🤖 AI

Agentic Incident Response through Digital Twin-Enhanced Multiscale Planning

Questo articolo propone un framework di risposta agli incidenti basato su agenti che integra la pianificazione di rollout decisionale-teoretica con un digital twin e agenti LLM leggeri per generare strategie di alto livello e comandi eseguibili, superando significativamente i baseline LLM di frontiera riducendo i tempi di ripristino e aumentando i tassi di recupero in diversi scenari di attacco.

Autori originali: Yiran Gao, Tao Li, Kim Hammar

Pubblicato 2026-08-04

📖 4 min di lettura☕ Lettura da pausa caffè

CC BY 4.0

Autori originali: Yiran Gao, Tao Li, Kim Hammar

Articolo originale sotto licenza CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Questa è una spiegazione generata dall'IA dell'articolo qui sotto. Non è stata scritta né approvata dagli autori. Per precisione tecnica, consulta l'articolo originale. Leggi il disclaimer completo

Immaginate Internet come una città enorme e frenetica, dove milioni di persone, aziende e macchine comunicano costantemente tra loro. A volte, dei malintenzionati si intrufolano, cercando di rubare segreti o di spegnere le centrali elettriche. Nel mondo reale, quando avviene un attacco informatico, di solito è un team di detective altamente qualificati (chiamati operatori di sicurezza) che deve capire cosa stia succando, decidere quale edificio blindare per primo e poi digitare manualmente i comandi per risolvere il problema. È come cercare di spegnere un incendio in un grattacielo mentre l'edificio è ancora in fiamme, usando un manuale che potrebbe essere obsoleto. Questo processo è lento, estenuante e spesso richiede mesi per il ripristino completo, lasciando la città vulnerabile per tutto il tempo.

Per velocizzare le cose, gli scienziati hanno provato due trucchi principali. Il primo è l'uso di "cervelli matematici" (algoritmi) che possono calcolare il piano perfetto, ma questi sono spesso troppo astratti: sanno cosa fare in teoria, ma non sono in grado di digitare i comandi per riparare un vero server. Il secondo trucco è l'uso di "chatbot super intelligenti" (Large Language Models o LLM) che possono leggere i log e scrivere codice. Ma questi chatbot possono essere inaffidabili; a volte inventano cose (allucinazioni) o rimangono bloccati in un loop, cercando di riparare la cosa sbagliata perché mancano di un piano d'azione solido. La grande domanda è: possiamo costruire un sistema che abbia il cervello strategico di un matematico e la capacità pratica di un chatbot, il tutto garantendo una sicurezza sufficiente da poterlo testare prima che tocchi la città reale?

Questo articolo presenta un nuovo e ingegnoso sistema chiamato "Agentic Incident Response" che cerca di risolvere esattamente questo problema. Pensate a questo sistema come a una squadra di soccorso a due livelli che lavora insieme a un "Gemello Digitale" (Digital Twin) — una copia perfetta e virtuale della rete della città, dove possono esercitarsi senza rischiare danni reali.

Ecco come funziona la squadra:

Il Comandante Strategico (Scala Tattica): Per prima cosa, un pianificatore matematico guarda il quadro generale. Non si preoccupa ancora dei minuscoli dettagli del digitare i comandi. Invece, si chiede: "Quale edificio è più critico da salvare proprio ora per impedire al fuoco di diffondersi?". Utilizza un metodo di "rollout", che è come simulare migliaia di futuri possibili per vedere quale ordine di salvataggio degli edifici porti al ripristino più veloce.
L'Agente sul Campo (Scala Operativa): Una volta che il Comandante ha deciso: "Salva prima il server nel seminterrato", un agente IA specializzato (un chatbot leggero e rifinito) prende il comando. Il suo compito è tradurre quell'ordine di alto livello in comandi effettivi ed eseguibili.
La Rete di Sicurezza (Il Gemello Digitale): Prima che l'Agente sul Campo invii qualsiasi comando alla rete reale, testa i comandi nel Gemello Digitale — una replica virtuale del sistema. Se il comando funziona nella simulazione, viene approvato. Se fallisce o causa un crash nel mondo virtuale, viene scartato e l'agente prova un comando diverso. Questo evita che l'IA rompa accidentalmente il sistema reale.

I ricercatori hanno testato questo sistema in un ambiente controllato con cinque server e tre diversi tipi di attacchi informatici (come password deboli, bug del software e injection di comandi). Hanno confrontato il loro sistema con i chatbot "frontier" più avanzati disponibili oggi e con altri metodi automatizzati esistenti.

