CTIFoundry: An Agent-Native Corpus Scaffold for Cyber Threat Intelligence
Cet article introduit CTIFoundry, un échafaudage de corpus natif pour agents qui matérialise la structure latente de la cyber-intelligence sur les menaces à travers un graphe d'ontologie déterministe et des rapports ancrés dans des segments, améliorant de manière significative les performances et l'efficacité de l'investigation agentique par rapport aux substrats de recherche plats traditionnels.
Article original sous licence CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Ceci est une explication générée par l'IA de l'article ci-dessous. Elle n'a pas été rédigée ni approuvée par les auteurs. Pour une précision technique, consultez l'article original. Lire la clause de non-responsabilité complète
Dans le monde numérique, les experts en sécurité traquent constamment des indices pour savoir qui les attaque et comment. Ce travail, connu sous le nom de renseignement sur les cybermenaces, repose sur de vastes collections de rapports écrits par différentes entreprises et organisations. Pendant des années, la méthode standard pour utiliser ces rapports avec l'intelligence artificielle a consisté à les traiter comme une bibliothèque de livres non organisés. Lorsqu'un programme informatique pose une question, le système recherche les mots les plus similaires dans le texte et en extrait quelques pages. Cette méthode fonctionne bien pour des questions simples, mais elle peine lorsque l'enquête nécessite de relier des points entre différents documents. Un même groupe de hackers peut être appelé par trois noms différents dans trois rapports différents, et les registres officiels qui lient une faille logicielle spécifique à une méthode d'attaque connue sont souvent enfouis au cœur de longs paragraphes de texte. Si l'ordinateur ne peut pas voir ces connexions cachées, il ne peut pas résoudre l'énigme, peu importe l'intelligence du programme d'intelligence artificielle.
Une équipe de chercheurs a découvert que le problème ne réside pas dans l'intelligence de l'ordinateur, mais dans la manière dont l'information est stockée. Ils ont construit un nouveau système appelé CTIFoundry, qui agit comme un cadre spécialisé pour organiser ces rapports de sécurité avant même que l'ordinateur ne tente de les lire. Au lieu de laisser les données sous forme de fouillis de texte, le système construit d'abord une carte claire des faits. Il prend les registres officiels de quatre bases de données de sécurité majeures et les connecte par des lignes précises, montrant exactement quelle faiblesse logicielle mène à quel schéma d'attaque. Il lit ensuite les rapports désordonnés des fournisseurs et trouve les phrases spécifiques qui mentionnent ces groupes ou ces failles connus, en les étiquetant avec leur emplacement exact dans le texte d'origine. Ce processus transforme un tas plat de documents en un réseau structuré où chaque morceau d'information connaît ses voisins et sa source.
Les chercheurs ont testé ce nouveau système en donnant au même agent d'intelligence artificielle deux façons différentes d'accéder à un même ensemble de données de sécurité. Dans un scénario, l'agent utilisait l'ancienne méthode non organisée. Dans l'autre, il utilisait la nouvelle carte structurée. Les résultats ont été frappants. Lorsque l'agent utilisait le nouveau système, sa capacité à répondre correctement aux questions a bondi de manière significative, même lorsque les chercheurs utilisaient un modèle informatique plus petit et moins puissant. En fait, le modèle plus petit utilisant la nouvelle carte a obtenu de meilleurs résultats que le modèle le plus puissant utilisant l'ancien tas de texte non organisé. L'amélioration n'était pas due au fait que l'ordinateur cherchait plus intensément ou lisait plus de pages. Au contraire, l'agent utilisant le nouveau système trouvait les bonnes réponses tout en faisant environ deux fois moins de tentatives de recherche d'informations. Il avait simplement un meilleur chemin à suivre.
L'étude a également révélé pourquoi l'ancienne méthode échouait si souvent. Sans la carte préétablie, l'ordinateur se perdait souvent dans le texte, cherchant des mots similaires qui menaient à des impasses ou à des résultats déroutants. Il passait à côté des liens officiels que les experts avaient déjà rédigés, car ces liens étaient cachés à l'intérieur de longues phrases. Le nouveau système force l'ordinateur à suivre les connexions officielles en premier, traitant le texte comme une source secondaire de détails plutôt que comme le guide primaire. Cette approche s'est avérée si efficace que les chercheurs ont constaté que la structure des données était plus importante que la puissance brute du modèle informatique. Un petit modèle avec une carte claire a surpassé un modèle géant avec une carte désordonnée.
Pour garantir la fiabilité du système, les chercheurs l'ont construit avec des règles strictes qui l'empêchaient d'inventer des faits. Chaque connexion dans la carte devait provenir d'un registre officiel, et chaque morceau de texte extrait d'un rapport devait pointer vers l'endroit exact dans le document d'origine où il a été trouvé. Cela signifiait que l'ordinateur ne pouvait pas inventer de choses ou deviner les réponses. Le système comprenait également un ensemble d'instructions simples, ou d'habitudes, à suivre, comme vérifier la carte officielle avant de chercher des mots similaires. Ces habitudes, combinées à la carte claire, ont créé un effet super-additif, signifiant que les deux parties fonctionnaient mieux ensemble qu'elles ne le feraient séparément.
Le coût de construction de ce nouveau système était étonnamment bas, ne nécessitant qu'une petite quantité de puissance de calcul pour traiter les données initiales. Une fois construit, le système permettait à l'ordinateur de résoudre des enquêtes complexes pour environ deux cents par question. Les chercheurs ont conclu que pour les domaines où l'information est hautement structurée et repose sur des connexions officielles, le principal goulot d'étranglement n'est pas l'intelligence de l'agent artificiel, mais la qualité des données qui lui sont fournies. En organisant les données sous une forme qu'un agent peut naturellement comprendre et parcourir, le système a rendu le processus d'enquête plus rapide, moins coûteux et bien plus précis. Ce travail suggère qu'à l'avenir, la manière la plus efficace d'améliorer l'intelligence artificielle dans des domaines spécialisés ne sera peut-être pas de construire des cerveaux plus intelligents, mais de construire de meilleures bibliothèques pour qu'ils puissent les lire.
Noyé(e) sous les articles dans votre domaine ?
Recevez des digests quotidiens des articles les plus récents correspondant à vos mots-clés de recherche — avec des résumés techniques, dans votre langue.