🤖 AI

i-EXAM: Instructable and Explainable Attack Connectivity Graph Modeler

i-EXAM est un outil piloté par la planification qui permet aux administrateurs système de modéliser la sécurité complexe des réseaux, d'identifier les chemins d'attaque, et de générer et expliquer diverses stratégies de durcissement en utilisant des modèles de langage de grande taille avec des garanties de correction et d'exhaustivité.

Auteurs originaux : Rakesh Podder, Wadia Ganim, Sarath Sreedharan, Indrajit Ray, Indrakshi Ray

Publié 2026-07-08

📖 5 min de lecture🧠 Analyse approfondie

CC BY 4.0

Auteurs originaux : Rakesh Podder, Wadia Ganim, Sarath Sreedharan, Indrajit Ray, Indrakshi Ray

Article original sous licence CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Ceci est une explication générée par l'IA de l'article ci-dessous. Elle n'a pas été rédigée ni approuvée par les auteurs. Pour une précision technique, consultez l'article original. Lire la clause de non-responsabilité complète

Imaginez que votre réseau informatique est un château massif et complexe, avec des milliers de pièces, des passages secrets et des gardes. Le rôle du « Sysadmin » (administrateur système) est de garder ce château en sécurité contre les intrus. Mais voici le problème : le château est si vaste et complexe que si vous déplacez une pierre ou verrouillez une porte, vous pourriez accidentellement piéger le roi à l'intérieur ou laisser un tunnel secret grand ouvert. Il est difficile de savoir ce qui se passera avant de passer à l'acte.

Entrez en scène i-EXAM, un nouvel outil numérique conçu pour aider ces gardiens de châteaux à planifier leurs défenses sans avoir à deviner.

Le simulateur de « Et si ? »

Considérez i-EXAM comme un simulateur de vol de haute technologie pour la sécurité. Tout comme un pilote s'entraîne à voler dans une tempête avant le décollage, un Sysadmin peut utiliser i-EXAM pour tester des scénarios de type « et si ? ».

L'entrée : L'outil scanne automatiquement le château (le réseau) pour voir quels logiciels sont en cours d'exécution, quelles portes (ports) sont ouvertes et où se trouvent les fissures dans les murs (vulnérabilités). Il recueille ces informations à partir d'outils de sécurité standards et les transforme en une carte numérique.
Le moteur : Sous le capot, i-EXAM utilise un « planificateur » puissant (un type de moteur de logique par IA). Ce planificateur est comme un grand maître d'échecs super intelligent capable de calculer toutes les manières possibles dont un voleur pourrait s'introduire. Il ne se contente pas de deviner ; il prouve mathématiquement exactement comment une attaque se produirait.

Voir l'invisible

L'une des fonctionnalités les plus cool est la carte visuelle.

Imaginez regarder un modèle 3D de votre château où chaque pièce est un point et chaque couloir est une ligne.
Si une pièce possède une serrure fragile (une vulnérabilité), i-EXAM la met en évidence.
Si un voleur peut se faufiler de la porte principale jusqu'à la salle du trésor, l'outil trace une ligne rouge brillante montrant ce chemin exact.
Vous pouvez cliquer sur n'importe quelle partie de la carte pour voir les détails, comme : « Cette porte est fragile parce que la serrure date de 10 ans. »

Le menu « Réparations »

Une fois que l'outil vous a montré comment un voleur pourrait s'introduire, il ne s'arrête pas là. Il agit comme un architecte créatif proposant différents plans de rénovation.

Le Problème : Parfois, réparer un trou peut accidentellement bloquer le facteur qui livre le courrier (interrompre un service).
La Solution : i-EXam propose une liste de différentes façons de réparer le château. Peut-être pouvez-vous changer la serrure de la porte d'entrée, ou peut-être ajouter un garde à la porte latérale. Il vous donne plusieurs options diverses afin que vous puissiez choisir celle qui correspond à votre budget et aux compétences de votre équipe.
La Garantie : L'outil promet que quel que soit le plan qu'il suggère, celui-ci arrêtera réellement le voleur et maintiendra le flux du courrier. C'est mathématiquement prouvé.

Parler comme un humain

C'est ici que l'outil devient vraiment convivial. Habituellement, ces plans de sécurité sont écrits dans un code informatique complexe que seuls les experts comprennent.

