CyberThreat-Eval: Can Large Language Models Automate Real-World Threat Research?

Ce papier présente CyberThreat-Eval, un benchmark expert annoté basé sur le flux de travail réel d'une entreprise leader en cybersécurité, qui évalue les capacités des grands modèles de langage à automatiser l'ensemble du processus de recherche de cybermenaces en utilisant des métriques centrées sur l'analyste plutôt que sur le modèle.

L'essentiel

🕵️‍♂️ Le Détective IA : Peut-on laisser les robots enquêter sur les cybercrimes ?

Imaginez que vous êtes un détective privé chargé de résoudre des milliers de crimes numériques chaque jour. Votre travail consiste à trier des montagnes de journaux, à fouiller dans les recoins sombres d'Internet pour trouver des indices, puis à rédiger un rapport final qui explique qui a fait quoi, comment et pourquoi.

C'est exactement le travail des analystes en Cyber Threat Intelligence (CTI). Mais aujourd'hui, ils sont submergés. Alors, on a demandé aux Intelligences Artificielles (IA) de les aider.

Ce papier pose une question cruciale : Les IA actuelles sont-elles vraiment prêtes à prendre le relais de nos détectives humains ?

Pour répondre, les chercheurs (de Microsoft et de l'Université de Hong Kong) ont créé un nouvel outil de test appelé CyberThreat-Eval. Voici comment tout cela fonctionne, expliqué avec des analogies simples.

---

1. Le Problème : Les anciens examens étaient trop "scolaires" 📝

Auparavant, pour tester les IA, on leur posait des questions à choix multiples (QCM) du style : "Qui est le méchant de cette attaque ? A) Google, B) Microsoft, C) Un pirate."

C'est comme tester un chef cuisinier en lui demandant de cocher "Oui" ou "Non" sur une liste d'ingrédients. Ce n'est pas la vraie vie !

• La réalité : Un vrai détective ne reçoit pas de QCM. Il reçoit un article de journal flou et doit dire : "Est-ce important ?" (Triage), "Cherchons d'autres preuves" (Recherche approfondie), puis "Écrivons le rapport" (Rédaction).
• Le défaut des IA : Elles sont excellentes pour mémoriser des faits (comme un élève qui apprend par cœur), mais elles échouent souvent quand il faut faire des liens complexes, éviter les fausses pistes ou écrire un rapport cohérent.

2. La Solution : Le "Grand Jeu" de la Cyberdéfense 🎮

Les chercheurs ont créé CyberThreat-Eval, un terrain d'entraînement qui imite le vrai travail quotidien d'un analyste, en trois étapes :

Étape 1 : Le Tri (Triage) 🗂️

• L'analogie : Imaginez que vous recevez 100 courriers par jour. Votre tâche est de jeter les publicités inutiles et de garder les lettres importantes.
• Ce que l'IA fait : Elle lit des articles et doit dire : "Ceci est une menace grave" ou "C'est du bruit".
• Le résultat : Les IA sont très douées pour ne rien rater (elles gardent tout, même les lettres inutiles), mais elles sont trop "paranoïaques". Elles gardent trop de choses, ce qui surcharge les humains.

Étape 2 : La Recherche Approfondie (Deep Search) 🔍

• L'analogie : Vous avez un indice (un article). Maintenant, vous devez aller sur Internet pour trouver d'autres articles qui parlent du même crime pour avoir plus de détails.
• Ce que l'IA fait : Elle cherche des liens web supplémentaires.
• Le résultat : Les IA classiques trouvent beaucoup de liens, mais les IA "entraînées" (spécialisées) sont parfois trop timides et ne cherchent pas assez loin.

Étape 3 : La Rédaction du Rapport (TI Drafting) 📝

• L'analogie : C'est le moment de rédiger le rapport final pour le chef. Il faut lister les empreintes digitales (les IoCs), expliquer la méthode du criminel (les TTPs), et raconter l'histoire.
• Ce que l'IA fait : Elle écrit le rapport.
• Le résultat :
  • Les IA sont très bonnes pour expliquer comment le crime a été commis (les faits techniques).
  • Elles sont mauvaises pour deviner qui est le criminel (le profil) et pour trouver les bonnes empreintes digitales. Elles inventent parfois des détails (ce qu'on appelle des hallucinations), comme un détective qui invente un suspect pour combler un vide.

---

3. La Révélation : L'IA seule ne suffit pas 🤖 + 🧑‍💼

Le papier conclut que l'IA est un super assistant, mais pas encore un chef d'équipe.

