CyberThreat-Eval: Can Large Language Models Automate Real-World Threat Research?

Die Arbeit stellt CyberThreat-Eval vor, ein neuartiges, von Experten annotiertes Benchmark, das auf realen CTI-Arbeitsabläufen basiert und die Grenzen aktueller LLMs bei der Automatisierung von Threat-Intelligence-Forschung durch praxisnahe Aufgaben und analystenzentrierte Metriken aufzeigt.

Das Wesentliche

Hier ist eine einfache, bildhafte Erklärung der Forschungspapier „CyberThreat-Eval" auf Deutsch.

Stell dir vor, die Welt der Cybersicherheit ist ein riesiger, chaotischer Ozean voller Nachrichten. In diesem Ozean schwimmen Millionen von Zeitungsartikeln, Blogposts und Warnmeldungen. Die Aufgabe von Sicherheitsanalysten (den „Fischern") ist es, aus diesem Ozean die wenigen, wirklich gefährlichen „Haie" (echte Cyberangriffe) herauszufischen und daraus einen klaren Bericht zu machen, damit die Schiffe (Unternehmen) sicher bleiben.

Bisher mussten die Fischer das alles von Hand machen. Das ist mühsam, langsam und führt dazu, dass sie manchmal vor lauter Arbeit die Haie übersehen.

Das Problem: Die alten Prüfungen waren falsch

Die Forscher wollten herausfinden: „Können künstliche Intelligenzen (KI) diese Fischerarbeit übernehmen?"
Dafür gab es bisher Tests für die KI. Aber diese Tests waren wie Schulprüfungen, die im echten Leben keinen Sinn ergeben:

• Multiple Choice: In der echten Welt muss ein Fischer nicht ankreuzen, ob ein Hai „A, B oder C" ist. Er muss den Hai erkennen und beschreiben.
• Wortzählen: Die alten Tests haben nur geschaut, ob die KI die gleichen Wörter wie der Lehrer benutzt hat. Aber im echten Leben zählt nicht das Wort, sondern die Handlung. Eine kurze, leere Zusammenfassung wurde oft als „besser" bewertet als eine detaillierte, nützliche Anleitung – nur weil sie mehr Wörter hatte. Das ist, als würde man einen Koch nur dafür loben, dass er viel Salz in den Topf getan hat, statt darauf zu achten, ob das Essen schmeckt.

Die Lösung: CyberThreat-Eval (Der echte Bootstest)

Die Autoren haben einen neuen, viel besseren Test entwickelt, den sie CyberThreat-Eval nennen. Sie haben ihn nicht in einem Labor erfunden, sondern direkt aus dem Alltag der Microsoft-Sicherheitsexperten.

Stell dir das wie einen Bootstest für einen neuen Motor vor. Statt den Motor nur auf einem Prüfstand laufen zu lassen, setzen sie ihn in ein echtes Boot und fahren damit durch den Sturm.

Der Test deckt drei echte Arbeitsphasen ab:

1. Das Triage (Sortieren): Die KI muss schnell entscheiden: „Ist dieser Artikel wichtig oder nur Müll?" (Wie ein Türsteher, der entscheidet, wer in den Club darf).
2. Die Tiefensuche (Deep Search): Wenn es wichtig ist, muss die KI wie ein Detektiv weitere Hinweise im Internet suchen und zusammenführen.
3. Der Bericht (Drafting): Am Ende muss die KI einen verständlichen Bericht schreiben, der genau erklärt: Wer war der Angreifer? Wie hat er es gemacht? Was müssen wir tun?

Was haben sie herausgefunden? (Die Ergebnisse)

Die Ergebnisse waren eine Mischung aus „Toll!" und „Noch nicht ganz fertig":

• Die KI ist gut im „Sammeln": Sie findet fast alle relevanten Artikel (hohe Erinnerungsfähigkeit). Aber sie ist schlecht im „Auswählen". Sie hält oft auch harmlose Nachrichten für gefährlich (niedrige Präzision). Das ist wie ein Hund, der bellt, wenn eine Katze vorbeiläuft – er findet alles, aber er ist nicht sehr genau.
• Die KI ist gut im „Schreiben": Wenn es darum geht, einen logischen Text über einen Vorfall zu schreiben, macht sie das ziemlich gut.
• Die KI ist schlecht im „Verstehen": Das ist das größte Problem. Wenn die KI erklären soll, wie genau ein Hacker gearbeitet hat (die Taktiken), macht sie oft Fehler. Sie erfindet Details, die es gar nicht gibt (Halluzinationen). Das ist wie ein Schüler, der eine Geschichte erfindet, weil er die Aufgabe nicht verstanden hat.
• Kostenfalle: Manche KI-Modelle sind sehr genau, brauchen aber so viel Zeit und Rechenleistung, dass es zu teuer wird. Es ist wie ein Ferrari, der zwar schnell ist, aber 100 Liter Benzin pro Kilometer braucht.

