Résumé Technique : CATBridge – Améliorer l'alignement CVE-ATT&CK dans les environnements à faibles ressources

1. Énoncé du Problème

L'alignement des vulnérabilités et expositions communes (CVE) avec le framework MITRE ATT&CK est crucial pour la défense active, mais il fait face à des défis importants dans les environnements à faibles ressources caractérisés par une puissance de calcul limitée et une rareté d'échantillons étiquetés de haute qualité.

Les approches existantes se répartissent en trois catégories, chacune présentant des limites distinctes :

• Apprentissage Automatique (ML) et Apprentissage Profond (DL) : Bien qu'offrant une haute précision de détection, ces méthodes peinent à capturer les associations sémantiques profondes entre des descriptions de vulnérabilités spécifiques (ex: « dépassement de tampon » / buffer overflow) et des tactiques d'attaque macro-niveau (ex: « escalade de privilèges » / privilege escalation). Elles reposent souvent sur des caractéristiques textuelles de surface ou nécessitent des jeux de données étiquetés massifs et des ressources de calcul importantes.
• Grands Modèles de Langage (LLM) basés sur le Prompt : Des modèles comme GPT-5 ou DeepSeek-R1 possèdent une forte compréhension sémantique mais souffrent de coûts de calcul élevés, d'une faible efficacité d'inférence et de préoccupations liées à la confidentialité des données, ce qui les rend peu pratiques pour un déploiement dans des contextes à ressources contraintes.
• Petits LLM affinés (Fine-tuned) : Bien qu'efficaces en termes de calcul et déployables, les petits modèles (ex: 7 milliards de paramètres) manquent de connaissances approfondies dans le domaine de la cybersécurité. Ils peinent à appréhender les schémas d'attaque complexes, ce qui entraîne de mauvaises performances sur les données de la « longue traîne » (long-tail) et des difficultés à distinguer des techniques similaires.

L'article identifie trois défis spécifiques liés à l'utilisation des LLM pour cette tâche dans des environnements à faibles ressources :

1. Distribution de Longue Traîne : Les données CVE sont déséquilibrées, les techniques ATT&CK rares manquant d'échantillons d'entraînement suffisants. Les connaissances extraites des grands modèles ont tendance à être biaisées en faveur des échantillons des classes dominantes (head-class).
2. Écart Sémantique : Un décalage existe entre les détails techniques des CVE et les objectifs tactiques d'ATT&CK. Les petits modèles ne parviennent pas à saisir le raisonnement implicite nécessaire pour faire le pont entre « l'exploitation de la vulnérabilité » et « l'intention de l'attaquant ».
3. Similitude Technique : De nombreuses techniques ATT&CK partagent des sémantiques fonctionnelles de surface (ex: exécution de code) mais diffèrent fondamentalement dans leur intention tactique. Les grands modèles peuvent trop accentuer les fonctions partagées, échouant ainsi à fournir la logique discriminante nécessaire pour que les petits modèles apprennent des frontières de décision claires.

2. Méthodologie : Le Framework CATBridge

Les auteurs proposent CATBridge, un framework d'amélioration des connaissances multi-étapes qui établit un mécanisme de collaboration « enseignant-élève » (teacher-student). Un LLM à grande échelle (l'Enseignant) agit comme un expert du domaine pour guider un petit LLM léger (l'Élève) à travers trois étapes progressives.

Étape 1 : Amélioration Ciblée des Données

Pour traiter le problème de la distribution de longue traîne (C1), le framework utilise une ingénierie de prompt raffinée pour guider le modèle Enseignant dans la synthèse d'échantillons CVE de haute qualité pour les catégories de techniques ATT&CK rares.

• Mécanisme : L'Enseignant joue le rôle d'un « Expert en Modélisation de Vulnérabilités de Cybersécurité ». Il reçoit un identifiant de technique cible et des échantillons CVE de départ, puis génère des descriptions de CVE logiquement cohérentes et sémantiquement standardisées, spécifiquement pour les techniques sous-représentées.
• Objectif : Atténuer la rareté des échantillons sans déformer les sémantiques comportementales clés, en élargissant efficacement les données d'entraînement pour les classes de la longue traîne.

Étape 2 : Amélioration des Connaissances du Domaine

Pour combler l'écart sémantique (C2), le framework construit un Graphe de Connaissances sur les Vulnérabilités afin de créer une chaîne logique allant de la CVE à l'ATT&CK.

• Construction du Graphe de Connaissances : L'Enseignant extrait des connaissances structurées du domaine (CWE pour les faiblesses, CAPEC pour les schémas d'attaque) à partir des échantillons CVE améliorés. Les entités (Vulnérabilité, Faiblesse, Schéma d'Attaque, Tactique/Technique) et les relations (hasWeakness, exploitedBy, mapsToTechnique) sont organisées en un graphe.
• Extraction de la Chaîne de Connaissances : Un algorithme parcourt le graphe pour extraire des chaînes complètes : CVE → CWE → CAPEC → ATT&CK.
• Entraînement de l'Élève : Ces chaînes sont sérialisées en contextes textuels explicites et incorporées dans les données d'entraînement de l'Élève via un ajustement fin supervisé (SFT). Cela permet à l'Élève d'apprendre directement les relations logiques inter-sources, plutôt que de compter sur des chemins de raisonnement opaques.