• Elle peut lire 1000 articles en une seconde.
• Mais elle a besoin d'un humain pour vérifier si elle ne s'est pas trompée sur l'identité du méchant ou sur les empreintes digitales.

4. La Solution Magique : TRA (L'Agent de Recherche de Menaces) 🛡️

Pour résoudre ce problème, les auteurs ont créé un système appelé TRA. C'est comme un cercle vertueux entre l'IA et l'humain :

1. L'IA fait le gros œuvre : Elle lit, cherche et rédige un premier brouillon.
2. L'humain vérifie : Un expert humain lit le brouillon, corrige les erreurs et ajoute des détails que l'IA a oubliés.
3. L'IA apprend : Le système prend ces corrections et s'améliore pour la prochaine fois.
4. La base de données externe : Le système va aussi vérifier les indices (comme les numéros de téléphone ou les adresses IP) dans des bases de données officielles (comme un annuaire téléphonique vérifié) pour s'assurer qu'ils sont réels et ne pas inventer de fausses preuves.

L'analogie finale :
Imaginez que l'IA est un stagiaire très rapide mais inexpérimenté. Il remplit des dossiers en un éclair, mais il fait des erreurs de nom et invente des faits.
Le système TRA, c'est le mentor qui s'assoit à côté du stagiaire, vérifie chaque page, corrige les erreurs, et lui dit : "Non, ce n'est pas ce criminel, c'est celui-là. Et vérifie cette adresse dans l'annuaire avant de l'écrire."

En résumé 🌟

Ce papier nous dit :

• Les IA sont prêtes à nous aider à trier et à chercher, mais pas encore à décider seules.
• Les anciens tests étaient faux (trop scolaires). Le nouveau test (CyberThreat-Eval) est réaliste.
• L'avenir n'est pas "l'IA remplace l'humain", mais "L'IA + l'Humain = Une équipe imbattable".

C'est une victoire pour la sécurité : grâce à ce système, les rapports de cybermenaces sont plus rapides, plus précis et, surtout, plus sûrs.

Résumé technique

Voici un résumé technique détaillé de l'article "CyberThreat-Eval: Can Large Language Models Automate Real-World Threat Research?", publié dans les Transactions on Machine Learning Research.

1. Problématique et Contexte

L'analyse des renseignements d'origine ouverte (OSINT) est cruciale pour la production de rapports de renseignement sur les cybermenaces (CTI). Ce processus suit traditionnellement un flux de travail en trois étapes :

1. Triage : Priorisation des articles pertinents.
2. Recherche approfondie (Deep Search) : Collecte de preuves supplémentaires et de liens connexes.
3. Rédaction de rapports TI (TI Drafting) : Synthèse des informations (IoC, techniques ATT&CK, narratifs) en un rapport final.

Bien que les Grands Modèles de Langage (LLM) offrent un potentiel d'automatisation, les benchmarks existants présentent trois limitations majeures qui empêchent une évaluation réaliste :

• Formats de tâches irréalistes : Ils reposent souvent sur des questions à choix multiples ou des Q&R, ne reflétant pas le travail réel des analystes qui doivent synthétiser et investiguer.
• Métriques centrées sur le modèle : Les métriques actuelles (comme ROUGE, BERTScore) privilégient le chevauchement lexicale plutôt que la précision factuelle, la qualité de l'information ou le coût opérationnel, ce qui peut favoriser des résumés vides mais "bien notés" par les algorithmes.
• Couverture fragmentée : Aucun benchmark public ne couvre l'intégralité du flux de travail end-to-end (tri, recherche, rédaction).

2. Méthodologie : CyberThreat-Eval

Pour combler ces lacunes, les auteurs ont développé CyberThreat-Eval, un benchmark annoté par des experts, dérivé du flux de travail quotidien d'une entreprise technologique mondiale.

Construction des Données

Le benchmark utilise des données réelles de l'industrie, annotées par des experts en sécurité. Il se divise en trois catégories de tâches correspondant aux étapes du flux de travail :

• Triage :
  • Tri d'articles : Déterminer si un article doit être accepté ou rejeté pour analyse.
  • Attribution de priorité : Assigner un score de priorité (1 à 5) basé sur la sévérité et la cible de la menace.
• Recherche approfondie (Deep Search) :
  • À partir d'une URL initiale, le modèle doit identifier d'autres URL contenant des informations supplémentaires et pertinentes (nouveaux faits, détails techniques, perspectives analytiques).
• Rédaction de rapports TI (TI Drafting) :
  • Extraction d'IoC : Identification précise des indicateurs de compromission (hashes, IPs, domaines).
  • Identification des TTPs : Mapping des comportements adverses vers le cadre MITRE ATT&CK.
  • Génération de contenu : Rédaction de narratifs sur les acteurs de la menace (Threat Actors) et les causes racines (Root Causes).

