In-Context Autonomous Network Incident Response: An End-to-End Large Language Model Agent Approach

Resumen Técnico: Respuesta Autónoma a Incidentes de Red con Agentes LLM

1. El Problema

La respuesta a incidentes de ciberseguridad es un proceso crítico de toma de decisiones post-ataque que busca contener, mitigar y recuperarse de las amenazas. Sin embargo, la práctica actual presenta dos limitaciones principales:

• Dependencia manual: Más del 60% de las organizaciones tardan más de 100 días en recuperarse, ya que los procesos manuales son lentos y laboriosos.
• Limitaciones de los enfoques automatizados anteriores:
  • Aprendizaje por Refuerzo (RL): Aunque efectivos en simulaciones, requieren una modelado manual exhaustivo del entorno de red. Esto comprime la semántica rica de los registros (logs) y alertas en datos numéricos, perdiendo información crucial y requiriendo mucho trabajo de ingeniería.
  • Agentes LLM genéricos: Los métodos actuales basados en Grandes Modelos de Lenguaje (LLM) suelen depender de la ingeniería de prompts. Esto genera dos problemas: alucinaciones (acciones que parecen plausibles pero son incorrectas) y pérdida de contexto en la planificación a largo plazo, lo que lleva a estrategias de respuesta incoherentes.

2. Metodología Propuesta

Los autores proponen un agente LLM autónomo de extremo a extremo que integra cuatro funcionalidades clave en un único modelo ligero (14 mil millones de parámetros), capaz de operar en hardware comercial. El enfoque se basa en el Aprendizaje en Contexto (In-Context Learning) y la planificación de búsqueda hacia adelante (lookahead), inspirada en los Procesos de Decisión de Markov Parcialmente Observables (POMDP).

El flujo de trabajo se divide en dos etapas (ver Figura 1 del artículo):

A. Etapa 1: Ajuste Fino Offline (Fine-Tuning)

• Se utiliza un modelo base (DeepSeek-14B compatible con Qwen) ajustado con LoRA (Low-Rank Adaptation).
• Se entrena con un conjunto de datos de 50,000 pares de instrucciones y respuestas que incluyen trazas de razonamiento de cadena de pensamiento (Chain-of-Thought, CoT).
• Objetivo: Enseñar al agente a inferir el estado de recuperación subyacente a partir de logs y alertas, y a generar acciones de respuesta coherentes.

B. Etapa 2: Planificación de Respuesta Online (In-Context Adaptation)
El agente opera en un ciclo iterativo que simula un "modelo del mundo" interno:

1. Percepción: Procesa logs y alertas para estimar el estado de recuperación actual ($\hat{s}_t$).
2. Razonamiento: Combina el conocimiento de seguridad preentrenado con la estimación de estado para predecir futuras alertas y estados, creando un modelo interno del entorno y las tácticas del atacante.
3. Planificación (Lookahead):
   • Genera $N$ acciones candidatas.
   • Simula $M$ trayectorias de recuperación para cada acción utilizando el modelo interno.
   • Calcula el costo acumulado (tiempo de recuperación) y selecciona la acción óptima mediante una búsqueda tipo Monte-Carlo.
4. Acción: Ejecuta la acción seleccionada y observa las alertas reales del sistema.
5. Calibración (Adaptación en Contexto): Compara las alertas predichas con las observadas. Si hay una discrepancia significativa, utiliza un LLM fronterizo (GPT-5.2) o el propio agente para recalibrar las tácticas de ataque conjeturadas ($\hat{\theta}$) y re-planificar. Esto mitiga las alucinaciones y mantiene la coherencia a largo plazo.

3. Contribuciones Clave

• Enfoque sin modelado manual: Elimina la necesidad de convertir logs en datos numéricos estructurados, aprovechando la capacidad semántica nativa de los LLM.
• Arquitectura Agentic Integrada: Combina percepción, razonamiento, planificación y acción en un solo modelo ligero (14B), haciéndolo desplegable en hardware comercial.
• Mecanismo de Auto-Corrección: Introduce un bucle de retroalimentación donde el agente compara predicciones con observaciones reales para ajustar su "modelo del mundo" y sus tácticas de ataque conjeturadas, resolviendo el problema de la pérdida de contexto en tareas de largo horizonte.
• Eficiencia y Precisión: Logra una recuperación más rápida que modelos LLM mucho más grandes (frontier models) sin requerir infraestructura masiva.

4. Resultados Experimentales

El agente fue evaluado en cuatro conjuntos de datos reales de incidentes (CTU-Malware-2014, CIC-IDS-2017, AIT-IDS-V2-2022, CSLE-IDS-2024) y comparado con modelos de vanguardia (DeepSeek-R1, Gemini 2.5 Pro, OpenAI O3).

• Rendimiento de Recuperación: El agente propuesto logra una recuperación un 23% más rápida que los modelos LLM de vanguardia y trabajos anteriores.
• Precisión de Predicción:
  • Logró una precisión de coincidencia exacta (exact-match) del 98% en la predicción de estados de recuperación.
  • Obtuvo puntuaciones F1 superiores a 0.99 en la estimación de estados de contención, preservación y recuperación.
• Estudio de Ablación:
  • La eliminación del ajuste fino o de la planificación degradó significativamente el rendimiento.
  • La adaptación en contexto mejoró el rendimiento, aunque su impacto fue menor en secuencias cortas (típicamente 5 acciones), sugiriendo que su valor será aún mayor en procesos de respuesta más largos y complejos.
• Limitaciones: El tiempo de procesamiento actual es de unos 20 minutos por incidente debido a la búsqueda de árboles Monte-Carlo ($O(MN)$), lo que plantea desafíos de escalabilidad para redes muy complejas.

5. Significado e Impacto

Este trabajo representa un avance significativo hacia la defensa cibernética autónoma. Al demostrar que un modelo LLM ligero, ajustado específicamente y equipado con mecanismos de planificación y adaptación en contexto, puede superar a modelos masivos genéricos en tareas de seguridad, el estudio ofrece una ruta viable para:

1. Automatización realista: Reducir la dependencia de expertos humanos y el tiempo de recuperación (MTTR).
2. Accesibilidad: Permitir que organizaciones con recursos limitados (hardware comercial) implementen sistemas de respuesta a incidentes avanzados sin la carga de modelado manual complejo.
3. Resiliencia: Crear sistemas que no solo reaccionan, sino que aprenden y se adaptan dinámicamente a las tácticas cambiantes de los atacantes durante el curso de un incidente.

En conclusión, la propuesta transforma la respuesta a incidentes de un proceso reactivo y manual a un ciclo autónomo, inteligente y auto-corregible, cerrando la brecha entre la investigación académica en RL y la aplicabilidad práctica de los LLM en ciberseguridad.