i-EXAM: Instructable and Explainable Attack Connectivity Graph Modeler

Resumen Técnico de i-EXAM: Modelador de Grafos de Conectividad de Ataque Instruible y Explicable

Planteamiento del Problema
Asegurar y administrar redes a gran escala es inherentemente desafiante porque una sola modificación en un componente de la red puede alterar drásticamente la postura de seguridad y la resiliencia general. Los enfoques tradicionales suelen tener dificultades para razonar simultáneamente sobre los vectores de ataque y la funcionalidad de la red. Aunque el marco SPEAR propuso anteriormente el uso de un Grafo de Conectividad de Ataque (ACG) —un hipergrafo compilado en un problema de planificación PDDL— para identificar los impactos de los ataques, sigue existiendo la necesidad de una herramienta interactiva y accesible que permita a los administradores de sistemas (sysadmins) visualizar estas relaciones complejas, realizar análisis de tipo "qué pasaría si" (what-if) y comprender la lógica detrás de las estrategias de endurecimiento de seguridad sin requerir experiencia en sistemas de planificación automatizada.

Metodología
i-EXAM es una herramienta interactiva construida sobre el marco SPEAR que integra planificadores de IA de vanguardia con Modelos de Lenguaje de Gran Escala (LLMs) para modelar, analizar y explicar la seguridad de la red. La metodología avanza a través de cuatro etapas primarias:

1. Recolección de Datos y Construcción del Modelo:
   i-EXAM automatiza la creación de modelos de planificación mediante la recolección de atributos a nivel de sistema y de red (software, versiones, puertos, protocolos, IPs) utilizando herramientas como Nmap, Wazuh y datos documentados. Recupera información actualizada de vulnerabilidades (CVE) de bases de datos externas (NVD, ExploitDB) a través de escáneres como OpenVAS. Estos datos se estructuran en JSON y se introducen en un generador de PDDL para construir automáticamente modelos de planificación. El formalismo subyacente compila el ACG en un modelo de planificación ($M_G$), donde los fluentes representan pares de atributo-host, las acciones representan aristas de ataque/conectividad y los atributos objetivo sirven como metas.

2. Visualización y Análisis:
   La herramienta renderiza la red como un grafo donde los nodos representan hosts y sus vulnerabilidades asociadas, y las aristas representan conexiones. Soporta la abstracción multinivel, permitiendo a los usuarios hacer clic en los nodos para ver metadatos detallados (puntuaciones CVSS, rutas de archivos, etc.). i-EXAM utiliza un top-k-planner para visualizar múltiples rutas de ataque potenciales hacia un objetivo.
   El sistema se centra en dos métricas de seguridad específicas derivadas del ACG:

• Métrica de Impenetrabilidad ($M_1$): Un indicador binario ($F^I_A(E_A) = 1$) que determina si existe alguna ruta de ataque válida ($|E_A| = 0$).
• Métrica de Dificultad de Ataque ($M_2$): Captura la ruta de ataque de costo mínimo ($F^D_A(E_A) = \min\{|E| \mid E \in E_A\}$).
  Ambas métricas imponen $F^1_C$, asegurando que las estrategias de endurecimiento preserven la conectividad del servicio. Estos problemas se resuelven utilizando la búsqueda A* con la heurística LMCut mediante el planificador Fast-Downward.

3. Análisis de "Qué Pasaría Si" y Selección de Soluciones Diversas:
   Para mejorar la postura de seguridad, i-EXAM identifica modificaciones de red que reducen los valores de las métricas mientras mantienen la disponibilidad del servicio. A diferencia de los grafos de ataque tradicionales, el ACG permite el razonamiento simultáneo sobre ataques y funcionalidades. El sistema emplea una estrategia de selección de soluciones diversas, generando múltiples conjuntos de modificación que se centran en diferentes componentes de la red. Este enfoque reconoce que el "costo" de una modificación es difícil de cuantificar con precisión y depende de factores como la experiencia del administrador de sistemas y la disponibilidad de técnicos, empoderando así a los administradores para tomar decisiones informadas entre diversas opciones.

4. Generación de Explicaciones:
   Para cerrar la brecha entre los resultados de la planificación formal y la comprensión humana, i-EXAM utiliza un LLM (específicamente llama-3.1-nemotos-70b-instruct) para generar explicaciones en lenguaje natural. Utiliza una versión modificada de "explicaciones por restricción de modelo", presentando planes contrafácticos que habrían satisfecho los valores de las métricas anteriores y explicando cómo los cambios propuestos invalidan dichos planes.

Contribuciones Clave

• Herramientas Interactivas: i-EXAM proporciona una interfaz amigable para los administradores de sistemas para visualizar la arquitectura de la red, resaltar rutas de ataque y explorar estrategias de endurecimiento sin necesidad de conocimientos de PDDL o planificación de IA.
• Garantías Formales: Al heredar las garantías de corrección (soundness) y completitud del marco SPEAR, i-EXAM asegura que cualquier plan válido en el modelo corresponda a una ruta de ataque o de conectividad válida en el ACG, y viceversa.
• Pipeline Automatizado: La herramienta automatiza todo el proceso, desde el escaneo de red (Nmap, Wazuh, OpenVAS) hasta la construcción del modelo PDDL, eliminando la necesidad de modelado manual.
• Explicabilidad mediante LLMs: Integra LLMs para traducir trazas de planes contrafácticos estructurados a lenguaje natural, haciendo que la lógica de las recomendaciones de seguridad sea accesible para no expertos.
• Generación de Estrategias Diversas: El sistema genera estrategias de endurecimiento diversas para dar cuenta de la incertidumbre en los costos de implementación y las restricciones.

Resultados y Rendimiento
Las evaluaciones empíricas en redes con aproximadamente 30 nodos (según lo citado en Podder et al. 2025) demuestran que la guía heurística (LMCut) reduce consistentemente el tiempo de computación en aproximadamente un 50% tanto para las métricas de impenetrabilidad como de dificultad de ataque. El top-k-planner logra enumerar rutas de ataque diversas incluso en redes más grandes. El sistema se instancia con éxito en casos de estudio donde puede resaltar objetivos automáticamente, presentar planes de ataque con costos y generar diversas opciones de modificación con sus correspondientes explicaciones de por qué dichas opciones eliminan o aumentan el costo de los ataques.

Significancia y Reivindicaciones
El artículo posiciona a i-EXAM como un puente entre la teoría de la planificación de IA formal y las operaciones de seguridad de red del mundo real. Su principal significancia radica en hacer que el análisis de seguridad basado en la planificación sea accesible para los administradores de sistemas mediante la automatización y la explicación en lenguaje natural. Los autores afirman que la naturaleza independiente del dominio del formalismo ACG basado en PDDL permite que la herramienta se generalice a través de arquitecturas de red y combinaciones de vulnerabilidades arbitrarias sin necesidad de un ajuste fino (fine-tuning) específico para la tarea. Además, el diseño de "humano en el bucle" (human-in-the-loop) asegura que los administradores puedan aplicar su juicio de dominio al seleccionar entre diversas opciones de endurecimiento, mientras que la herramienta gestiona el complejo razonamiento computacional. Este trabajo se presenta como un paso hacia una gestión de redes más resiliente, proponiendo trabajos futuros para funciones de costo aprendidas, estudios de usabilidad con expertos en el dominio y el escalado a redes empresariales más grandes.