Resumen Técnico: TIBlender

Planteamiento del Problema

La recopilación de inteligencia de amenazas (TI) cibernéticas depende actualmente en gran medida de fuentes de amenazas comerciales y públicas, lo que introduce un desfase inevitable entre la aparición de una amenaza y su publicación. Se ha demostrado que las plataformas de redes sociales (por ejemplo, X, Reddit, Telegram, Discord) portan Indicadores de Compromiso (IoC) y detalles de campañas de ataque antes que los feeds oficiales, pero los enfoques existentes no logran automatizar plenamente la integración de estos datos fragmentados y multilingües en informes procesables.

Los sistemas actuales enfrentan tres desafíos fundamentales:

1. Integración Fragmentada: Las señales de amenazas se distribuyen en plataformas heterogéneas con diferentes idiomas, culturas de publicación y granularidades. El monitoreo de una sola plataforma produce inteligencia estructuralmente incompleta.
2. Validación de Fiabilidad: Las redes sociales contienen un ruido, desinformación y exageraciones significativas. La extracción automatizada que depende de una sola perspectiva no puede eliminar totalmente los falsos positivos, y los métodos existentes carecen de mecanismos para la validación cruzada de evidencia desde perspectivas independientes.
3. Filtrado de Ruido y Adaptación: Las señales de amenazas están ocultas bajo spam y publicidad. Además, las reglas de monitoreo estáticas no pueden mantener el ritmo de la evolución de los objetivos, técnicas y plataformas utilizadas por los adversarios.

Ningún sistema existente aborda simultáneamente la integración de datos de múltiples plataformas, la validación de fuentes cruzadas y el filtrado de ruido adaptativo para generar informes de TI de extremo a extremo automatizados.

Metodología: Diseño del Sistema TIBlender

TIBlender es un sistema multi-agente autónomo diseñado para monitorear múltiples plataformas de redes sociales, correlacionar señales fragmentadas y generar informes de TI estructurados y respaldados por evidencia. El sistema opera en ciclos de intervalos fijos y utiliza un pipeline de cinco pasos dentro de cada ciclo, aumentado por mecanismos de retroalimentación entre ciclos.

1. Arquitectura del Sistema

El sistema monitorea cuatro plataformas representativas: X (diseminación rápida), Reddit (discusión técnica profunda), Telegram (actividad de actores de amenazas) y Discord (coordinación de actores). Emplea agentes de Modelos de Lenguaje de Gran Escala (LLM) especializados para cada etapa, desde la extracción de datos hasta la generación de informes estructurados.

2. El Pipeline de Cinco Pasos por Ciclo

• Paso 1: Recolección Adaptativa y Análisis de Publicaciones:
  • Recopila publicaciones mediante palabras clave multilingües predefinidas y aumentación dinámica de palabras clave impulsada por la detección de tendencias.
  • Aplica Reconocimiento Óptico de Caracteres (OCR) a imágenes y utiliza un agente LLM para generar resúmenes de amenazas en inglés y extraer IoCs (URLs, hashes, dominios, IPs, CVEs) en paralelo.
  • Genera pares de (resumen de amenaza, lista de IoC) para el procesamiento posterior.
• Paso 2: Agrupación a Nivel de Campaña:
  • Consolida las publicaciones en grupos (clusters) que representan la misma campaña de amenaza utilizando un enfoque de doble vía:
    • Vía de IoC: Fusiona publicaciones con alta superposición de IoC (similitud de Jaccard) usando un algoritmo de unión-búsqueda (union-find).
    • Vía de No-IoC: Utiliza la similitud semántica de los resúmenes de amenazas para adjuntar publicaciones sin IoCs a clusters existentes o agruparlas mediante HDBSCAN.
  • Un agente LLM divide los clusters en unidades de nivel de campaña basadas en la organización objetivo y el vector de ataque, asignando niveles de severidad (BAJA/MEDIA/ALTA/CRÍTICA).
• Paso 3: Investigación de Múltiples Perspectivas:
  • Despliega cuatro agentes de investigación especializados (Infraestructura, Técnica, Social, Actor) para recolectar evidencia.
  • Selección de Modo: Los clusters se procesan en Modo de Múltiples Perspectivas (para amenazas novedosas) o en Modo Guiado por RL (para amenazas que se asemejan a casos pasados). El modo guiado por RL utiliza una política de Aprendizaje por Refuerzo (RL) para priorizar los enfoques de investigación basados en el éxito histórico.
  • Los agentes utilizan herramientas externas (RDAP/WHOIS, DNS pasivo, bases de datos de CVE) para pivotar desde los IoCs iniciales hacia la infraestructura relacionada e información del actor.
• Paso 4: Bucle de Evaluación Adaptativa:
  • Agentes "jueces" independientes (de diferentes proveedores de LLM para reducir el sesgo) evalúan el contexto de la investigación a lo largo de tres ejes: Suficiencia (¿se han recolectado todos los puntos de datos requeridos?), Consistencia (¿existen contradicciones?) y Calidad de la Evidencia (¿domina la evidencia de alta confianza?).
  • Si la evidencia es insuficiente, el sistema activa una investigación de seguimiento en el Modo de Múltiples Perspectivas.
  • Se aplica una regla de consenso conservadora: un informe procede solo si todos los jueces están de acuerdo; de lo contrario, se omite para suprimir falsos positivos.
• Paso 5: Generación de Informe Estructurado:
  • Convierte los contextos de investigación validados en informes de TI estructurados (JSON, PDF, Markdown, STIX 2.1).
  • Los informes incluyen justificaciones explícitas, puntuaciones de confianza y tipos de extracción (Directa vs. Pivotaje).