I risultati sono stati promettenti. Nelle loro simulazioni, questo nuovo team composto da due parti è riuscito a ripristinare il sistema mediamente il 15,1% più velocemente rispetto ai migliori chatbot indipendenti. Ancora più importante, ha recuperato il sistema con una frequenza del 33,6% superiore rispetto a quegli stessi chatbot. Mentre i chatbot di alto livello riuscivano a risolvere il problema circa il 50% o il 75% delle volte, questo nuovo metodo ha mantenuto il suo tasso di successo sopra il 90%.

L'articolo suggerisce che il segreto del successo non sia solo l'uso di un chatbot più intelligente, ma la combinazione della capacità del chatbot di scrivere codice con una strategia rigorosa basata sulla matematica e un controllo di sicurezza in un mondo virtuale. Gli autori osservano che il sistema non è perfetto: se l'ipotesi iniziale su come si muove l'attaccante è errata, il piano potrebbe essere meno efficace. Tuttavia, utilizzando un modello leggero che hanno addestrato specificamente sui dati di incidenti (invece di un modello massiccio e generalista), hanno dimostrato che non serve un supercomputer per ottenere risultati eccellenti. Invece, serve un sistema che sappia quando pianificare, quando agire e quando ricontrollare il proprio lavoro in un ambiente sicuro e virtuale.

Sintesi Tecnica: Risposta agli Incidenti Agenteica attraverso la Pianificazione Multiscala potenziata da Digital Twin

Definizione del Problema

I processi attuali di risposta agli incidenti (IR) sono prevalentemente manuali, basati su operatori di sicurezza e playbook predefiniti. Questo approccio è spesso lento, laborioso e richiede competenze specializzate, con rapporti che indicano come le organizzazioni possano impiegare oltre 100 giorni per rispondere pienamente e riprendersi dagli incidenti di sicurezza. Sebbene siano stati proposti metodi di difesa cibernetica autonoma (ACD) basati su approcci decisionali (ad esempio, Reinforcement Learning, Processi Decisionali di Markov) per automatizzare la pianificazione, essi operano tipicamente a una scala tattica astratta. Questi metodi generano strategie di alto livello (ad esempio, "difendi l'host X"), ma non riescono a produrre comandi operativi eseguibili, limitando la loro applicabilità diretta ai sistemi reali.

Al contrario, gli approcci che utilizzano i Large Language Models (LLM) per generare comandi operativi soffrono di problemi di affidabilità. Gli attuali approcci agentici basati su LLM spesso si affidano a chiamate ripetute senza algoritmi di pianificazione principi, portando a allucinazioni, piani inaffidabili e orizzonti di pianificazione limitati. Inoltre, molti metodi basati su LLM esistenti dipendono da fornitori esterni e mancano della capacità di verificare le azioni prima del dispiegamento.

Esiste un divario critico tra pianificazione tattica (allocazione delle risorse e strategia) ed esecuzione operativa (generazione e verifica di specifici comandi di sistema).

Metodologia

Il documento propone un framework di risposta agli incidenti agenteico multiscala che colma questo divario integrando la pianificazione decisionale con la generazione di comandi basata su LLM, il tutto supportato da un Digital Twin (DT). L'architettura opera su due scale distinte:

1. Formalizzazione: POMDP Fattorizzato

Gli autori modellano la risposta agli incidenti come un Processo Decisionale di Markov Parzialmente Osservabile (POMDP) Fattorizzato:

Spazio degli Stati ( $s_t$ ): Decomposto in uno stato di sicurezza globale ( $g_t$ ) che rappresenta lo stato di compromissione dei componenti di rete (sicuro vs compromesso) e stati di recupero locale ( $\ell_t$ ) che rappresentano il progresso di componenti specifici attraverso sei fasi di risposta (Contenimento, Valutazione, Preservazione, Espulsione, Indurimento, Ripristino).
Azioni ( $a_t$ ): Separate in azioni tattiche (una permutazione che definisce l'ordine di priorità dei componenti da recuperare) e azioni operative (comandi di sistema specifici applicati al componente prioritario).
Funzione di Costo: Minimizza il tempo di recupero penalizzando i ritardi nel recupero di componenti ad alta priorità o critici.

2. L'Architettura Multiscala

Il sistema impiega un Digital Twin che funziona in due modalità:

Modalità Simulazione (Scala Tattica): Un'astrazione leggera della rete utilizzata per simulare la progressione dell'attacco e valutare strategie di recupero di alto livello.
Modalità Emulazione (Scala Operativa): Una replica virtuale del sistema colpito utilizzata per eseguire e verificare comandi specifici prima che vengano applicati al sistema reale.

