Vendor-Conditioned Contrastive Learning for Predicting Organizational Cyber Threat Targets

Resumen Técnico: TRACE – Aprendizaje Contrastivo Condicionado por Proveedor para Predecir Objetivos Organizacionales de Amenazas Cibernéticas

Enunciado del Problema
Los ciberataques infligen daños financieros masivos, con costos globales proyectados en alcanzar 15,6 billones de dólares anuales para 2029. Si bien la Inteligencia de Amenazas Cibernéticas (CTI) depende en gran medida del análisis de foros de hackers donde actores maliciosos comparten código de explotación y técnicas, existe una brecha crítica en la investigación actual: identificar qué organizaciones específicas son objetivo de estas explotaciones. Trabajos anteriores se han centrado en la identificación de explotaciones, el mapeo a MITRE ATT&CK o la detección multilingüe, pero rara vez en la predicción de objetivos organizacionales. Además, los modelos existentes a menudo no tienen en cuenta el desplazamiento de la distribución temporal. A medida que surgen nuevos proveedores, productos y vulnerabilidades, el lenguaje utilizado en las publicaciones de explotación evoluciona. Los modelos entrenados con datos históricos pueden aprender patrones que se vuelven poco fiables al aplicarse a publicaciones futuras, lo que hace necesarios protocolos de evaluación que prueben la generalización prospectiva en lugar de la precisión estática.

Metodología
Para abordar estos desafíos, los autores proponen TRACE (Representación y Clasificación Temporal de Explotaciones), un marco diseñado para predecir objetivos organizacionales manteniendo la robustez frente a la deriva temporal.

1. Construcción de Datos:

   • Los autores construyeron un corpus a gran escala y de múltiples fuentes aprovechando el conjunto de datos HackerSignal, que agrega 8,7 millones de publicaciones de 35 fuentes (incluyendo foros de hackers, bases de datos de explotación y mercados de la red oscura) que abarcan tres décadas (1990–2026).
   • De esto, se seleccionó un subconjunto de 352.866 publicaciones en inglés de fuentes ricas en explotaciones para la extracción de entidades.
   • Se utilizó un glosario curado que contenía más de 150 patrones de nombres de proveedores y productos para extraer y normalizar las referencias a proveedores, mapeándolas a siete categorías organizacionales (por ejemplo, CMS/Código Abierto, Software Empresarial, Plataforma Web, Redes/IoT, Móvil, Juegos, Base de Datos).
   • Este proceso produjo un conjunto de datos de referencia de 129.126 muestras.
   • División Temporal: Para simular la implementación en el mundo real y evitar la filtración de datos, los datos se dividieron cronológicamente: entrenamiento en publicaciones anteriores a 2022 (125.963 muestras), validación en 2022–2023 y prueba en 2024+ (Fuera de Distribución/OOD).

2. Arquitectura del Modelo (TRACE):

   • Codificador Base: El marco utiliza CySecBERT, un codificador BERT-base preentrenado específicamente en corpus de ciberseguridad para manejar vocabulario especializado (CVEs, comandos de shell, cargas útiles ofuscadas).
   • Diseño de Dos Cabezales:
     • Cabeza de Clasificación: Una capa lineal mapea la representación [CLS] del codificador a los logits de las siete categorías organizacionales, optimizada mediante la pérdida de entropía cruzada estándar ($L_{CE}$).
     • Cabeza de Proyección Contrastiva: Un MLP de dos capas proyecta la representación en un espacio de 128 dimensiones. Esta cabeza se optimiza utilizando una pérdida Contrastiva Supervisada (SupCon) ($L_{SC}$).
   • Objetivo Condicionado por Proveedor: A diferencia de la clasificación estándar, la pérdida contrastiva agrupa las muestras por identidad de proveedor en lugar de categoría organizacional. Atrae las incrustaciones de publicaciones que discuten al mismo proveedor y empuja a los diferentes proveedores a separarse. Esto aprovecha la observación de que las publicaciones de explotación para el mismo proveedor comparten vocabulario específico y patrones de código que atraviesan categorías más amplias.
   • Objetivo de Entrenamiento: La pérdida total es una suma ponderada: $L = L_{CE} + \lambda L_{SC}$, donde $\lambda = 0,1$. Esto asegura que la clasificación permanezca como el objetivo principal, mientras que el objetivo contrastivo moldea el espacio de incrustaciones para que sea coherente con el proveedor.