Métriques Centrées sur l'Analyste

Contrairement aux approches précédentes, l'évaluation utilise des métriques pratiques :

• Précision et Rappel : Pour le tri et l'extraction.
• Exactitude factuelle et Qualité du contenu : Évaluées par des experts humains (ou un LLM-juge calibré) sur des dimensions comme la pertinence, la clarté, la cohérence et l'attribution des sources.
• Efficacité opérationnelle : Temps de traitement et consommation de tokens (coût).

3. Résultats Expérimentaux

Les auteurs ont évalué quatre modèles : deux modèles de base (GPT-4o, o3-mini) et deux versions affinées (Fine-Tuned) sur des données CTI.

• Triage : Les modèles montrent un rappel élevé (>0.90) mais une précision faible (<0.40), tendant à accepter trop d'articles non pertinents, ce qui augmente la charge de travail des analystes.
• Recherche approfondie : Les modèles de base (GPT-4o, o3-mini) trouvent plus d'URLs avec des informations supplémentaires que les modèles affinés, suggérant que l'affinage peut rendre les modèles trop conservateurs ou "fermés" sur leurs connaissances internes.
• Extraction d'IoC : Les modèles de base obtiennent une bonne précision (~0.82-0.85), mais l'efficacité varie considérablement (o3-mini est beaucoup plus lent et coûteux).
• Identification des TTPs (MITRE ATT&CK) : C'est le point faible majeur. Tous les modèles affichent une précision et un rappel très faibles (<0.35), indiquant une difficulté à raisonner sur les comportements adverses complexes.
• Génération de contenu :
  • Les modèles sont excellents pour expliquer les causes racines (faits techniques, mécanismes d'attaque).
  • Ils échouent souvent sur les profils d'acteurs de menace, produisant des contenus vagues, incomplets ou hallucinés, manquant de profondeur contextuelle (campagnes historiques, impacts stratégiques).
• Compromis Coût-Performance : Il existe un arbitrage clair : améliorer la précision (ex: o3-mini) augmente drastiquement le temps et le coût, tandis que l'optimisation pour la vitesse réduit la qualité.

4. Contribution Majeure : Le Threat Research Agent (TRA)

Pour pallier les limites des LLM autonomes (hallucinations, manque de contexte expert, difficulté de vérification), les auteurs proposent TRA (Threat Research Agent), un framework end-to-end intégrant une boucle humaine (Human-in-the-Loop).

• Architecture : TRA combine des LLM pour la recherche initiale et la synthèse, avec des bases de connaissances externes vérifiées (ex: VirusTotal) pour valider les IoC et les TTPs.
• Boucle de rétroaction experte : Les experts humains valident, corrigent et enrichissent les ébauches générées. Ces retours sont utilisés pour affiner le système.
• Résultats avec TRA :
  • Augmentation de la précision d'extraction des IoC de 26 points de pourcentage.
  • Amélioration significative de la précision pour l'identification des TTPs (passant de 0.28 à 0.42 pour o3-mini).
  • Génération de narratifs sur les acteurs de menace atteignant des scores d'experts > 4.5/5 en pertinence et clarté.
  • Réduction de la latence pour certains modèles grâce à une meilleure orchestration.

5. Signification et Conclusion

CyberThreat-Eval établit un nouveau standard pour l'évaluation des LLM en cybersécurité, en passant de l'évaluation académique (Q&R, métriques textuelles) à une évaluation opérationnelle réaliste.

Les conclusions clés sont :

1. Les LLM actuels sont efficaces pour la récupération d'informations mais manquent de raisonnement nuancé et de précision pour les tâches complexes de CTI (TTPs, attribution d'acteurs).
2. L'automatisation pure (sans supervision) n'est pas encore viable pour un flux de travail complet en raison des risques d'hallucination et de manque de contexte.
3. L'approche hybride TRA, qui intègre des bases de vérité terrain externes et une validation humaine itérative, est la voie la plus prometteuse pour transformer les LLM en assistants fiables pour les analystes de sécurité, permettant de produire des rapports "prêts à publier" avec une haute confiance.

Ce travail souligne que l'avenir de l'automatisation en CTI ne réside pas uniquement dans l'amélioration des modèles de base, mais dans l'ingénierie de systèmes robustes intégrant vérification externe et expertise humaine.