💻 computer science

When LLMs Team Up: A Coordinated Attack Framework for Automated Cyber Intrusions

Questo documento introduce CAESAR, un framework multi-agente coordinato che scompone i flussi di lavoro automatizzati per l'intrusione in ruoli specializzati con rigorosi controlli di provenienza e budget, dimostrando tassi di successo migliorati e una varianza ridotta nelle attività CTF rispetto alle linee di base a singolo agente.

Autori originali: Minfeng Qi, Tianqing Zhu, Zijie Xu, Congcong Zhu, Qin Wang, Wanlei Zhou

Pubblicato 2026-05-12

📖 5 min di lettura🧠 Approfondimento

CC BY 4.0

Autori originali: Minfeng Qi, Tianqing Zhu, Zijie Xu, Congcong Zhu, Qin Wang, Wanlei Zhou

Articolo originale sotto licenza CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Questa è una spiegazione generata dall'IA dell'articolo qui sotto. Non è stata scritta né approvata dagli autori. Per precisione tecnica, consulta l'articolo originale. Leggi il disclaimer completo

Immagina un team di hacker che cerca di infiltrarsi in una cassaforte digitale altamente sicura. In passato, avrebbero potuto affidarsi a un unico "super-hacker" geniale per fare tutto: osservare la porta, indovinare il meccanismo della serratura, provare a scassinarla e poi verificare se erano riusciti a entrare. Ma proprio come un essere umano, quel singolo super-hacker può stancarsi, confondersi o commettere un errore che rovina l'intero piano.

Questo documento introduce CAESAR, un nuovo metodo per far lavorare insieme i computer basati sull'intelligenza artificiale (chiamati Modelli Linguistici di Grande Dimensione) come un team coordinato per automatizzare questi attacchi informatici. Invece di un'unica intelligenza artificiale che fa tutto, CAESAR suddivide il lavoro in cinque ruoli specializzati, molto simili a una squadra di un film sulla rapina.

I Cinque Ruoli (La Squadra della Rapina)

Il Detective: Questa intelligenza artificiale è la sentinella. Non tenta ancora di entrare; si limita a osservare. Raccoglie indizi, legge file e prende appunti su come appare il bersaglio.
Lo Stratega: Questa intelligenza artificiale è il pianificatore. Prende gli appunti del Detective e traccia una mappa dei possibili modi per entrare. Crea diversi scenari "cosa succederebbe se".
Il Generale: Questa intelligenza artificiale è il project manager. Esamina i piani dello Stratega, verifica il budget (quanto tempo di elaborazione e denaro hanno a disposizione) e seleziona il singolo piano migliore da eseguire.
L'Esecutore: Questa intelligenza artificiale è la forza muscolare. Esegue effettivamente gli strumenti, digita i comandi e tenta di forzare la serratura in base al piano del Generale.
Il Validatore: Questo è il ruolo più importante. È l'ispettore del controllo qualità. Osserva tutto ciò che fa il team. Se l'Esecutore commette un errore o trova qualcosa di falso, il Validatore dice: "No, scarta quello". Permette solo che le informazioni buone e verificate vengano salvate per il turno successivo.

Come Lavorano Insieme: Il Sistema dei "Turni"

Il team non chatta a caso. Lavora in turni rigorosi, come i livelli di un videogioco.

Turno 1: Il Detective raccoglie indizi. Lo Stratega fa un'ipotesi. Il Generale sceglie un piano. L'Esecutore lo prova.
Il Controllo: Il Validatore esamina il risultato. Ha funzionato? Se sì, ottimo! Se no, il Validatore scarta le idee sbagliate e salva solo gli indizi utili.
Turno 2: Il team ricomincia, ma questa volta dispone di una "banca di memoria" di ciò che ha funzionato e di ciò che non ha funzionato. Non commettono due volte gli stessi errori.

Questo è diverso da un'unica intelligenza artificiale, che potrebbe rimanere bloccata in un ciclo di tentativi della stessa idea sbagliata più e più volte perché dimentica di aver già fallito. CAESAR costringe il team a imparare da ogni fallimento prima di passare al passo successivo.