Le Traducteur : i-EXAM utilise un « Grand Modèle de Langage » (une IA très avancée qui parle le langage humain) pour traduire les mathématiques de l'ordinateur en un anglais simple.
L'Explication : Au lieu de dire « L'action A invalide le chemin B », il dit au Sysadmin : « Si vous remplacez la serrure de la porte de la bibliothèque, le voleur ne pourra plus s'introduire par la fenêtre car la nouvelle serrure déclenche une alarme qui bloque son chemin. »
Il explique pourquoi un changement fonctionne, ce qui permet à n'importe qui de comprendre facilement la logique derrière la mise à niveau de la sécurité.

Pourquoi c'est important

L'article affirme que cet outil est spécial car :

Il est Automatique : Il construit les modèles de sécurité complexes par lui-même à partir de données de scan standards, de sorte que le Sysadmin n'a pas besoin d'être un génie des mathématiques.
Il est Fiable : Il utilise des règles mathématiques strictes pour garantir que les plans qu'il génère sont réellement possibles et efficaces.
Il est Rapide : Même pour de grands réseaux, il trouve les meilleures solutions rapidement.
Il est Flexible : Il peut gérer tout type de configuration réseau, d'un petit bureau à une grande entreprise.

En résumé, i-EXAM prend les mathématiques effrayantes et complexes de la sécurité réseau et les transforme en un jeu interactif et clair où vous pouvez visualiser les menaces, tester différentes défenses et obtenir une explication en langage courant de la raison pour laquelle votre nouveau plan protégera le château.

Résumé technique de i-EXAM : Modélisateur de graphe de connectivité d'attaque instructible et explicable

Énoncé du problème
Sécuriser et administrer des réseaux à grande échelle est intrinsèquement complexe car une seule modification d'un composant réseau peut radicalement altérer la posture de sécurité globale et la résilience. Les approches traditionnelles peinent souvent à raisonner simultanément sur les vecteurs d'attaque et la fonctionnalité du réseau. Bien que le cadre SPEAR ait précédemment proposé l'utilisation d'un Graphe de Connectivité d'Attaque (ACG) — un hypergraphe compilé en un problème de planification PDDL — pour identifier les impacts d'attaques, il existe un besoin pour un outil interactif et accessible permettant aux administrateurs système (sysadmins) de visualiser ces relations complexes, d'effectuer des analyses de type « what-if » (et si) et de comprendre la logique derrière les stratégies de durcissement de la sécurité sans nécessiter d'expertise en systèmes de planification automatisée.

Méthodologie
i-EXAM est un outil interactif construit sur le cadre SPEAR qui intègre des planificateurs d'IA de pointe avec des modèles de langage étendus (LLM) pour modéliser, analyser et expliquer la sécurité des réseaux. La méthodologie se déroule selon quatre étapes principales :

Collecte de données et construction du modèle :
i-EXAM automatise la création de modèles de planification en collectant des attributs au niveau du système et du réseau (logiciels, versions, ports, protocoles, IP) à l'aide d'outils tels que Nmap, Wazuh et des données documentées. Il récupère des informations actualisées sur les vulnérabilités (CVE) auprès de bases de données externes (NVD, ExploitDB) via des scanners comme OpenVAS. Ces données sont structurées en JSON et injectées dans un générateur PDDL pour construire automatiquement des modèles de planification. Le formalisme sous-jacent compile l'ACG en un modèle de planification ( $M_G$ ) où les fluents représentent des paires hôte-attribut, les actions représentent des arêtes d'attaque/connectivité, et les attributs cibles servent de buts.
Visualisation et analyse :
L'outil rend le réseau sous forme de graphe où les nœuds représentent les hôtes et leurs vulnérabilités associées, et les arêtes représentent les connexions. Il supporte une abstraction multi-niveaux, permettant aux utilisateurs de cliquer sur les nœuds pour obtenir des métadonnées détaillées (scores CVSS, chemins de fichiers, etc.). i-EXAM utilise un « top-k-planner » pour visualiser de multiples chemins d'attaque potentiels vers une cible.
Le système se concentre sur deux métriques de sécurité spécifiques dérivées de l'ACG :

Métrique d'impénétrabilité ( $M_1$ ) : Un indicateur binaire ( $F^I_A(E_A) = 1$ ) déterminant si un chemin d'attaque valide existe ( $|E_A| = 0$ ).
Métrique de difficulté d'attaque ( $M_2$ ) : Capture le chemin d'attaque au coût minimum ( $F^D_A(E_A) = \min\{|E| \mid E \in E_A\}$ ).
Les deux métriques imposent $F^1_C$ , garantissant que les stratégies de durcissement préservent la connectivité des services. Ces problèmes sont résolus à l'aide de la recherche A* avec l'heuristique LMCut via le planificateur Fast-Downward.