Die Lösung für die Zukunft: TRA (Der KI-Assistent mit menschlichem Co-Pilot)

Da die KI allein noch nicht perfekt ist, haben die Forscher ein neues System namens TRA (Threat Research Agent) entwickelt.

Stell dir TRA nicht als einen einsamen Roboter vor, sondern als einen Team-Sportler mit einem menschlichen Trainer:

1. Die KI macht den ersten Entwurf: Sie sucht, liest und schreibt.
2. Der menschliche Experte (oder eine Datenbank) prüft: TRA nutzt externe, verifizierte Datenbanken (wie eine riesige, aktuelle Enzyklopädie), um zu prüfen: „Stimmt dieser IP-Adresse wirklich? War das wirklich ein Hacker?"
3. Feedback-Schleife: Wenn die KI einen Fehler macht, lernt sie daraus sofort.

Das Ergebnis: Mit diesem System werden die Berichte viel genauer. Die KI findet Dinge, die Menschen übersehen (weil sie müde sind), und die Menschen korrigieren die Fehler der KI (weil sie die KI nicht blind vertrauen).

Fazit in einem Satz

Die KI ist wie ein sehr schneller, aber manchmal etwas verwirrter Assistent. Sie kann riesige Mengen an Informationen durchsuchen und Texte schreiben, aber sie braucht noch einen menschlichen Chef, der die wichtigen Entscheidungen trifft und die Fakten überprüft, damit am Ende ein sicherer Bericht herauskommt. Das neue System CyberThreat-Eval hilft uns zu messen, wie gut dieser Assistent wirklich ist, und TRA zeigt uns, wie man ihn und den Menschen zum perfekten Team macht.

Technische Zusammenfassung

Hier ist eine detaillierte technische Zusammenfassung des Papers „CyberThreat-Eval: Can Large Language Models Automate Real-World Threat Research?" auf Deutsch:

1. Problemstellung

Die Analyse von Open Source Intelligence (OSINT) zur Erstellung umfassender Cyber Threat Intelligence (CTI)-Berichte ist ein manueller, arbeitsintensiver Prozess, der typischerweise in drei Phasen unterteilt ist: Triage (Priorisierung von Artikeln), Deep Search (Sammeln zusätzlicher Beweise) und TI Drafting (Erstellung des finalen Berichts).

Obwohl Large Language Models (LLMs) Potenzial zur Automatisierung bieten, weisen bestehende Benchmarks erhebliche Mängel auf:

• Unrealistische Aufgabenformate: Viele Benchmarks nutzen Multiple-Choice-Fragen oder Faktenabruf, die nicht dem realen Workflow von Analysten entsprechen (die selten solche Fragen beantworten).
• Fehlende Workflow-Abdeckung: Bestehende Benchmarks decken selten den gesamten End-to-End-Workflow (Triage bis Berichtserstellung) ab, sondern fokussieren sich auf isolierte Teilaufgaben.
• Modell-zentrierte Metriken: Die Evaluierung stützt sich oft auf Metriken wie ROUGE oder BERTScore, die lexikalische Überlappung messen, aber nicht die fachliche Genauigkeit, Handlungsfähigkeit oder die Kosten (Token-Verbrauch, Latenz) für Analysten bewerten.
• Mangelnde Expertise: LLMs neigen zu Halluzinationen bei technischen Details (z. B. falsche IoCs oder TTPs) und liefern oft zu oberflächliche Analysen, die menschliche Experten nicht ohne Weiteres nutzen können.

2. Methodik und CyberThreat-Eval Benchmark

Die Autoren stellen CyberThreat-Eval vor, einen neuartigen, von Experten annotierten Benchmark, der auf dem täglichen Workflow einer führenden Technologiefirma (Microsoft) basiert.

• Datenherkunft: Die Daten stammen aus realen CTI-Operationen und umfassen 488 Artikel für die Triage, 55 Start-URLs für die Deep Search und 412 Artikel für die Berichterstellung.
• Aufgabenstruktur: Der Benchmark evaluiert LLMs in den drei Workflow-Phasen:
  1. Triage: Klassifizierung von Artikeln (akzeptieren/ablehnen) und Zuweisung von Prioritätsscores basierend auf Bedrohungstyp und Ziel.
  2. Deep Search: Identifikation relevanter externer URLs, die zusätzliche, neue Informationen liefern (evaluiert durch einen LLM-basierten Vergleich).
  3. TI Drafting:
     • Extraktion: Gewinnung von Indicators of Compromise (IoCs) und Zuordnung von MITRE ATT&CK TTPs.
     • Generierung: Erstellung narrativer Berichte über Bedrohungsakteure (Threat Actors) und Ursachen (Root Causes).
• Evaluierungsmetriken: Statt rein lexikalischer Metriken werden analysten-zentrierte Metriken verwendet:
  • Faktische Genauigkeit (Factual Accuracy).
  • Inhaltliche Qualität (Relevanz, Vollständigkeit, Klarheit, Kohärenz, Quellenangabe).
  • Operative Kosten (Verarbeitungszeit, Token-Verbrauch).
  • Ein „LLM-as-Judge"-Ansatz (validiert durch menschliche Experten) wird für die Bewertung der Textqualität genutzt.