Étape 3 : Amélioration des Connaissances de Raisonnement

Pour traiter la similitude technique et améliorer la discrimination (C3), le framework utilise des techniques de Chaîne de Pensée (Chain-of-Thought - CoT).

• Génération d'Abstraits Discriminants : Pour les paires de techniques ATT&CK similaires que l'Élève peine à distinguer, l'Enseignant génère des résumés structurés analysant trois dimensions basées sur le Cyber Kill Chain :
  1. Précondition : État du système ou permissions d'accès requises.
  2. Actions Centrales : Opérations atomiques fondamentales exécutées.
  3. Résultats Obtenus : Résultats et impacts au niveau tactique.
• Entraînement de l'Élève : L'Élève subit une seconde étape de SFT où les instances d'entraînement associent les échantillons CVE à ces abstraits discriminants générés par l'Enseignant. Cela transfère la logique de raisonnement explicite, permettant à l'Élève d'apprendre des frontières de décision claires entre des techniques confuses.

3. Contributions Clés

• Acquisition de Connaissances Pilotée par LLM : L'article introduit un pipeline « enseignant-élève » qui extrait des connaissances professionnelles de grands modèles pour affiner de petits modèles. Cela répond au compromis entre les coûts élevés des grands modèles et la rareté des connaissances des petits modèles dans les environnements à faibles ressources.
• Amélioration des Connaissances Multi-étapes : Le framework propose un processus novateur en trois étapes (Données Ciblées, Connaissances du Domaine et Connaissances de Raisonnement) qui complète l'ajustement fin standard, améliorant significativement la précision de l'alignement.
• Performance dans les Environnements à Faibles Ressources : L'étude démontre qu'un modèle léger de 7 milliards de paramètres, amélioré par ce framework, peut surpasser les méthodes SOTA traditionnelles et les modèles généralistes à large échelle en mode zero-shot (ex: GPT-5, DeepSeek-R1 671B) dans des contextes de ressources limitées.

4. Résultats Expérimentaux

Le framework a été évalué sur le jeu de test ChatGPT-VDMEval (7 013 échantillons) en utilisant un modèle élève Qwen2.5-7B-instruct.

• Performance Globale : CATBridge a atteint une précision (accuracy) de 83,50 %, une précision (precision) de 90,98 %, un rappel (recall) de 93,01 % et un score F1 de 85,55 %.
• Gains Comparatifs :
  • vs SOTA : Une amélioration absolue de 33,29 points de pourcentage par rapport à la meilleure base de référence (GuardLink, 50,21 %).
  • vs Grands Modèles Zero-shot : Une amélioration moyenne de 46,24 points de pourcentage par rapport aux grands modèles généralistes en zero-shot (GPT-5, DeepSeek-R1, Qwen3).
  • vs SFT de Base : Une amélioration de 41,15 points de pourcentage par rapport au même modèle élève entraîné avec un SFT standard sans le pipeline d'amélioration (42,35 % vs 83,50 %).
• Étude d'Ablation : Les résultats ont confirmé que chaque étape apportait des gains distincts. L'amélioration des connaissances du domaine a fourni le plus grand saut par étape (+16,28 pp de précision), tandis que l'amélioration des connaissances de raisonnement a affiné davantage la performance (+11,04 pp).
• Scénarios Few-shot et Zero-shot :
  • En configuration few-shot (14 techniques de la longue traîne), le framework a fait passer la précision de 25,33 % à 90,94 %.
  • En configuration zero-shot (8 techniques non vues), la précision est passée de 0,96 % à 75,73 %, démontrant de fortes capacités de généralisation.
• Compatibilité du Modèle : Le framework a montré une performance robuste sur différents modèles élèves (Mistral-7B, Llama3-8B, Gemma2-9B, Qwen2.5-7B), indiquant qu'il n'est pas dépendant d'une architecture spécifique.

5. Signification et Revendications

L'article affirme que CATBridge est l'un des premiers travaux à introduire un pipeline d'amélioration des connaissances enseignant-élève multi-étapes spécifiquement pour l'alignement CVE-ATT&CK, allant au-delà des approches antérieures de simple ajustement fin ou de modèles à templates enchaînés.

Sa principale importance réside dans :

1. Efficacité des Ressources : Il réduit considérablement la dépendance vis-à-vis des données étiquetées à grande échelle et des ressources de calcul massives, permettant une corrélation fiable des connaissances sur les menaces dans des environnements à ressources limitées.
2. Déploiement Pratique : Il permet le déploiement de modèles légers (7B) qui atteignent des niveaux de performance comparables ou supérieurs à des modèles beaucoup plus grands en zero-shot, rendant la gouvernance automatisée des vulnérabilités réalisable pour les organisations disposant d'infrastructures limitées.
3. Avancée Méthodologique : En transférant explicitement la logique de raisonnement et les chaînes de connaissances du domaine plutôt que de simples étiquettes finales, le framework traite la nature « boîte noire » du raisonnement des LLM, offrant un chemin structuré pour que les petits modèles apprennent des mappages sémantiques complexes.

Les auteurs reconnaissent des limites, notant que les données de pré-entraînement du modèle enseignant peuvent contenir certains enregistrements CVE (potentielle contamination des données), bien qu'ils soutiennent que les gains proviennent du transfert de connaissances structurées plutôt que de la mémorisation. Ils notent également les limites actuelles de l'interprétabilité des sorties et proposent des travaux futurs sur la visualisation de l'attention pour aider les analystes de sécurité.