Il processo di pianificazione prevede due fasi:

Pianificazione Tattica (Rollout Planner): Utilizzando la simulazione del Digital Twin, un pianificatore decisionale (basato su metodi di lookahead rollout) calcola una strategia di risposta di alto livello. Determina l'ordine ottimale di recupero dei componenti di rete per minimizzare il tempo totale di recupero e la propagazione del rischio.
Pianificazione Operativa (Agente LLM): Un LLM leggero e fine-tuned traduce la strategia di alto livello in comandi eseguibili.
- Fine-tuning Offline: Gli autori hanno effettuato il fine-tuning di un modello DeepSeek-R1-14B su tre compiti specifici utilizzando un dataset di 68.000 incidenti: (1) Valutazione dell'incidente (inferire le tattiche dell'attaccante), (2) Generazione del Belief (stimare lo stato del sistema dai log) e (3) Generazione di Azioni di Risposta.
- Esecuzione Online: L'LLM genera comandi candidati, che vengono poi verificati tramite emulazione del Digital Twin. Se un comando viene verificato come efficace, viene eseguito; altrimenti, il costo viene penalizzato e l'agente rigenera il piano.

Contributi Chiave

Formulazione POMDP Fattorizzata: Gli autori formulano la risposta agli incidenti come un MDP fattorizzato che separa esplicitamente la pianificazione tattica a livello di rete dalla pianificazione operativa specifica del server.
Framework Agenteico Integrato: Sviluppano un framework che combina la pianificazione di rollout decisionale (per la strategia) con la generazione basata su LLM (per l'esecuzione), verificata da un Digital Twin. Questo è il primo lavoro che combina la pianificazione tattica con la generazione di risposta operativa in questo modo specifico.
Digital Twin a Doppia Modalità: A differenza dei lavori precedenti che utilizzano i DT per la simulazione o l'emulazione, questo metodo utilizza entrambi: la simulazione per una pianificazione tattica efficiente e l'emulazione per la verifica operativa.
Implementazione Locale Leggera: Il sistema utilizza un LLM con 14 miliardi di parametri implementato localmente, riducendo la dipendenza da fornitori esterni di LLM e dimostrando che i modelli leggeri possono superare i modelli di frontiera quando guidati da una pianificazione rigorosa.

Risultati Sperimentali

Il metodo è stato valutato su una rete di test con cinque server in tre scenari di attacco: Weak-Credential-3, Shellshock-4 e Command-Injection-5.

Baseline: Il sistema è stato confrontato con LLM di frontiera (GPT-5.5, Gemini-3.1-Pro, DeepSeek-V4-Pro, Claude-Opus-4.8) e baseline agentiche allo stato dell'arte (IRCopilot, LLM-IR).
Tasso di Recupero: L'approccio agenteico proposto ha raggiunto un tasso di recupero di circa il 90% in tutti gli scenari. Ha superato significativamente i LLM di frontiera (che hanno ottenuto tassi compresi tra il 46,8% e il 71,4%) e le precedenti baseline agentiche (50,8% fino a 68,2%).
Tempo di Esecuzione: L'approccio ha ridotto il tempo medio di esecuzione delle azioni di recupero del 15,1% rispetto ai LLM di frontiera.
Studi di Ablazione:
- Quando confrontato con le baseline che utilizzavano lo stesso piano tattico, la pianificazione operativa del metodo proposto (LLM + verifica DT) è risultata superiore.
- Quando le baseline erano costrette a eseguire la pianificazione tattica, il metodo proposto le ha comunque superate del 53,9% - 57,8% in termini di tempo di esecuzione, evidenziando il valore del ciclo integrato tattico-operativo.
Performance dell'LLM: Il modello 14B fine-tuned ha raggiunto un'alta precisione e recall (>0,85) per le tattiche di attacco comuni e un tasso di successo dell'85,3% nella generazione di azioni di recupero efficaci per specifiche tattiche MITRE ATT&CK.

Significato e Rivendicazioni

Il documento sostiene che il significato primario di questo lavoro risiede nel colmare il divario tra la pianificazione decisionale astratta e la pratica esecuzione operativa. Combinando il rigore strategico dei pianificatori di rollout con l'adattabilità contestuale degli LLM, e radicando entrambi in un Digital Twin per la verifica, il sistema ottiene:

Affidabilità: Mitigazione delle allucinazioni degli LLM attraverso la verifica del Digital Twin.
Efficienza: Riduzione del tempo di recupero attraverso l'allocazione ottimale delle risorse (pianificazione tattica).
Praticità: Operatività con un modello leggero, distribuito localmente, che non dipende da fornitori esterni di API.

Gli autori concludono che, sebbene il loro metodo non sia perfetto — notando specificamente i limiti riguardanti la errata specificazione delle tattiche di attacco (se l'LLM inferisce le tattiche errate, la pianificazione tattica ne risente) e il costo computazionale dei rollout dell'LLM — esso rappresenta un passo fondamentale verso sistemi di risposta agli incidenti pienamente autonomi, affidabili ed efficienti. Il lavoro futuro è identificato nella calibrazione dell'assessment degli incidenti basato su LLM per ridurre l'errata specificazione delle tattiche.