Analyse « What-If » et sélection de solutions diverses :
Pour améliorer la posture de sécurité, i-EXAM identifie les modifications de réseau qui réduisent les valeurs des métriques tout en maintenant la disponibilité des services. Contrairement aux graphes d'attaque traditionnels, l'ACG permet de raisonner simultanément sur les attaques et les fonctionnalités. Le système emploie une stratégie de sélection de solutions diverses, générant plusieurs ensembles de modifications qui se concentrent sur différents composants du réseau. Cette approche reconnaît que le « coût » d'une modification est difficile à quantifier précisément et dépend de facteurs tels que l'expertise du sysadmin et la disponibilité des techniciens, permettant ainsi aux administrateurs de faire des choix éclairés parmi des options variées.
Génération d'explications :
Pour combler le fossé entre les sorties de planification formelle et la compréhension humaine, i-EXAM utilise un LLM (spécifiquement llama-3.1-nemotron-70b-instruct) pour générer des explications en langage naturel. Il s'appuie sur une version modifiée de « l'explication par restriction de modèle », présentant des plans contrefactuels qui auraient satisfait les valeurs de métriques précédentes et expliquant comment les changements proposés invalident ces plans.

Contributions clés

Outils interactifs : i-EXAM fournit une interface conviviale pour les sysadmins afin de visualiser l'architecture du réseau, de mettre en évidence les chemins d'attaque et d'explorer les stratégies de durcissement sans avoir besoin de connaissances en PDDL ou en planification IA.
Garanties formelles : En héritant des garanties de correction et de complétude du cadre SPEAR, i-EXAM garantit que tout plan valide dans le modèle correspond à un chemin d'attaque ou de connectivité valide dans l'ACG, et vice versa.
Pipeline automatisé : L'outil automatise l'ensemble du pipeline, du scan du réseau (Nmap, Wazuh, OpenVAS) à la construction du modèle PDDL, éliminant ainsi la nécessité d'une modélisation manuelle.
Explicabilité via les LLM : Il intègre les LLM pour traduire les traces de plans contrefactuels structurées en explications en langage naturel, rendant la logique des recommandations de sécurité accessible aux non-experts.
Génération de stratégies diverses : Le système génère des stratégies de durcissement diverses pour tenir compte de l'incertitude des coûts de mise en œuvre et des contraintes.

Résultats et performances
Les évaluations empiriques sur des réseaux d'environ 30 nœuds (telles que citées par Podder et al. 2025) démontrent que le guidage heuristique (LMCut) réduit systématiquement le temps de calcul d'environ 50 % pour les métriques d'impénétrabilité et de difficulté d'attaque. Le top-k-planner parvient à énumérer des chemins d'attaque diversifiés même dans des réseaux plus larges. Le système s'instancie avec succès dans des cas d'étude où il peut automatiquement mettre en évidence des cibles, présenter des plans d'attaque avec des coûts, et générer des options de modification diverses avec les explications correspondantes sur la raison pour laquelle ces options éliminent ou augmentent le coût des attaques.

Signification et affirmations
L'article positionne i-EXAM comme un pont entre la théorie de la planification IA formelle et les opérations de sécurité réseau réelles. Sa principale signification réside dans le fait de rendre l'analyse de sécurité basée sur la planification accessible aux administrateurs système grâce à l'automatisation et à l'explication en langage naturel. Les auteurs affirment que la nature indépendante du domaine du formalisme ACG basé sur PDDL permet à l'outil de se généraliser à des topologies de réseau et des combinaisons de vulnérabilités arbitraires sans ajustement spécifique à la tâche. De plus, la conception avec intervention humaine (« human-in-the-loop ») garantit que les administrateurs peuvent appliquer leur jugement métier lors de la sélection parmi diverses options de durcissement, tandis que l'outil gère le raisonnement computationnel complexe. Ce travail est présenté comme une étape vers une gestion de réseau plus résiliente, avec des travaux futurs proposés concernant les fonctions de coût apprises, les études d'utilisabilité avec des experts du domaine et le passage à l'échelle vers des réseaux d'entreprise plus vastes.