🤖 machine learning

TACTIC-KG: Toward Small Agent Teams for Cyber Threat Intelligence Knowledge Graph Construction

TACTIC-KG è un framework agentico ed economico che costruisce Knowledge Graph per la cybersecurity da report sulle minacce non strutturati, scomponendo il compito in ruoli specializzati per modelli LLM leggeri, superando così i modelli grandi e monolitici in termini di accuratezza, stabilità ed efficienza.

Autori originali: Mouhamed Amine Bouchiha, Gregory Blanc

Pubblicato 2026-07-08

📖 5 min di lettura🧠 Approfondimento

CC BY 4.0

Autori originali: Mouhamed Amine Bouchiha, Gregory Blanc

Articolo originale sotto licenza CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Questa è una spiegazione generata dall'IA dell'articolo qui sotto. Non è stata scritta né approvata dagli autori. Per precisione tecnica, consulta l'articolo originale. Leggi il disclaimer completo

Immagina di cercare di costruire una mappa enorme e dettagliata di una città, ma invece di avere dei progetti, hai solo migliaia di diari disordinosi e scritti a mano da persone diverse. Alcuni di questi diari sono chiari, altri sono scarabocchiati, altri ancora sono contraddittori o semplicemente inventati. Questo è ciò che gli esperti di cybersicurezza affrontano quando cercano di trasformare i rapporti di Cyber Threat Intelligence (CTI) in Knowledge Graphs (Grafi di Conoscenza). Questi rapporti descrivono hacker, i loro strumenti e i loro attacchi, ma sono scritti in un testo non strutturato e disordinato.

Il documento presenta un nuovo sistema chiamato TACTIC-KG per risolvere questo problema. Ecco come funziona, utilizzando delle semplici analogie:

Il vecchio modo: L'artista solista "Super-Genio"

In precedenza, i ricercatori cercavano di usare un unico, gigantesco e potentissimo IA (un modello "monolitico") per leggere il diario disordinoso, comprendere la storia, trovare i nomi di hacker e strumenti, capire come sono connessi e disegnare la mappa, tutto in una volta sola.

Pensa a questo come se stessi assumendo un unico Artista Super-Genio per fare l'intero lavoro da solo.

Il Problema: Anche i geni si stancano. Quando la storia è troppo lunga o troppo complessa, il Super-Genio inizia ad allucinare. Potrebbe inventare una connessione tra due persone che non è mai esistita, o potrebbe dimenticare un dettaglio chiave perché stava cercando di fare troppe cose contemporaneamente.
Il Costo: Questo Super-Genio è anche incredibilmente costoso da assumere e lento nel lavorare.

Il nuovo modo: Il "Team Specializzato" (TACTIC-KG)

Gli autori di questo articolo dicono: "Perché affidarsi a un unico genio sovraccarico? Assumiamo un piccolo team di lavoratori specializzati".

TACTIC-KG suddivide il lavoro in quattro ruoli distinti, gestiti da agenti IA più piccoli, economici e focalizzati. Lavorano in linea, passando il lavoro lungo la catena:

L'Estrattore (Lo Scavatore):
- Il Lavoro: Questo agente si limita a guardare il testo ed estrarre pezzi grezzi di informazione (come "Pegasus", "iOS", "NSO Group"). Non si preoccupa ancora di cosa significhino; raccoglie solo i fatti.
- Analogia: Come un uccello sciacallo che raccoglie oggetti lucidi da terra. Prende tutto ciò che sembra interessante senza giudicare se sia un diamante o un pezzo di vetro.
Lo Scrittore (L'Etichettatore):
- Il Lavoro: Questo agente prende gli oggetti lucidi che lo scavatore ha trovato e li mette nelle scatole giuste. "Pegasus" è un Malware? "NSO Group" è un' Organizzazione?
- Analogia: Come un bibliotecario che prende i libri portati dallo scavatore e li ripone sugli scaffali corretti (Narrativa, Storia, Scienza).
Il Verificatore (Il Controllo dei Fatti):
- Il Lavoro: Questo è il passaggio nuovo e più importante. Questo agente guarda gli elementi etichettati e si chiede: "Il diario originale diceva davvero questo?". Se lo scavatore e l'etichettatore hanno fatto una supposizione non supportata dal testo, il Verificatore la scarta.
- Analogia: Come un editor severo che controlla un articolo di cronaca. Se il giornalista afferma "Il sospettato era a Parigi", ma il testo sorgente dice solo "Il sospettato era in Europa", l'editor taglia l'affermazione specifica. Questo impedisce al sistema di inventare cose (allucinazioni).
Il Curatore (Il Cartografo):
- Il Lavoro: Questo agente prende i fatti verificati e li connette in una mappa finale e pulita. Corregge i piccoli errori, unisce i nomi duplicati (come "TrickBot" e "Trick Bot") e assicura che la mappa abbia senso logico senza aggiungere ponti falsi.
- Analogia: Come un cartografo che disegna la mappa finale, assicurandosi che le strade si colleghino logicamente e rimuovendo eventuali ponti che non portano da nessuna parte.