3. Wichtige Beiträge

1. CyberThreat-Eval Benchmark: Ein umfassender, realistischer Benchmark, der den gesamten CTI-Workflow abdeckt und realistische Aufgabenformate verwendet.
2. Analysten-zentrierte Evaluierung: Einführung von Metriken, die den praktischen Nutzen, die Genauigkeit und die Effizienz in den Vordergrund stellen.
3. Threat Research Agent (TRA): Ein End-to-End-Framework, das LLMs mit menschlichem Feedback und externen Wissensdatenbanken integriert, um die Limitationen reiner LLMs zu überwinden.
4. Umfassende Evaluation: Systematischer Vergleich von Basis-Modellen (GPT-4o, o3-mini) und feinabgestimmten Modellen (FT) auf einem realen Datensatz.

4. Ergebnisse und Erkenntnisse

Die Evaluation von vier LLMs (GPT-4o, o3-mini, sowie zwei feinabgestimmte Varianten) ergab folgende Erkenntnisse:

• Triage: LLMs zeigen eine hohe Recall-Rate (finden fast alle relevanten Artikel), aber eine sehr niedrige Precision (viele irrelevante Artikel werden akzeptiert), was den Arbeitsaufwand für Analysten erhöht. Die Priorisierungsscores liegen bei ca. 55–60 % Genauigkeit.
• Deep Search: Basis-Modelle (GPT-4o, o3-mini) finden mehr nützliche URLs als feinabgestimmte Modelle. Feinabstimmung scheint die Erkundungsbreite zu verringern, da Modelle konservativer werden.
• TI Drafting:
  • IoC-Extraktion: Hohe Präzision (ca. 0,82–0,88), aber oft auf Kosten der Effizienz (hoher Token-Verbrauch).
  • TTP-Identifikation: Dies ist eine große Schwäche. Alle Modelle erreichen niedrige Präzision und Recall (< 0,35), da die Zuordnung von Taktiken komplexes推理 (Reasoning) erfordert.
  • Narrative Generierung: LLMs sind gut darin, Ursachen (Root Causes) zu erklären, scheitern aber oft daran, umfassende Profile von Bedrohungsakteuren zu erstellen, die historische Kontexte und strategische Auswirkungen enthalten.
• Kosten-Nutzen-Abwägung: Es besteht ein deutlicher Trade-off zwischen Genauigkeit und Kosten. Modelle mit höherer Präzision (z. B. o3-mini) verbrauchen signifikant mehr Zeit und Token.
• Limitationen von Feinabstimmung: Feinabstimmung auf domänenspezifische Daten verbessert die Generierung von Profilen, kann aber die Fähigkeit zur externen Informationssuche verschlechtern und löst nicht das Problem des fehlenden logischen Schlussfolgerns bei TTPs.

5. Lösung: Threat Research Agent (TRA)

Um die identifizierten Lücken zu schließen, stellen die Autoren TRA vor, ein Framework mit „Human-in-the-Loop":

• Architektur: TRA nutzt LLMs für die Vorarbeit, integriert aber externe Ground-Truth-Datenbanken (z. B. VirusTotal) zur Verifizierung technischer Details (IoCs, TTPs) und bindet menschliche Expertenfeedbackschleifen ein.
• Ergebnisse mit TRA:
  • Die Präzision bei der IoC-Extraktion stieg um 26 Prozentpunkte.
  • Die Präzision bei der TTP-Identifikation verbesserte sich signifikant (z. B. von 0,28 auf 0,42 bei o3-mini).
  • Die Qualität der generierten Inhalte (Relevanz, Klarheit, Kohärenz) erreichte Werte von über 4,5 auf einer Skala von 5 und wurde von Experten als „veröffentlichungsreif" eingestuft.
  • TRA reduziert die Latenz für GPT-4o um ca. 70 Sekunden durch effizientere Verifizierungsschritte.

6. Bedeutung und Fazit

Das Paper zeigt, dass LLMs zwar wertvolle Werkzeuge zur Entlastung von Sicherheitsanalysten sind, aber nicht als vollautomatische Lösung für komplexe CTI-Aufgaben eingesetzt werden können.

• Kernbotschaft: Reine LLMs fehlen oft die notwendige Tiefe, das logische Schlussfolgern und die Fähigkeit, technische Details ohne Halluzinationen zu verifizieren.
• Zukunftspfad: Erfolgreiche Automatisierung erfordert hybride Ansätze, die LLMs mit externen Wissensquellen und menschlicher Expertise kombinieren (wie im TRA-Framework demonstriert).
• Beitrag zur Community: Durch die Veröffentlichung von CyberThreat-Eval und TRA setzen die Autoren einen neuen Standard für die Evaluierung und Entwicklung von KI-Systemen im Bereich Cybersecurity, der sich an realen Arbeitsabläufen und praktischen Bedürfnissen orientiert.