Gli Esperimenti: CTF e Ingegneria Sociale

I ricercatori hanno testato questo sistema in due modi:

I Giochi "Capture the Flag" (CTF): Hanno utilizzato 25 enigmi reali di cybersecurity (come risolvere un complesso problema matematico o decifrare un codice).
- Il Risultato: Il team CAESAR ha risolto questi enigmi molto più spesso e molto più velocemente di un'unica intelligenza artificiale che lavorava da sola. Anche se l'unica intelligenza artificiale era molto intelligente, continuava a rimanere bloccata. Il team, con i suoi ruoli specializzati e il controllo qualità, continuava ad avanzare.
- L'Analogia: È come cercare di risolvere un gigantesco puzzle. Una persona potrebbe frustrarsi e arrendersi. Ma un team in cui una persona ordina i pezzi dei bordi, un'altra trova i pezzi del cielo blu e un supervisore verifica se i pezzi si incastrano, completerà il puzzle molto più velocemente.
Il Test di "Ingegneria Sociale": Hanno anche verificato se questa struttura a team funziona quando non ci sono computer da hackerare, ma persone (simulate dall'intelligenza artificiale) da ingannare.
- Il Risultato: Il team era migliore nell'ingannare un "dirigente" simulato per fargli rivelare segreti senza farsi scoprire. Hanno utilizzato voci e tattiche diverse, verificando con il Validatore di non essere troppo evidenti.
- La Conclusione: Questo suggerisce che la "struttura a team" funziona anche quando l'attacco non riguarda il codice, ma la conversazione.

Perché Questo È Importante per la Difesa

Il documento avverte che, man mano che l'intelligenza artificiale migliora, gli attori malintenzionati non useranno più un'unica intelligenza artificiale "super-intelligente" per hackerarci. Useranno team di intelligenze artificiali che lavorano insieme proprio in questo modo.

Il Problema: I sistemi di sicurezza attuali esaminano un messaggio alla volta. Potrebbero vedere un Detective che fa una domanda innocua e un Generale che fa un normale seguito, e pensare: "Va bene". Non colgono il fatto che questi messaggi fanno parte di un piano d'attacco coordinato e multi-step.
La Soluzione: I difensori devono smettere di guardare solo le parole e iniziare a osservare la struttura. Devono cercare segni di un team: un Detective che raccoglie informazioni, un Validatore che le verifica e un pattern di ruoli che lavorano insieme nel tempo.

Sintesi

CAESAR dimostra che quando gli agenti di intelligenza artificiale lavorano in un team strutturato con ruoli chiari e un rigoroso passaggio di "controllo qualità", diventano molto più pericolosi (ed efficaci) di un'unica intelligenza artificiale che lavora da sola. Non diventano solo più intelligenti; diventano migliori nel non arrendersi e nel non commettere due volte gli stessi errori. Il documento conclude che, per difendersi da questo, dobbiamo osservare questi "comportamenti di squadra" piuttosto che limitarci a filtrare le parole cattive.

Riepilogo Tecnico: CAESAR – Un Framework Multi-Agente Coordinato per Intrusioni Cyber Automatizzate

1. Enunciato del Problema

I Large Language Models (LLM) hanno dimostrato capacità in compiti di sicurezza offensiva, come la triage delle vulnerabilità e la stesura di exploit. Tuttavia, gli approcci attuali basati su un singolo agente comprimono l'intero flusso di lavoro di intrusione – estrazione delle prove, pianificazione, esecuzione e validazione – in un unico contesto conversazionale. Questa compressione porta a deriva del contesto, propagazione degli errori e allucinazioni, in particolare in campagne complesse e multi-fase come le Minacce Persistenti Avanzate (APT).

Le campagne di intrusione reali richiedono fasi interdipendenti (ricognizione, formulazione di ipotesi, costruzione di exploit, attività post-compromissione) che superano il budget di token pratico e la coerenza di memoria di una singola chiamata LLM. I sistemi multi-agente esistenti si concentrano spesso sulla collaborazione o sul dibattito generale, ma non riescono a modellare esplicitamente i confini dei ruoli, la provenienza degli artefatti e i vincoli di costo rigorosi (token, tempo, rischio) necessari per un ragionamento avversario e multi-fase. Di conseguenza, le pipeline a singolo agente collassano spesso in sequenze di prova ed errore che non convergono in domini eterogenei come l'analisi binaria o l'inferenza algebrica.

