Hierarchical Agentic Incident Response with Digital-Twin-Validated Attack Inference
تقدم هذه الورقة إطار عمل وكيل هرمي يدمج نماذج لغوية كبيرة مضبوطة بدقة لاستنتاج الهجوم، والتحقق عبر التوأم الرقمي للمعايرة، وتخطيط التدفق لآلية الاستجابة للحوادث متعددة المراحل، مما يحقق معدل نجاح في التعافي أعلى بكثير من النماذج اللغوية الكبيرة الرائدة على بيئة اختبار شبكة مؤسسية.
البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل
عندما تُخترق شبكة ما، يبدأ العد التنازلي ضد عدو صامت وغير مرئي. يواجه المدافعون لغزاً فوضوياً: فهم يرون إنذارات متفرقة وارتفاعات غريبة في البيانات، لكنهم لا يستطيعون رؤية القصة الكاملة لكيفية تحرك المتسلل، أو ما الذي لمسه، أو أين قد يضرب تالياً. يتطلب اتخاذ الخطوة الصحيحة وسط هذا الضباب أمرين صعبين: أولاً، تخمين مسار المهاجم بشكل صحيح من خلال أدلة ناقصة، وثانياً، اختيار تسلسل من الإصلاحات التي توقف الضرر دون التسبب في مشاكل جديدة. لعقود من الزمن، اعتمدت فرق الأمن على خبراء بشريين لتجميع هذه الخيوط، وهي عملية بطيئة ومضنية غالباً ما تفشل عندما يكون الهجوم معقداً أو الفريق صغيراً. يسعى مجال الدفاع الذاتي إلى استبدال هذا الجهد البشري بأنظمة ذكية يمكنها التفكير والتخطيط والعمل من تلقاء نفسها، لكن بناء آلة يمكنها التفكير منطقياً بشأن هجوم سيبراني دون ارتكاب أخطاء خطيرة ظل تحدياً مستعصياً.
تقدم دراسة جديدة أجراها باحثون من جامعة مدينة هونج كونج وجامعة فوردهام نهجاً جديداً لهذه المشكلة من خلال الجمع بين ثلاث أدوات متميزة في نظام واحد متعدد الطبقات. لقد بنوا إطار عمل حيث لا يكتفي الذكاء الاصطناعي بتخمين الإجابة فح، بل يختبر تخميناته قبل التنفيذ. يبدأ النظام بنموذج لغوي متخصص يعمل كـ "محقق"، يقرأ سجلات الأمن وبيانات النظام لإعادة بناء التسلسل المرجح للهجوم. وبدلاً من قبول هذا الإعادة للبناء فوراً، يقوم النظام بتشغيل تسلسل الهجوم المشتبه به داخل "توأم رقمي" (digital twin) — وهو نسخة افتراضية للشبكة الحقيقية تحاكي سلوكها بدقة تامة. إذا أنتج الهجوم الافتراضي نفس النتائج التي أظهرتها الإنذارات الحقيقية، يعلم النظام أن تخمينه صحيح. وإذا اختلفت النتائج الافتراضية، يرسل النظام هذا التباين مرة أخرى إلى نموذج المحقق لتعديل قصته. تضمن هذه الدورة من التخمين والاختبار والتصحيح أن الخطة مبنية على فهم راسخ للواقع، وليس على مجرد هلوسة.
بمجرد أن يثق النظام فيما حدث، ينتقل إلى مرحلة التخطيط، والتي تنقسم إلى مستويين من اتخاذ القرار. المستوى الأول، وهو الطبقة التكتيكية، ينظر إلى الشبكة بأكملها ليقرر أي الأجزاء المعطلة يجب إصلاحها أولاً. يستخدم طريقة تحاكي العديد من الاحتمالات المستقبلية لإيجاد ترتيب الإصلاحات الذي سيؤدي إلى أقل قدر من إجمالي وقت التوقف. أما المستوى الثاني، وهو الطبقة التشغيلية، فيأخذ المكون المحدد الذي اختاره المخطط التكتيكي ويحدد كيفية إصلاحه بدقة. هنا، يقوم وكيل ذكاء اصطناعي آخر باقتراح خطوات استعادة عالية المستوى، مثل عزل خادم أو إعادة تعيين كلمة مرور. وقبل تطبيق هذه الخطوات على الشبكة الحقيقية، يقوم وكيل ثالث بترجمتها إلى أوامر حاسوبية محددة وتشغيلها عبر التوأم الرقمي مرة أخرى. يتحقق هذا الفحص النهائي من أن الأوامر ستعمل بالفعل ولن تتسبب في تعطل النظام عن طريق الخطأ. وفقط بعد اجتياز هذه المحاكاة الصارمة، ينفذ النظام عملية الاستعادة على الشبكة الفعلية.
اختبر الباحثون إطار العمل هذا على بيئة اختبار شبكية واقعية قائمة على الحاويات (containerized) تحتوي على ثلاثة وثلاثين مكوناً مترابطاً، محاكية ثلاثة أنواع مختلفة من الهجمات متعددة المراحل تتراوح من البسيطة إلى شديدة التعقيد. وقارنوا نظامهم بنماذج ذكاء اصطناعي متقدمة أخرى تعتمد على التلقين القياسي (standard prompting) دون هذا التحقق متعدد الطبقات. أظهرت النتائج ميزة واضحة للنهج الجديد؛ ففي سيناريو الهجوم الأبسط، نجح إطار عملهم في استعادة الشبكة بالكامل بنسبة 90 بالمائة، بينما نجحت أفضل النماذج المنافسة بنسبة 72 بالمائة فقط. ومع زيادة تعقيد الهجمات، اتسعت الفجوة، حيث حافظ النظام الجديد على معدلات نجاح تتراوح بين 86 و88 بالمائة، مقارنة بـ 60 إلى 67 بالمائة للنماذج الأخرى. ويمثل هذا تحسناً يتراوح بين ثمانية عشر وواحد وثلاثين نقطة مئوية في نجاح الاستعادة. علاوة على ذلك، كان النظام أكثر كفاءة، حيث التزم عادةً بتسلسل موجز من ستة إجراءات عالية المستوى لكل مكون، بينما كانت النماذج المنافسة غالباً ما تولد من سبعة إلى خمسة عشر إجراءً، مما يؤدي إلى أوقات تنفيذ أطول وأكثر تبايناً.
تُظهر الدراسة أن ترسيخ الذكاء الاصطناعي في واقع محاكى يمكن أن يقلل بشكل كبير من خطر الخطأ في البيئات عالية المخاطر. فمن خلال إجبار النظام على إعادة تشغيل نظرياته والتحقق من أوامره في مساحة افتراضية آمنة قبل لمس العالم الحقيقي، خلق الباحثون حلقة من المساءلة تفتقر إليها نماذج اللغة البحتة. لا تدعي هذه الدراسة أنها حلت كل مشكلة في الدفاع السيبراني، لكنها تقدم طريقة ملموسة لجعل الاستجابات الآلية أكثر موثوقية. وتشير النتائج إلى أن مستقبل الأمن الذاتي قد لا يكمكن في جعل الذكاء الاصطناعي أكثر ذكاءً بمعزل عن غيره، بل في منحه "صندوق رمال" (sandbox) لتدريب تحركاته، لضمان أنه عندما يعمل أخيراً، فإنه يفعل ذلك بدقة وثقة.
غارق في أبحاث مجالك؟
تصلك نشرة يومية بأحدث الأبحاث المطابقة لكلماتك البحثية المفتاحية — مع ملخصات تقنية، بلغتك.