Fully Automated End-to-End Adversary Emulation from MITRE ATT\&CK Based Cyber Threat Intelligence Using LLMs
Cet article présente un cadre de bout en bout entièrement automatisé qui exploite les LLM pour générer, exécuter et réviser de manière itérative des playbooks Caldera à partir de rapports de CTI alignés sur MITRE ATT&CK, surpassant de manière significative les systèmes de l'état de l'art précédents comme AURORA en atteignant des taux de réussite d'exécution élevés grâce à un mécanisme de récupération de défaillance efficace.
Article original sous licence CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Ceci est une explication générée par l'IA de l'article ci-dessous. Elle n'a pas été rédigée ni approuvée par les auteurs. Pour une précision technique, consultez l'article original. Lire la clause de non-responsabilité complète
Imaginez le monde numérique comme une ville géante et bouillonnante où des méchants essaient constamment de cambrioler des banques, de voler des secrets ou de semer le chaos. Pour garder cette ville en sécurité, les gardiens de la sécurité (les défenseurs cyber) doivent savoir exactement comment ces méchants pensent et agissent. Mais voici le hic : les méchants deviennent de plus en plus intelligents, rapides et créatifs chaque jour. Pour garder une longueur d'avance, les défenseurs doivent s'entraîner à combattre ces attaques spécifiques et réelles. C'est ce qu'on appelle l'« émulation d'adversaire ». C'est comme un exercice incendie, mais au lieu de fumée et de tuyaux, on utilise des simulations numériques pour voir si leurs systèmes de sécurité peuvent repérer et arrêter un pirate informatique.
Le problème est que ces « exercices incendie » sont incroyablement difficiles à organiser. Généralement, un expert humain doit lire un rapport long et compliqué sur une attaque cyber récente, comprendre exactement ce que le pirate a fait, puis écrire manuellement un script pour que son ordinateur fasse la même chose. C'est comme essayer de construire un château de Lego complexe en lisant un manuel écrit dans une langue étrangère, puis en construisant brique par brique les yeux fermés. Cela prend un temps fou, coûte beaucoup d'argent, et si vous faites une toute petite erreur, tout le château s'écroule. Ce document pose une grande question : pouvons-nous apprendre à un ordinateur super intelligent (une IA) à lire ces rapports, à construire le château de Lego pour nous, et même à le réparer s'il s'écroule, le tout sans que nous ayons besoin de lever le petit doigt ?
Les chercheurs de ce document disent : « Oui, nous le pouvons ! » Ils ont construit un système de robot entièrement automatisé qui agit comme un maître constructeur numérique. Voici comment il fonctionne : d'abord, le système lit un rapport de menace cyber réelle (ce qui est comme une histoire racontant le casse d'un pirate). Ensuite, il utilise un cerveau d'IA puissant pour traduire cette histoire en un ensemble d'instructions appelées « playbook » (livre de jeu). Considérez ce playbook comme une recette pour une cyberattaque. Le système prépare ensuite cette recette dans une cuisine de test (un réseau informatique sûr et isolé) pour voir si elle fonctionne.
Mais voici la partie magique : par le passé, si la recette échouait parce que le four était trop chaud ou que les ingrédients manquaient, l'humain devait intervenir, comprendre ce qui n'allait pas et réécrire la recette. Ce nouveau système ne attend pas un humain. Si l'attaque échoue, le système regarde instantanément l'erreur, devine ce qui a mal tourné (comme « Oups, j'ai utilisé le mauvais mot de passe » ou « Le chemin du fichier est manquant ») et essaie de corriger la recette de lui-même. Il continue d'essayer et de peaufiner les instructions jusqu'à ce que l'attaque se déroule sans accroc.
L'équipe a testé ce système sur 11 histoires d'attaques réelles différentes. Ils ont constaté que le système était étonnamment doué pour sa tâche. En utilisant le meilleur modèle d'IA qu'ils aient testé (appelé Claude Sonnet 4.5), le système a réussi à construire et à exécuter les recettes d'attaque environ 84 % du temps après avoir corrigé ses propres erreurs. Avant que le système ne commence à corriger les choses, il ne réussissait qu'environ 70 % du temps. Cela signifie que la fonction d'« auto-réparation » a été d'une aide précieuse, augmentant le taux de réussite d'environ 15 points de pourcentage.
Les chercheurs ont également comparé leur robot constructeur au meilleur système actuel dirigé par l'homme (appelé AURORA). Leur robot était non seulement entièrement automatique, mais il parvenait également à créer des plans d'attaque plus détaillés et réussissait plus souvent que l'ancien champion. Il a fallu au système moins de 200 secondes et seulement environ 35 cents de puissance de calcul informatique pour créer et corriger un playbook pour chaque rapport. En revanche, des humains pourraient mettre des mois pour faire le même travail manuellement.
Le document suggère que cette approche est une étape majeure car elle élimine le besoin pour les humains de surveiller constamment le processus. Cependant, les chercheurs sont prudents et notent que, bien que le système soit impressionnant, il n'est pas parfait. Parfois, l'environnement est simplement trop différent de ce que l'IA attendait, et le robot ne peut pas corriger le problème, peu importe ses efforts. Mais pour la grande majorité des cas, ce robot « auto-guérisseur » prouve que nous pouvons automatiser l'ensemble du processus d'apprentissage à partir des attaques passées et de test de nos défenses contre elles, rendant nos villes numériques beaucoup plus sûres et nos équipes de sécurité beaucoup plus efficaces.
Noyé(e) sous les articles dans votre domaine ?
Recevez des digests quotidiens des articles les plus récents correspondant à vos mots-clés de recherche — avec des résumés techniques, dans votre langue.