TACTIC-KG: Toward Small Agent Teams for Cyber Threat Intelligence Knowledge Graph Construction
TACTIC-KG ist ein kosteneffizientes agentisches Framework, das Cybersecurity-Wissensgraphen aus unstrukturierten Bedrohungsberichten konstruiert, indem es die Aufgabe in spezialisierte Rollen für leichtgewichtige LLMs zerlegt und dadurch monolithische große Modelle in Bezug auf Genauigkeit, Stabilität und Effizienz übertrifft.
Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen
Stellen Sie sich vor, Sie versuchen, eine riesige, detaillierte Karte einer Stadt zu erstellen, aber anstatt Bauplänen haben Sie nur tausende von unordentlichen, handschriftlichen Tagebucheinträgen verschiedener Menschen. Einige Einträge sind klar, einige sind gekritzelt, einige sind widersprüchlich und manche sind einfach erfunden. Genau das stehen Cybersicherheitsexperten gegenüber, wenn sie versuchen, Cyber Threat Intelligence (CTI)-Berichte in Knowledge Graphs (Wissensgraphen) zu verwandeln. Diese Berichte beschreiben Hacker, ihre Werkzeuge und ihre Angriffe, aber sie sind in unstrukturiertem, unordentlichem Text verfasst.
Dieses Papier stellt ein neues System namens TACTIC-KG vor, um dieses Problem zu lösen. Hier ist die Funktionsweise, erklärt anhand einfacher Analogien:
Der alte Weg: Der „Supergenie“-Solokünstler
Früher versuchten Forscher, eine einzige riesige, extrem leistungsstarke KI (ein „monolithisches“ Modell) dazu zu bringen, das unordentliche Tagebuch zu lesen, die Geschichte zu verstehen, die Namen von Hackern und Werkzeugen zu finden, herauszufinden, wie sie miteinander verbunden sind, und die Karte alles auf einmal zu zeichnen.
Das ist in etwa so, als würde man einen einzigen Supergenie-Künstler engagieren, der die gesamte Arbeit alleine erledigt.
- Das Problem: Selbst Genies werden müde. Wenn die Geschichte zu lang oder zu komplex ist, beginnt das Supergenie zu halluzinieren. Es erfindet vielleicht eine Verbindung zwischen zwei Personen, die nie existiert hat, oder es vergisst ein wichtiges Detail, weil es versucht hat, zu viele Dinge gleichzeitig zu tun.
- Die Kosten: Dieses Supergenie ist zudem unglaublich teuer in der Beschäftigung und arbeitet langsam.
Der neue Weg: Das „Spezialisierte Team“ (TACTIC-KG)
Die Autoren dieses Papers sagen: „Warum verlassen wir uns auf ein einziges überarbeitetes Genie? Lassen Sie uns ein kleines Team aus spezialisierten Arbeitern einstellen.“
TACTIC-KG unterteilt die Aufgabe in vier verschiedene Rollen, die jeweils von einem kleineren, günstigeren und fokussierteren KI-Agenten übernommen werden. Sie arbeiten in einer Kette und reichen die Arbeit nacheinander weiter:
Der Extraktor (Der Sammler):
- Aufgabe: Dieser Agent schaut sich den Text einfach nur an und zieht rohe Informationsstücke heraus (wie „Pegasus“, „iOS“, „NSO Group“). Er macht sich noch keine Gedanken darüber, was sie bedeuten; er greift einfach nur nach den Fakten.
- Analogie: Wie ein Aasfresser, der glänzende Objekte vom Boden aufhebt. Er schnappt sich alles, was interessant aussieht, ohne zu beurteilen, ob es ein Diamant oder ein Stück Glas ist.
Der Typer (Der Labeler/Etikettierer):
- Aufgabe: Dieser Agent nimmt die glänzenden Objekte, die der Sammler gefunden hat, und sortiert sie in die richtigen Boxen ein. Ist „Pegasus“ eine Malware? Ist „NSO Group“ eine Organisation?
- Analogie: Wie ein Bibliothekar, der die Bücher, die der Sammler gebracht hat, in die richtigen Regale einsortiert (Belletristik, Geschichte, Wissenschaft).
