопрос с деталями (включая то, какие устройства должны иметь какой IP-адрес), чтобы мы могли взглянуть на него.
Но вы не можете узнать это по тому факту, что он передает сообщения ARP, вам придется посмотреть на IP-адреса.