2. Metodologia: Il Framework CAESAR

Il documento presenta CAESAR (Coordinated Adversarial Execution and Strategic Reasoning), un framework multi-agente coordinato progettato per operationalizzare flussi di lavoro di stile intrusione attraverso un protocollo strutturato a round.

A. Modello Formale e Architettura

CAESAR è formalizzato come una tupla $F = \langle R, E, K, W, \Pi, V \rangle$ , operante su un ambiente target $E$ con un budget operativo limitato $\Gamma = \langle c_{tok}, c_{time}, c_{risk} \rangle$ . Il framework scompone il flusso di lavoro in cinque operatori di ruolo tipizzati:

Detective (D): Estrae caratteristiche salienti e prove dall'ambiente target.
Stratega (S): Organizza le prove in grafi di ipotesi, costruendo percorsi di soluzione alternativi.
Generale (G): Valuta le ipotesi rispetto al vettore di budget e seleziona un piano eseguibile, assegnando azioni a specifici esecutori.
Esecutore (E): Invoca strumenti specifici di dominio (ad es. debugger, disassemblatori) per eseguire azioni atomiche.
Validatore (V): Esamina le tracce di esecuzione, convalida gli esiti e gestisce la promozione di pattern affidabili in una base di conoscenza persistente.

B. Il Protocollo a Round

Il framework esegue in round discreti, ciascuno dei quali procede attraverso sei fasi:

Inizializzazione: Viene creata una snapshot in sola lettura della base di conoscenza persistente ( $K$ ) per il round.
Raccolta delle Prove: Il Detective emette azioni di osservazione limitate, generando artefatti di prova strutturati.
Costruzione delle Ipotesi: Lo Stratega costruisce un grafo di ipotesi utilizzando le prove correnti e i pattern riutilizzabili da $K$ .
Formazione del Piano: Il Generale valuta le ipotesi utilizzando una funzione di utilità $U_G$ che bilancia la probabilità di successo contro i costi di token, tempo e rischio. Un piano viene negoziato e assegnato agli esecutori.
Esecuzione del Compito: Gli esecutori invocano strumenti ed emettono tracce strutturate.
Valutazione e Promozione: Il Validatore valuta tutti gli artefatti. Solo quelli che superano una soglia di promozione $\tau_{prom}$ vengono conferiti nella base di conoscenza persistente $K$ come voci tipizzate (Pattern, Capacità o Feedback).

C. Meccanismi Chiave

Promozione della Conoscenza Gestita dal Validatore: Per prevenire l'amplificazione degli errori, solo gli artefatti convalidati e ad alta confidenza vengono promossi a $K$ . Ciò garantisce che i round successivi si basino su osservazioni verificate piuttosto che su stati allucinati.
Artefatti Tipizzati e Provenienza: Ogni artefatto porta un tipo, un hash dei contenuti e un link di provenienza, permettendo al Validatore di auditare i prodotti intermedi rispetto alle specifiche.
Pianificazione Consapevole del Budget: Il Generale ottimizza esplicitamente per un vettore di compromesso, assicurando che i piani rimangano entro i limiti di token, tempo e rischio.
Isolamento in Scrittura: I ruoli hanno accesso in scrittura isolato alle loro partizioni di workspace specifiche, con il Validatore che agisce come unico scrittore nella base di conoscenza condivisa.

3. Contributi Chiave

Proposta di Framework: L'introduzione di CAESAR, che operationalizza la specializzazione dei ruoli, la memoria gestita dal validatore e la pianificazione consapevole del budget sotto un protocollo formale a round tipizzato.
Valutazione Sistematica: Una valutazione completa su 25 sfide CTF reali (Reverse, Pwn, Crypto, Misc, Web) attraverso quattro backend LLM contemporanei (GPT-5, Gemini 2.5, Grok-4, DeepSeek-R1).
Studio di Generalizzazione: Uno studio secondario che dimostra come il pattern di coordinamento si trasferisca a scenari di infiltrazione tramite ingegneria sociale, ottenendo un successo di estrazione più elevato e un rischio di rilevamento inferiore rispetto alle baseline a singolo agente.
Insight Difensivi: Evidenze empiriche che suggeriscono che la struttura di coordinamento, piuttosto che la capacità grezza del modello, guida la forza emergente dell'attacco, implicando la necessità di un monitoraggio strutturale delle dinamiche dei ruoli.