Contribuciones Clave

1. Corpus Multi-fuente a Gran Escala: La creación de un conjunto de datos etiquetado de 129.126 muestras derivado de 9 bases de datos de explotación y foros de hackers distintos, que cubre tres décadas de datos.
2. Aprendizaje Contrastivo Condicionado por Proveedor: La introducción de una estrategia de ajuste fino que utiliza la identidad del proveedor como señal de supervisión auxiliar. Este enfoque alienta al modelo a aprender representaciones que preservan la estructura a nivel de proveedor, mejorando la generalización bajo desplazamiento de distribución temporal.
3. Evaluación Temporal OOD: Un protocolo de evaluación riguroso que prueba el rendimiento del modelo en datos futuros (2024+), demostrando la capacidad del marco para manejar el lenguaje de explotación en evolución.

Resultados Experimentales
El marco TRACE se evaluó contra 17 modelos de referencia, incluyendo ML clásico (Naïve Bayes, SVM, Regresión Logística), arquitecturas de aprendizaje profundo (RNN, LSTM, CNN, Transformers) con incrustaciones GloVe y FastText, y transformadores preentrenados (BERT, RoBERTa, ModernBERT, CySecBERT).

• Rendimiento: TRACE logró una puntuación F1 Macro del 97,00% y una precisión del 98,65% en el conjunto de prueba temporal OOD, superando significativamente a todas las líneas base.
• Comparación con Líneas Base:
  • Adaptación de Dominio: El preentrenamiento específico del dominio demostró ser crítico. CySecBERT (F1=94,45%) superó significativamente a BERT de propósito general (89,29%) y RoBERTa (84,36%).
  • Incrustaciones: Para las líneas base de aprendizaje profundo, las incrustaciones FastText entrenadas en el corpus de explotación superaron consistentemente a las incrustaciones GloVe genéricas (por ejemplo, BiLSTM: 81,84% frente a 63,11%).
  • Ganancia Contrastiva: El objetivo contrastivo condicionado por proveedor proporcionó un impulso sustancial sobre el ajuste fino estándar de CySecBERT, mejorando la puntuación F1 en 2,55 puntos porcentuales (de 94,45% a 97,00%).
• Análisis por Categoría: TRACE mostró la mejora más significativa en categorías de bajo soporte, particularmente en Juegos (la F1 aumentó de 72,34% a 91,80%), aprendiendo representaciones coherentes con el proveedor que separaron mejor las clases raras.

Significado y Afirmaciones
El artículo afirma que TRACE proporciona un mecanismo robusto para la CTI proactiva, permitiendo a las partes interesadas identificar rápidamente qué industrias están siendo objetivo de explotaciones emergentes. El estudio destaca que la elección de la incrustación es el factor más significativo en el rendimiento del modelo; el preentrenamiento específico del dominio y las incrustaciones entrenadas en el corpus son esenciales para manejar la jerga especializada de las comunidades de hackers.

Los autores enfatizan que su evaluación temporal OOD ofrece una evaluación realista de la utilidad del modelo, ya que los modelos entrenados con datos históricos estáticos a menudo fallan cuando se implementan contra amenazas en evolución. Al integrar la estructura a nivel de proveedor en el objetivo de aprendizaje, TRACE demuestra que los metadatos auxiliares pueden mejorar el poder discriminativo de las representaciones para la predicción de objetivos organizacionales, incluso cuando el vocabulario objetivo y los patrones cambian con el tiempo.

Limitaciones
Los autores señalan que su etiquetado basado en glosario, aunque de alta precisión, puede omitir proveedores que no están en el diccionario. Además, la taxonomía de 7 categorías agrupa a las organizaciones en grupos amplios, lo que puede difuminar los límites (por ejemplo, distinguir entre Plataformas Web y CMS de Código Abierto). Los bajos conteos de muestras para categorías como Base de Datos (2 muestras de prueba) y Juegos (30 muestras de prueba) limitan la fiabilidad estadística de las métricas por categoría para esas clases específicas.