CTIFoundry: An Agent-Native Corpus Scaffold for Cyber Threat Intelligence
Dieses Paper stellt CTIFoundry vor, ein agenten-natives Korpus-Gerüst, das die latente Struktur von Cyber Threat Intelligence durch einen deterministischen Ontologie-Graphen und span-gegrundete Berichte materialisiert und damit die investigative Leistung sowie Effizienz von Agenten im Vergleich zu traditionellen flachen Retrieval-Substraten signifikant verbessert.
Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen
In der digitalen Welt jagen Sicherheitsexperten ständig nach Hinweisen darauf, wer sie angreift und wie. Diese Arbeit, bekannt als Cyber Threat Intelligence, stützt sich auf massive Sammlungen von Berichten, die von verschiedenen Unternehmen und Organisationen verfasst wurden. Jahrelang war die Standardmethode, diese Berichte mit künstlicher Intelligenz zu nutzen, darin bestehend, sie wie eine Bibliothek unorganisierter Bücher zu behandeln. Wenn ein Computerprogramm eine Frage stellt, sucht das System nach den am ähnlichsten aussehenden Wörtern im Text und zieht einige Seiten heraus. Diese Methode funktioniert gut für einfache Fragen, stöbt aber an ihre Grenzen, wenn die Untersuchung das Verknüpfen von Punkten über verschiedene Dokumente hinweg erfordert. Eine einzige Hackergruppe kann in drei verschiedenen Berichten unter drei verschiedenen Namen bezeichnet werden, und die offiziellen Aufzeichnungen, die eine bestimmte Softwarelücke mit einer bekannten Angriffsmethode verknüpfen, sind oft tief in langen Textabsätzen vergraben. Wenn der Computer diese verborgenen Verbindungen nicht sehen kann, kann er das Rätsel nicht lösen, egal wie intelligent das Programm der künstlichen Intelligenz ist.
Ein Team von Forschern hat entdeckt, dass das Problem nicht die Intelligenz des Computers ist, sondern die Art und Weise, wie die Informationen gespeichert sind. Sie entwickelten ein neues System namens CTIFoundry, das als spezialisierter Rahmen fungiert, um diese Sicherheitsberichte zu organisieren, bevor der Computer überhaupt versucht, sie zu lesen. Anstatt die Daten als ein Durcheinander von Text zu hinterlassen, baut das System zuerst eine klare Karte der Fakten auf. Es nimmt die offiziellen Datensätze aus vier großen Sicherheitsdatenbanken und verbindet sie mit präzisen Linien, die genau zeigen, welche Software-Schwachstelle zu welchem Angriffsmuster führt. Dann liest es die ungeordneten Berichte der Anbieter und findet die spezifischen Sätze, die diese bekannten Gruppen oder Schwachstellen erwähnen, und versieht sie mit einer Kennzeichnung ihres exakten Standorts im Originaltext. Dieser Prozess verwandelt einen flachen Stapel von Dokumenten in ein strukturiertes Netzwerk, in dem jedes Stück Information seine Nachbarn und seine Quelle kennt.
Die Forscher testeten dieses neue System, indem sie einem identischen KI-Agenten zwei verschiedene Wege gaben, auf denselben Satz von Sicherheitsdaten zuzugreifen. In einem Szenario nutzte der Agent die alte, unorganisierte Methode. In dem anderen nutzte er die neue, strukturierte Karte. Die Ergebnisse waren beeindruckend. Als der Agent das neue System verwendete, sprang seine Fähigkeit, Fragen korrekt zu beantworten, signifikant an, selbst als die Forscher ein kleineres, weniger leistungsfähiges Computermodell verwendeten. Tatsächlich schnitt das kleinere Modell mit der neuen Karte besser ab als das leistungsstärkste Modell mit dem alten, unorganisierten Textstapel. Die Verbesserung lag nicht daran, dass der Computer intensiver suchte oder mehr Seiten las. Im Gegenteil: Der Agent, der das neue System nutzte, fand die richtigen Antworten, während er etwa halb so viele Versuche unternahm, Informationen abzurufen. Er hatte schlichtweg einen besseren Pfad, dem er folgen konnte.
Die Studie enthüllte auch, warum die alte Methode so oft scheiterte. Oheinander die vorgefertigte Karte zu haben, verirrte sich der Computer oft im Text und suchte nach ähnlichen Wörtern, die zu Sackgassen oder verwirrenden Ergebnissen führten. Er übersah die offiziellen Verknüpfungen, die Experten bereits aufgeschrieben hatten, weil diese Verbindungen in langen Sätzen verborgen waren. Das neue System zwingt den Computer dazu, zuerst den offiziellen Verbindungen zu folgen und den Text als sekundäre Quelle für Details zu behandeln, statt als primären Leitfaden. Dieser Ansatz erwies sich als so effektiv, dass die Forscher feststellten, dass die Struktur der Daten wichtiger war als die reine Rechenleistung des Computermodells selbst. Ein kleines Modell mit einer klaren Karte übertraf ein riesiges Modell mit einem chaotischen Stapel.
Um sicherzustellen, dass das System vertrauenswürdig war, bauten die Forscher es mit strengen Regeln auf, die verhinderten, dass es Fakten erfindet. Jede Verbindung in der Karte musste aus einem offiziellen Datensatz stammen, und jedes Textstück, das es aus einem Bericht zog, musste auf die exakte Stelle im Originaldokument verweisen, an der es gefunden wurde. Dies bedeutete, dass der Computer keine Dinge erfinden oder Antworten erraten konnte. Das System enthielt zudem eine Reihe einfacher Anweisungen oder Gewohnheiten, denen der Computer folgen sollte, wie zum Beispiel die Prüfung der offiziellen Karte, bevor er nach ähnlichen Wörtern sucht. Diese Gewohnheiten, kombiniert mit der klaren Karte, erzeugten einen super-additiven Effekt, was bedeutet, dass beide Teile besser zusammenarbeiteten, als sie es allein tun würden.
Die Kosten für den Aufbau dieses neuen Systems waren überraschend gering und erforderten nur eine kleine Menge an Rechenleistung, um die initialen Daten zu verarbeiten. Einmal aufgebaut, ermöglichte das System dem Computer, komplexe Untersuchungen für etwa zwei Cent pro Frage zu lösen. Die Forscher kamen zu dem Schluss, dass in Bereichen, in denen Informationen hochstrukturiert sind und auf offiziellen Verbindungen beruhen, der größte Engpass nicht die Intelligenz des KI-Agenten ist, sondern die Qualität der Daten, die man ihm gibt. Indem sie die Daten in eine Form organisierten, die ein Agent natürlich verstehen und durchqueren kann, machten sie den Untersuchungsprozess schneller, günstiger und weitaus genauer. Die Arbeit legt nahe, dass es in der Zukunft für spezialisierte Felder vielleicht nicht die effektivste Methode sein wird, die künstliche Intelligenz zu verbessern, indem man klügere Gehirne baut, sondern indem man bessere Bibliotheken für sie baut, in denen sie lesen können.
Ertrinken Sie in Arbeiten in Ihrem Fachgebiet?
Erhalten Sie tägliche Digests der neuesten Arbeiten passend zu Ihren Forschungsbegriffen — mit technischen Zusammenfassungen, in Ihrer Sprache.