CTIFoundry: An Agent-Native Corpus Scaffold for Cyber Threat Intelligence
Questo articolo introduce CTIFoundry, un'impalcatura di corpora nativa per agenti che materializza la struttura latente della Cyber Threat Intelligence attraverso un grafo ontologico deterministico e report basati su span, migliorando significativamente le prestazioni e l'efficienza dell'investigazione agentica rispetto ai tradizionali substrati di recupero piatti.
Articolo originale sotto licenza CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Questa è una spiegazione generata dall'IA dell'articolo qui sotto. Non è stata scritta né approvata dagli autori. Per precisione tecnica, consulta l'articolo originale. Leggi il disclaimer completo
Nel mondo digitale, gli esperti di sicurezza cacciano costantemente indizi su chi stia attaccando e su come lo stia facendo. Questo lavoro, noto come cyber threat intelligence, si basa su enormi collezioni di rapporti scritti da diverse aziende e organizzazioni. Per anni, il modo standard di utilizzare questi rapporti con l'intelligenza artificiale è stato quello di trattarli come una biblioteca di libri non organizzati. Quando un programma informatico pone una domanda, il sistema cerca le parole più simili nel testo ed estrae alcune pagine. Questo metodo funziona bene per domande semplici, ma fatica quando l'indagine richiede di collegare i punti tra diversi documenti. Un singolo gruppo di hacker potrebbe essere chiamato con tre nomi diversi in tre rapporti diversi, e i record ufficiali che collegano una specifica vulnerabilità del software a un noto metodo di attacco sono spesso sepolti nel profondo di lunghi paragrafi di testo. Se il computer non riesce a vedere queste connessioni nascoste, non può risolvere il puzzle, indipendentemente da quanto sia intelligente il programma di intelligenza artificiale.
Un team di ricercatori ha scoperto che il problema non è l'intelligenza del computer, ma il modo in cui le informazioni sono archiviate. Hanno costruito un nuovo sistema chiamato CTIFoundry, che funge da framework specializzato per organizzare questi rapporti di sicurezza prima che il computer provi a leggerli. Invece di lasciare i dati come un groviglio di testo, il sistema costruisce prima una mappa chiara dei fatti. Prende i record ufficiali da quattro importanti database di sicurezza e li collega con linee precise, mostrando esattamente quale debolezza del software porta a quale schema di attacco. Legge poi i disordinati rapporti dei fornitori e trova le frasi specifiche che menzionano questi gruppi o difetti noti, etichettandoli con la loro esatta posizione nel testo originale. Questo processo trasforma una pila piatta di documenti in una rete strutturata dove ogni pezzo di informazione conosce i propri vicini e la propria fonte.
I ricercatori hanno testato questo nuovo sistema fornendo allo stesso agente di intelligenza artificiale due modi diversi per accedere allo stesso insieme di dati di sicurezza. In uno scenario, l'agente utilizzava il vecchio metodo non organizzato. Nell'altro, utilizzava la nuova mappa strutturata. I risultati sono stati sorprendenti. Quando l'agente utilizzava il nuovo sistema, la sua capacità di rispondere correttamente alle domande aumentava significamente, anche quando i ricercatori utilizzavano un modello di computer più piccolo e meno potente. In effetti, il modello più piccolo utilizzando la nuova mappa era più performante del modello più potente utilizzando la vecchia pila di testo disorganizzata. Il miglioramento non era dovuto al fatto che il computer cercasse con più intensità o leggesse più pagine. Al contrario, l'agente che utilizzava il nuovo sistema trovava le risposte corrette effettuando circa la metà dei tentativi di ricerca delle informazioni. Semplicemente, aveva un percorso migliore da seguire.
Lo studio ha anche rivelato perché il vecchio metodo falliva così spesso. Senza la mappa pre-costruita, il computer si perdeva spesso nel testo, cercando parole simili che portavano a vicoli ciechi o risultati confusi. Avrebbe perso i collegamenti ufficiali che gli esperti avevano già scritto, perché quei collegamenti erano nascosti all'interno di lunghe frasi. Il nuovo sistema costringe il computer a seguire prima le connessioni ufficiali, trattando il testo come una fonte secondaria di dettagli piuttosto che come la guida primaria. Questo approccio si è dimostrato così efficace che i ricercatori hanno scoperto che la struttura dei dati era più importante della potenza bruta del modello di computer. Un modello piccolo con una mappa chiara ha superato un modello gigante con una pila disordinata.
Per garantire che il sistema fosse affidabile, i ricercatori lo hanno costruito con regole rigide che impedivano di inventare fatti. Ogni connessione nella mappa doveva provenire da un record ufficiale, e ogni pezzo di testo estratto da un rapporto doveva puntare esattamente al punto nel documento originale in cui è stato trovato. Ciò significava che il computer non poteva inventare cose o tirare a indovinare le risposte. Il sistema includeva anche un insieme di istruzioni semplici, o abitudini, da far seguire al computer, come controllare la mappa ufficiale prima di cercare parole simili. Queste abitudini, combinate con la mappa chiara, hanno creato un effetto super-additivo, il che significa che le due parti lavoravano meglio insieme rispetto a quanto avrebbero fatto da sole.
Il costo per costruire questo nuovo sistema è stato sorprendentemente basso, richiedendo solo una piccola quantità di potenza di calcolo per elaborare i dati iniziali. Una volta costruito, il sistema permetteva al computer di risolvere indagini complesse per circa due centesimi a domanda. I ricercatori hanno concluso che, per i campi in cui l'informazione è altamente strutturata e si basa su connessioni ufficiali, il collo di bottiglia principale non è l'intelligenza dell'agente artificiale, ma la qualità dei dati che gli vengono forniti. Organizzando i dati in una forma che un agente possa comprendere e attraversare naturalmente, il sistema ha reso il processo di indagine più veloce, economico e molto più accurato. Il lavoro suggerisce che, in futuro, il modo più efficace per migliorare l'intelligenza artificiale in campi specializzati potrebbe non essere costruire cervelli più intelligenti, ma costruire biblioteche migliori per farli leggere.
Sommerso dagli articoli nel tuo campo?
Ricevi digest giornalieri degli articoli più recenti corrispondenti alle tue parole chiave di ricerca — con riassunti tecnici, nella tua lingua.