Perché questo team è migliore

Il documento sostiene che questo approccio basato sul team è superiore al "Super-Genio" per tre ragioni principali:

Meno Allucinazioni: Poiché il Verificatore agisce come un rigoroso guardiano, il team non inventa accidentalmente connessioni false. Il "Super-Genio" spesso cerca di essere troppo utile e riempie i vuoti con delle supposizioni; questo team riempie i vuoti solo se il testo lo supporta esplicitamente.
Miglior Recall (Trovare di più): Lo "Scavatore" ha il permesso di prendere tutto ciò che vede, anche se non è sicuro. Successivamente, il "Controllo dei Fatti" separa il buono dal cattivo. Ciò significa che perdono meno minacce reali rispetto al modello singolo, che potrebbe essere sopraffatto e saltare dei dettagli.
Più Economico e Veloce: Invece di usare un unico, enorme ed costoso cervello informatico, il team utilizza diversi cervelli più piccoli e leggeri (da 3 a 8 miliardi di parametri). È come usare un team di stagisti efficienti invece di un unico dirigente altamente pagato e lento.

I Risultati

Quando gli autori hanno testato questo sistema su veri rapporti di cybersicurezza, hanno scoperto che:

Il team di piccoli agenti era più accurato nel trovare ed etichettare le minacce rispetto ai grandi modelli singoli.
Le mappe (Knowledge Graphs) che hanno costruito erano più coerenti e avevano meno connessioni false.
Hanno ottenuto questi risultati utilizzando modelli informatici molto più piccoli e meno costosi.

In breve, TACTIC-KG dimostra che per compiti complessi come la mappatura delle minacce informatiche, un team ben organizzato di specialisti è migliore di una singola superstar sovraccarica.

Sintesi Tecnica: TACTIC-KG

Definizione del Problema

La costruzione di Knowledge Graph per la Cybersecurity (CSKG) a partire da report di Cyber Threat Intelligence (CTI) affronta sfide significative dovute alla natura non strutturata, eterogenea e rumorosa del testo sorgente. Sebbene i Large Language Models (LLM) siano stati applicati per automatizzare questa estrazione, gli approcci monolitici che si affidano a singoli modelli di grandi dimensioni spesso soffrono di elevati costi di implementazione, limitata controllabilità e prestazioni instabili. Nello specifico, questi sistemi faticano con:

Allucinazione e Fedeltà (Faithfulness): Generazione di triple plausibili ma non supportate (ad esempio, inferire ruoli degli attaccanti o legami temporali non esplicitamente dichiarati).
Sovra-completamento (Over-Completion): Forzatura artificiale della connettività del grafo per creare catene di attacco complete, anche quando le prove sono parziali o disconnesse.
Compromessi sulla Dimensione del Contesto: Le ampie finestre di contesto possono diluire l'attenzione nei modelli leggeri, mentre le finestre piccole portano a errori di omissione.

I sistemi allo stato dell'arte esistenti (ad esempio, CTINEXUS) si affidano spesso all'In-Context Learning (ICL) con modelli massicci (ad esempio, da 671B di parametri) o a complesse pipeline di Retrieval-Augmented Generation (RAG), che possono essere fragili, costose e sensibili alla qualità del recupero (retrieval).

Metodologia: Framework TACTIC-KG

Il documento introduce TACTIC-KG, un framework agentico che riformula la costruzione di CSKG come un processo di ragionamento controllato e multistadio. Invece di un singolo compito di inferenza monolitico, il framework decompone il flusso di lavoro in agenti LLM specializzati e leggeri (3B–8B di parametri) utilizzando il Low-Rank Adaptation (LoRA). Il principio di design centrale è "fedeltà prima della connettività".

Architettura del Flusso di Lavoro

La pipeline elabora i report CTI grezzi attraverso i seguenti stadi:

Segmentazione Semantica (Semantic Chunking): I report lunghi vengono segmentati ai confini di frasi o di discorso con una sovrapposizione controllata per preservare la coerenza semantica locale e prevenire la diluizione del contesto.
Agente Estrattore (Extractor Agent): Genera triple candidate $(h, r, t)$ strettamente ancorate ai chunk di testo. Non esegue tipizzazione o ragionamento globale, prevenendo astrazioni premature.
Agente Tipizzatore (Typer Agent): Assegna tipi semantici conformi all'ontologia (ad esempio, MALOnt, STIX 2.1) alle entità basandosi sul contesto locale e sulla semantica delle relazioni. Opera all'interno di uno spazio di etichette chiuso per prevenire la deriva ontologica.
Agente Verificatore (Verifier Agent): Agisce come uno stadio di filtraggio, eseguendo una classificazione binaria per determinare se una tripla tipizzata è SUPPORTATA o NON_SUPPORTATA da evidenze testuali esplicite o implicite. Impone un'assunzione di mondo chiuso, rifiutando relazioni plausibili ma non dichiarate.
Agente Curatore (Curator Agent): Esegue la sanificazione finale, inclusa la deduplicazione, la normalizzazione delle entità (risoluzione degli alias) e la riparazione strutturale minima. Introduce nuovi archi solo quando logicamente necessari e supportati da evidenze, agendo come un firewall strutturale contro le allucinazioni.

