Resumen Técnico: TACTIC-KG

Definición del Problema

La construcción de Grafos de Conocimiento de Ciberseguridad (CSKG) a partir de informes de Inteligencia de Amenazas Cibernéticas (CTI) enfrenta desafíos significativos debido a la naturaleza no estructurada, heterogénea y ruidosa del texto de origen. Aunque los Modelos de Lenguaje Extensos (LLM) se han aplicado para automatizar esta extracción, los enfoques monolíticos que dependen de modelos únicos y grandes suelen sufrir de altos costos de despliegue, control limitado y un rendimiento inestable. Específicamente, estos sistemas luchan con:

• Alucinación y Fidelidad: Generar triples plausibles pero no sustentados (por ejemplo, inferir roles de atacantes o vínculos temporales no declarados explícitamente).
• Sobre-completitud: Forzar artificialmente la conectividad del grafo para crear cadenas de ataque completas, incluso cuando la evidencia es parcial o inconexa.
• Compromisos de Tamaño de Contexto: Las ventanas de contexto grandes pueden diluir la atención en modelos ligeros, mientras que las ventanas pequeñas conducen a errores de omisión.

Los sistemas de vanguardia actuales (por ejemplo, CTINEXUS) a menudo dependen del Aprendizaje en Contexto (ICL) con modelos masivos (por ejemplo, de 671B de parámetros) o pipelines complejos de generación aumentada por recuperación (RAG), que pueden ser frágiles, costosos y sensibles a la calidad de la recuperación.

Metodología: Marco de Trabajo TACTIC-KG

El artículo presenta TACTIC-KG, un marco agéntico que reformula la construcción de CSKG como un proceso de razonamiento controlado y de múltiples etapas. En lugar de una única tarea de inferencia monolítica, el marco descompone el flujo de trabajo en agentes de LLM especializados y ligeros (3B–8B de parámetros) utilizando Adaptación de Bajo Rango (LoRA). El principio de diseño central es "fidelidad antes que conectividad".

Arquitectura del Flujo de Trabajo

El pipeline procesa informes de CTI sin procesar a través de las siguientes etapas:

1. Fragmentación Semántica (Semantic Chunking): Los informes largos se segmentan en los límites de oraciones o discursos con un solapamiento controlado para preservar la coherencia semántica local y evitar la dilución del contexto.
2. Agente Extractor: Genera triples candidatos $(h, r, t)$ estrictamente fundamentados en los fragmentos de texto. No realiza tipificación ni razonamiento global, evitando la abstracción prematura.
3. Agente Tipificador (Typer Agent): Asigna tipos semánticos conformes a la ontología (por ejemplo, MALOnt, STIX 2.1) a las entidades basándose en el contexto local y la semántica de la relación. Opera dentro de un espacio de etiquetas cerrado para evitar la deriva ontológica.
4. Agente Verificador: Actúa como una etapa de filtrado, realizando una clasificación binaria para determinar si un triplete tipificado está SUSTENTADO o NO_SUSTENTADO por evidencia textual explícita o implícita. Impone una suposición de mundo cerrado, rechazando relaciones plausibles pero no declaradas.
5. Agente Curador: Realiza la sanitización final, incluyendo la deduplicación, la normalización de entidades (resolución de alias) y la reparación estructural mínima. Introduce nuevos bordes solo cuando es lógicamente necesario y está respaldado por evidencia, actuando como un cortafuegos estructural contra las alucinaciones.

Implementación Técnica

• Especialización de Modelos: El marco utiliza modelos ligeros (por ejemplo, Ministral-3B, Ministral-8B, Qwen3-8B) ajustados mediante LoRA. Esto permite adaptadores modulares y específicos para cada agente que reducen la huella de memoria GPU y permiten actualizaciones independientes.
• Estrategia de Entrenamiento:
  • Los Extractores son entrenados en fragmentos de informes con formatos de salida JSON estrictos.
  • Los Tipificadores son entrenados bajo un espacio de etiquetas cerrado embebido en los prompts.
  • Los Verificadores son entrenados como clasificadores binarios a nivel de triplete en corpus anotados para distinguir entre relaciones sustentadas y no sustentadas.
  • Los Curadores son entrenados para predecir conjuntos mínimos de tripletos de puente para conectar componentes del grafo sin alucinar bordes no sustentados.