3. Retroalimentación entre Ciclos

• Adaptación de Consultas Basada en Tendencias: Analiza las tendencias de los clusters (volumen, propagación, escalada) para generar consultas de búsqueda dinámicas para el siguiente ciclo, asegurando la cobertura de amenazas emergentes.
• Aprendizaje de Política de RL en Línea: Utiliza trayectorias de investigación exitosas de ciclos pasados para ajustar la política de RL para el Paso 3, mejorando la eficiencia de las investigaciones futuras.

Contribuciones Clave

1. Implementación de TIBlender: Un sistema multi-agente que integra señales de amenazas fragmentadas y multilingües a través de múltiples plataformas y genera de forma autónoma informes de TI procesables con IoCs verificados y justificaciones respaldadas por evidencia.
2. Validación Cuantitativa de la Necesidad de Multi-Plataforma: Demuestra que cada plataforma contribuye con información de amenaza única. Excluir cualquier plataforma individual resulta en una pérdida sustancial de informes en categorías de amenazas específicas (por ejemplo, excluir Discord elimina el 43% de los reportes de Vulnerabilidades).
3. Capacidad de Alerta Temprana Operacional: Mediante el despliegue a gran escala, el sistema captura amenazas antes que los feeds públicos y los registros de vulnerabilidades, incluyendo la explotación en el mundo real.

Resultados Experimentales

El sistema fue desplegado durante 31 días (16 de marzo – 16 de abril de 2026) en X, Reddit, Telegram y Discord.

• Escala: Procesó 873,973 publicaciones brutas, consolidadas en 184,240 clusters, y generó 8,288 informes de amenazas procesables.
• Dependencia de Multi-Plataforma:
  • X fue la fuente principal para Phishing/Fraude (65%).
  • Reddit dominó en Malware/C2 (59%).
  • Discord y X dividieron los reportes de Vulnerabilidad (45% y 46%).
  • APT/Ransomware fue la categoría más distribuida, con contribuciones significativas de las cuatro plataformas.
  • Excluir una sola plataforma resultó en la pérdida de hasta el 50% de los reportes en categorías específicas.
• Comparación con Baselines de Plataforma Única:
  • Bajo condiciones de entrada idénticas, la extracción de IoC de TIBlender (Directa + Pivotaje) superó a los baselines de plataforma única (Tweezers, DarkGram, Reddit2CTI) en un factor de 1.6x a 5.1x en volumen.
  • Novedad: TIBlender identificó entre el 81.7% y el 94.0% de los IoCs que estaban ausentes en sus respectivos baselines de plataforma única.
  • Calidad: Los IoCs de TIBlender fueron marcados por 11+ motores de VirusTotal en el 19.7%–32.3% de los casos, superando significativamente a los baselines (por ejemplo, DarkGram en 0.4%). La tasa de falsos positivos para IoCs de dominio se mantuvo baja (1.8%–2.3%) en comparación con los baselines (hasta 44.0%).
• Comparación con Feeds Públicos:
  • Ausencia en el Alcance del Feed: Entre el 83.0% y el 99.6% de los IoCs de TIBlender estaban ausentes en seis de los principales feeds públicos (PhishTank, MalwareBazaar, URLhaus, CISA KEV, OTX Pulses, TweetFeed).
  • Detección Temprana: TIBlender detectó IoCs superpuestos antes que los feeds públicos en el 13.7%–31.3% de los casos.
  • Tiempo de Adelanto: El sistema capturó la explotación en el mundo real hasta 13.4 días antes de la lista de CISA KEV y 72 horas antes de PhishTank.

Significado y Reivindicaciones

El artículo establece el monitoreo de redes sociales multiplataforma como una capa de alerta temprana efectiva y escalable para los pipelines de TI operacionales. Argumenta que:

• La Integración es Crítica: Ninguna plataforma proporciona una visión completa; la integración multiplataforma es esencial para una cobertura integral.
• La Automatización es Viable: Los sistemas multi-agente con LLMs especializados por roles pueden automatizar con éxito las tareas complejas de correlacionar evidencia fragmentada, validar la fiabilidad y generar informes estructurados.
• Oportunidad (Timeliness): El monitoreo automatizado de las redes sociales puede reducir significativamente el tiempo de detección de amenazas emergentes en comparación con la recolección basada en feeds tradicionales, proporcionando inteligencia accionable antes de que las vulnerabilidades sean catalogadas oficialmente o ampliamente diseminadas.

Los autores enfatizan que su enfoque explícitamente intercambia un modesto aumento en los falsos negativos por una supresión significativa de los falsos positivos, priorizando la fiabilidad requerida para la integración directa en los Centros de Operaciones de Seguridad (SOC).