Implementazione Tecnica

Specializzazione dei Modelli: Il framework utilizza modelli leggeri (ad esempio, Ministral-3B, Ministral-8B, Qwen3-8B) perfezionati tramite LoRA. Ciò consente l'uso di adapter modulari e specifici per ogni agente, riducendo l'impronta di memoria GPU e consentendo aggiornamenti indipendenti.
Strategia di Addestramento:
- Gli Estrattori sono addestrati su report segmentati con formati di output JSON rigorosi.
- I Tipizzatori sono addestrati sotto uno spazio di etichette chiuso incorporato nei prompt.
- I Verificatori sono addestrati come classificatori binari a livello di tripla su corpora annotati per distinguere tra relazioni supportate e non supportate.
- I Curatori sono addestrati per predire set minimi di triple di collegamento per connettere le componenti del grafo senza allucinare archi non supportati.

Contributi Chiave

Decomposizione Agentica: Il documento propone di passare dalla generazione monolitica a un sistema multi-agente dove estrazione, tipizzazione, verifica e curatela sono gestite da agenti specializzati. Ciò riduce l'entropia del compito e localizza i rischi di allucinazione.
Imposizione della Fedeltà (Faithfulness Enforcement): Separando esplicitamente la generazione dalla verifica e imponendo un'assunzione di mondo chiuso a livello di tripla, TACTIC-KG riduce significamente le relazioni allucinate e il sovra-completamento.
Prestazioni Efficienti in termini di Costi: Il framework dimostra che modelli leggeri (3B–8B), quando specializzati tramite LoRA e orchestrati in una pipeline multi-agente, possono superare o eguagliare modelli molto più grandi e monolitici (ad esempio, DeepSeek-V3.1 671B) in termini di qualità dell'estrazione e coerenza del grafo.
Ancoraggio Ontologico (Ontology Grounding): Il sistema integra i vincoli ontologici (MALOnt) direttamente negli stadi di tipizzazione e verifica, garantendo che i grafi risultanti siano strutturalmente coerenti e azionabili.

Risultati Sperimentali

Il framework è stato valutato su report CTI annotati da umani (benchmark CTI-HAL e CTINEXUS) contro baseline allo stato dell'arte, inclusi CTINEXUS con vari modelli grandi (DeepSeek-V3.1, Kimi-K2, Devstral-2).

Qualità dell'Estrazione: TACTIC-KG ha ottenuto F1-score più elevati e un richiamo (recall) significativamente migliorato rispetto alle baseline monolitiche. Ad esempio, su TEST2, la variante Ministral-3-8B ha raggiunto un F1 di 78 e una Similarità di Grafo di 63, superando DeepSeek-V3.1 (F1: 66, Grafo: 52).
Recall vs. Precision: La specializzazione degli agenti ha permesso un controllo esplicito sul compromesso precisione-richiamo. Gli estrattori hanno ottenuto un alto richiamo (fino al 90%), mentre i verificatori e i curatori hanno mantenuto una precisione stabile, filtrando le allucinazioni senza sacrificare la copertura.
Tipizzazione e Ancoraggio: TACTIC-KG ha dimostrato una precisione di tipizzazione superiore (Accuratezza di Tipizzazione Parziale fino al 72% contro il 69% di DeepSeek) e un migliore ancoraggio semantico, grazie alla riduzione del carico cognitivo sui singoli agenti e alla verifica consapevole dell'ontologia.
Efficienza dei Dati: Il framework ha richiesto solo una quantità moderata di dati di addestramento (circa 200 chunk) per raggiungere prestazioni elevate, con la diversità dei dati che si è rivelata più critica del volume puro.
Design Ibrido: Gli esperimenti hanno mostato che l'utilizzo di un modello di ragionamento più forte e condiviso per la verifica e la curatela (mantenendo l'estrazione specializzata) ha ulteriormente migliorato la stabilità e la coerenza.

Significato e Rivendicazioni

Il documento afferma che TACTIC-KG offre un'alternativa robusta ed efficiente in termini di costi agli approcci monolitici basati su LLM per la costruzione di CSKG. Trattando il problema come un processo di ragionamento multi-agente controllato, il framework:

Minimizza le Allucinazioni: La verifica e la curatela esplicite impediscono la propagazione di fatti non supportati.
Migliora la Stabilità: Gli agenti modulari riducono la varianza nelle prestazioni spesso riscontrata con i modelli monolitici a singolo passaggio.
Abilita la Distribuzione (Deployment): L'uso di modelli leggeri rende il sistema fattibile per organizzazioni con risorse computazionali limitate, incluse potenziali applicazioni aziendali dove la privacy dei dati richiede l'implementazione locale.

Gli autori concludono che, sebbene la piena accuratezza della tipizzazione rimanga una sfida per tutti i sistemi, la decomposizione dei compiti in agenti specializzati fornisce un equilibrio superiore tra accuratezza, stabilità ed efficienza dei costi per la costruzione di Knowledge Graph di Cyber Threat Intelligence azionabili.