PhishLumos: An Adaptive Multi-Agent System for Proactive Phishing Campaign Mitigation

Resumen Técnico: PhishLumos

Planteamiento del Problema
Los ataques de phishing representan una amenaza social persistente, causando pérdidas financieras significativas y erosionando la confianza en los servicios digitales, particularmente entre las poblaciones vulnerables. Las estrategias defensivas actuales dependen fuertemente de métodos de detección reactivos basados en el contenido (por ejemplo, similitud visual, reconocimiento de logotipos y análisis de texto). Sin embargo, los atacantes modernos emplean tácticas de evasión sofisticadas, como el camuflaje (cloaking), que entregan contenido malicioso a los usuarios humanos mientras presentan contenido benigno o vacío (por ejemplo, errores 404) a los escáneres automatizados. Esto vuelve ineficaces a los detectores tradicionales basados en contenido. El artículo identifica una asimetría central en la ciberseguridad: los atacantes pueden escalar fácilmente campañas coordinadas, mientras que la defensa sigue siendo una tarea intensiva en recursos y dirigida por expertos. Además, la prevalencia de escenarios de contenido inaccesible ha aumentado, con el 100% de las campañas observadas a principios de 2025 fallando al proporcionar contenido recuperable a los escáneres automatizados.

Metodología: PhishLumos
Los autores presentan PhishLumos, un sistema multi-agente adaptativo diseñado para mitigar proactivamente campañas de phishing completas partiendo de una sola URL, incluso cuando el contenido de la página es inaccesible. El sistema opera bajo el principio de Análisis Pivote (Pivotal Analysis), tratando la indisponibilidad de contenido no como un fallo, sino como una señal para pivotar la investigación hacia la infraestructura subyacente del atacante.

• Arquitectura: El sistema es orquestado por un Agente Supervisor central que dirige un equipo de agentes especializados y de síntesis.
  • Agentes Especializados: Estos agentes (Análisis de URL, Análisis de Dominio, Análisis de IP, Análisis de Certificados) consultan APIs de inteligencia de amenazas externas (por ejemplo, urlscan.io, VirusTotal) para recopilar historiales de registros DNS, historiales de direcciones IP y datos de certificados TLS.
  • Agentes de Síntesis: El Agente de Análisis de Campaña correlaciona los hallazgos para perfilar la campaña, mientras que el Agente de Generación de Reglas crea y valida reglas de detección.
• Flujo de Trabajo Adaptativo: El Supervisor utiliza un Modelo de Lenguaje Grande (LLM) para evaluar la evidencia recolectada y decidir dinámicamente el siguiente paso de la investigación (Algoritmo 1). Si los escaneos iniciales revelan camuflaje o patrones de infraestructura sospechosos (por ejemplo, múltiples dominios no relacionados en una IP que no es de un CDN), el sistema pivota para analizar el alojamiento compartido, los certificados o los patrones de registro.
• Gestión de Contexto: Para manejar los límites de contexto del LLM, el sistema emplea una estrategia de extracción selectiva de datos, comunicación estructurada entre agentes y resumen jerárquico para destilar los datos brutos de las APIs en grafos de evidencia concisos.
• Generación de Reglas: El sistema genera reglas de detección candidatas (por ejemplo, consultas basadas en infraestructura) y las valida empíricamente contra una pequeña muestra de datos para asegurar una alta precisión y prevenir falsos positivos antes de emitir inteligencia accionable.

Contribuciones Clave

1. Cambio de Reactivo a Proactivo: PhishLumos va más allá del bloqueo de URLs individuales para mitigar campañas de ataque completas mediante la identificación de la huella de la infraestructura compartida.
2. Resiliencia a la Evasión: A diferencia de trabajos previos que se degradan cuando el contenido se oculta, PhishLumos aprovecha las señales de infraestructura (IPs, certificados, ASNs) para detectar campañas incluso cuando el contenido de la página está camuflado o es inaccesible.
3. Orquestación Multi-Agente: El sistema demuestra una aplicación novedosa de agentes potenciados por LLM para coordinar investigaciones complejas y conscientes del estado, cambiando dinámicamente el enfoque basándose en la evidencia emergente.
4. Inteligencia Accionable: El sistema genera reglas de detección validadas (por ejemplo, consultas de búsqueda para listas de bloqueo) en lugar de solo clasificaciones binarias, permitiendo la integración directa en ecosistemas de seguridad.

Resultados Experimentales
El sistema fue evaluado en un conjunto de datos de verdad fundamental (ground-truth) de 103 campañas de phishing distintas (6,020 URLs) verificadas por JPCERT/CC, junto con un conjunto de datos benigno.

• Cobertura de Campaña: PhishLumos logró una cobertura de campaña mediana del 100%, lo que significa que las reglas generadas identificaron exitosamente casi todas las URLs conocidas dentro de una campaña.
• Detección Proactiva: El sistema identificó campañas una mediana de 192.8 horas (aprox. 8 días) antes de que los expertos humanos las confirmaran, proporcionando una ventana crítica para la defensa preventiva.
• Desempeño en Escenarios Evasivos: En escenarios de contenido inaccesible (85 campañas), PhishLumos logró un F1-Score de 0.994 con un recall de 1.000. En contraste, los modelos base de última generación (ChatPhishDetector, Phishpedia, VisualPhishNet) vieron su desempeño colapsar, con F1-scores cayendo hasta 0.000 para métodos basados en visión.
• Precisión: El sistema mantuvo una tasa de Falsos Positivos mínima de 0.001 en todos los escenarios.
• Estudio de Ablación: Eliminar la capacidad de "Análisis Pivote" redujo la cobertura media del 93.0% al 56.1%, confirmando la necesidad del pivote de infraestructura. Eliminar el agente de "Generación de Reglas" (específicamente el paso de validación de multi-hipótesis) causó que la cobertura mediana cayera drásticamente al 2.2%, resaltando la importancia de la validación rigurosa de las reglas.

Significancia
El artículo sostiene que PhishLumos representa un cambio práctico en la defensa de la ciberseguridad. Al automatizar la investigación de nivel experto de la infraestructura de las campañas, aborda la brecha de escalabilidad entre atacantes y defensores. La capacidad del sistema para detectar campañas días antes de la verificación oficial permite a los proveedores de seguridad y organizaciones desplegar reglas de bloqueo en toda la red, protegiendo a los usuarios vulnerables antes de que sean perjudicados. El trabajo demuestra que una defensa efectiva contra el phishing moderno y evasivo no requiere acceso al contenido malicioso, sino la capacidad de razonar sobre la infraestructura persistente que soporta estas campañas.