4. Risultati e Analisi

La valutazione ha confrontato CAESAR con baseline a singolo agente sotto identici accessi agli strumenti e vincoli di budget.

Tassi di Successo ed Efficienza: CAESAR ha costantemente migliorato i tassi di successo dei compiti e ridotto il tempo di risoluzione in tutte e cinque le categorie CTF. Ad esempio, nella categoria Reverse con GPT-5, il tasso di successo è migliorato di +0,36 e il tempo di risoluzione è sceso da ~54 minuti (singolo agente) a ~24 minuti (multi-agente).
Comportamento Adattivo: Il framework ha dimostrato apprendimento adattivo. Le prestazioni si sono stabilizzate dopo un piccolo numero di round di successo, con la memoria gestita dal validatore che ha soppresso l'amplificazione degli errori. I punteggi dei ruoli (assegnati dal Validatore) hanno mostrato una riconfigurazione vicino alle esecuzioni di successo, indicando che il sistema ha appreso dai feedback convalidati.
Agnosticismo del Backend: I benefici della coordinazione sono stati coerenti su tutti e quattro i backend LLM. Sebbene le prestazioni grezze variassero per modello (ad es. Grok-4 ha mostrato punteggi di ragionamento più alti nei compiti Crypto), il guadagno relativo fornito dalla struttura multi-agente è stato stabile. Ciò suggerisce che il miglioramento deriva dal protocollo di coordinamento piuttosto che da capacità specifiche del modello.
Trasferimento nell'Ingegneria Sociale: Nello studio sull'ingegneria sociale, il team multi-agente ha ottenuto 3/3 segreti senza rilevamento entro il Round 10, mentre la baseline a singolo agente ha ottenuto solo 1/3. L'approccio multi-agente è riuscito a passare dal sondaggio diretto (che ha innescato il rilevamento) a strategie di elicitarazione indiretta.

5. Significato e Affermazioni

Il documento afferma che la coordinazione, piuttosto che l'intelligenza grezza del modello, è il fattore dominante nell'efficacia dell'attacco osservata.

Vulnerabilità Strutturale: I risultati suggeriscono che i futuri avversari guidati dall'IA si manifesteranno probabilmente come insiemi distribuiti che scambiano informazioni parziali e affinano strategie attraverso i round, piuttosto che come istanze singole "superintelligenti".
Implicazioni Difensive: Le attuali salvaguardie a livello di contenuto (filtri di input/output, livelli di allineamento) sono insufficienti perché valutano i messaggi in isolamento. Un attaccante coordinato distribuisce l'intento attraverso ruoli e round, facendo sì che il segnale dannoso emerga solo quando i messaggi sono correlati.
Spostamento nella Difesa: Gli autori sostengono che la difesa deve spostarsi dal filtraggio basato sui contenuti al monitoraggio strutturale delle dinamiche dei ruoli, della provenienza degli artefatti e della formazione di strategie cross-messaggio. I segnali a livello di protocollo esternalizzati da CAESAR (ad es. riferimenti ripetuti a entità protette tra gli agenti, specializzazione graduale dei ruoli) sono proposti come le quantità necessarie per la difesa strutturale.

Limitazioni Riconosciute

Gli autori notano esplicitamente che:

Le sfide CTF sono proxy semplificati per le intrusioni reali, privi di difensori attivi e vincoli persistenti.
Il framework non è stato testato contro sistemi di produzione live e irrobustiti.
Lo studio sull'ingegneria sociale ha utilizzato personaggi basati su LLM, non esseri umani reali, limitando le affermazioni sull'efficacia operativa contro la cognizione umana effettiva.
Il protocollo assume agenti cooperativi; ruoli bizantini o ingannevoli sono fuori portata.