Contribuciones Clave

1. Descomposición Agéntica: El artículo propone cambiar de la generación monolítica a un sistema multi-agente donde la extracción, tipificación, verificación y curación son manejadas por agentes especializados. Esto reduce la entropía de la tarea y localiza los riesgos de alucinación.
2. Imposición de Fidelidad: Al separar explícitamente la generación de la verificación e imponer una suposición de mundo cerrado al nivel del triplete, TACTIC-KG reduce significativamente las relaciones alucinadas y la sobre-completitud.
3. Rendimiento Costo-Eficiente: El marco demuestra que los modelos ligeros (3B–8B), cuando son especializados vía LoRA y orquestados en un pipeline multi-agente, pueden superar o igualar a modelos monolíticos mucho más grandes (por ejemplo, DeepSeek-V3.1 671B) en calidad de extracción y consistencia del grafo.
4. Fundamentación Ontológica: El sistema integra restricciones ontológicas (MALOnt) directamente en las etapas de tipificación y verificación, asegurando que los grafos resultantes sean estructuralmente consistentes y accionables.

Resultados Experimentales

El marco fue evaluado en informes de CTI anotados por humanos (benchmarks CTI-HAL y CTINEXUS) frente a líneas base de vanguardia, incluyendo CTINEXUS con varios modelos grandes (DeepSeek-V3.1, Kimi-K2, Devstral-2).

• Calidad de Extracción: TACTIC-KG logró puntuaciones F1 más altas y mejoró significativamente el recall en comparación con las líneas base monolíticas. Por ejemplo, en TEST2, la variante Ministral-3-8B alcanzó un F1 de 78 y una Similitud de Grafo de 63, superando a DeepSeek-V3.1 (F1: 66, Grafo: 52).
• Recall vs. Precisión: La especialización de los agentes permitió un control explícito sobre el compromiso entre precisión y recall. Los extractores lograron un alto recall (hasta 90%), mientras que los verificadores y curadores mantuvieron una precisión estable, filtrando las alucinaciones sin sacrificar la cobertura.
• Tipificación y Fundamentación: TACTIC-KG demostró una precisión de tipificación superior (Precisión de Tipificación Parcial de hasta 72% frente al 69% de DeepSeek) y una mejor fundamentación semántica, atribuido a la reducción de la carga cognitiva en los agentes individuales y a la verificación consciente de la ontología.
• Eficiencia de Datos: El marco requirió solo una cantidad moderada de datos de entrenamiento (aproximadamente 200 fragmentos) para alcanzar un alto rendimiento, demostrando que la diversidad de los datos es más crítica que el volumen bruto.
• Diseño Híbrido: Los experimentos mostraron que el uso de un modelo de razonamiento más fuerte y compartido para la verificación y la curación (manteniendo la extracción especializada) mejoró aún más la estabilidad y la consistencia.

Significado y Reivindicaciones

El artículo afirma que TACTIC-KG ofrece una alternativa robusta y costo-eficiente a los enfoques de LLM monolíticos para la construcción de CSKG. Al tratar el problema como un proceso de razonamiento multi-agente controlado, el marco:

• Minimiza la Alucinación: Las etapas explícitas de verificación y curación evitan la propagación de hechos no sustentados.
• Mejora la Estabilidad: Los agentes modulares reducen la varianza en el rendimiento que se observa frecuentemente con los modelos de un solo paso y de gran tamaño.
• Permite el Despliegue: El uso de modelos ligeros hace que el sistema sea factible para organizaciones con recursos computacionales limitados, incluyendo posibles aplicaciones empresariales donde la privacidad de los datos requiere despliegue local.

Los autores concluyen que, si bien la precisión total de la tipificación sigue siendo un desafío para todos los sistemas, la descomposición de tareas en agentes especializados proporciona un equilibrio superior entre precisión, estabilidad y costo-eficiencia para la construcción de Grafos de Conocimiento de Inteligencia de Amenazas Cibernéticas accionables.