Der Verifier (Der Faktenchecker):
- Aufgabe: Dies ist der wichtigste neue Schritt. Dieser Agent schaut sich die etikettierten Elemente an und fragt: „Hat das ursprüngliche Tagebuch das tatsächlich so gesagt?“ Wenn der Sammler und der Labeler eine Vermutung angestellt haben, die nicht durch den Text gestützt wird, wirft der Verifier dies raus. Er stellt sicher, dass die Informationen durch den Text belegt sind. Wenn der Reporter behauptet: „Der Verdächtige war in Paris“, der Quelltext aber nur sagt: „Der Verdächtige war in Europa“, schneidet der Editor die spezifische Behauptung heraus. Dies verhindert, dass das System Dinge erfindet (Halluzinationen).
- Analogie: Wie ein strenger Redakteur, der eine Nachricht überprüft. Wenn der Reporter behauptet, „Der Verdächtige war in Paris“, der Quelltext aber nur sagt „Der Verdächtige war in Europa“, schneidet der Editor die spezifische Behauptung heraus. Dies verhindert, dass das System Dinge erfindet (Halluzinationen).
Der Curator (Der Kartenzeichner):
- Aufgabe: Dieser Agent nimmt die verifizierten Fakten und verbindet sie zu einer fertigen, sauberen Karte. Er korrigiert kleine Fehler, führt doppelte Namen zusammen (wie „TrickBot“ und „Trick Bot“) und stellt sicher, dass die Karte logisch Sinn ergibt, ohne falsche Brücken hinzuzufügen.
- Analogie: Wie ein Kartograf, der die endgültige Karte zeichnet, sicherstellt, dass die Straßen logisch miteinander verbunden sind, und Brücken entfernt, die ins Nichts führen.
Warum dieses Team besser ist
Das Paper behauptet, dass dieser Team-Ansatz dem „Supergenie“ aus drei Gründen überlegen ist:
- Weniger Halluzinationen: Da der Verifier als strenger Torwächter fungiert, erfindet das Team nicht versehentlich falsche Verbindungen. Das „Supergenie“ versucht oft, besonders hilfreich zu sein und füllt die Lücken mit Vermutungen; dieses Team füllt Lücken nur dann, wenn der Text dies explizit stützt.
- Bessere Recall (Mehr finden): Der „Sammler“ darf alles greifen, was er sieht, selbst wenn er sich unsicher ist. Dann sortiert der „Faktenchecker“ das Gute vom Schlechten. Das bedeutet, sie übersehen weniger reale Bedrohungen als das einzelne Modell, das vielleicht überfordert ist und Details überspringt.
- Günstiger und Schneller: Anstatt eine einzige massive, teure Computer-Intelligenz zu nutzen, verwendet das Team mehrere kleinere, leichtgewichtige Gehirne (3 bis 8 Milliarden Parameter). Es ist wie der Einsatz eines Teams von effizienten Praktikanten anstelle eines hochbezahlten, langsamen Managers.
Die Ergebnisse
Als die Autoren dieses System an realen Cybersicherheits-Berichten testeten, fanden sie heraus, dass:
- Das Team aus kleinen Agenten genauer darin war, Bedrohungen zu finden und zu etikettieren, als die riesigen Einzelmodelle.
- Die Karten (Knowledge Graphs), die sie erstellten, konsistenter waren und weniger falsche Verbindungen aufwiesen.
- Sie diese Ergebnisse mit viel kleineren, günstigeren Computermodellen erzielten.
Kurz gesagt: TACTIC-KG beweist, dass für komplexe Aufgaben wie die Kartierung von Cyber-Bedrohungen ein gut organisiertes Team von Spezialisten besser ist als ein einziger überarbeiteter Superstar.
Ertrinken Sie in Arbeiten in Ihrem Fachgebiet?
Erhalten Sie tägliche Digests der neuesten Arbeiten passend zu Ihren Forschungsbegriffen — mit technischen Zusammenfassungen, in Ihrer Sprache.