技術要約: TIBlender

問題提起

サイバー脅威インテリジェンス（TI）の収集は、現在、商用および公開の脅威フィードに大きく依存しており、脅威の出現から公開までの間に避けられないタイムラグが生じている。ソーシャルメディアプラットフォーム（X、Reddit、Telegram、Discordなど）には、公式フィードよりも先にIoC（侵害指標）や攻撃キャンペーンの詳細が含まれていることが示されているが、既存の手法では、これら断片化された多言語データを実行可能なレポートへと完全に自動統合することには失敗している。

現在のシステムは、以下の3つの根本的な課題に直面している：

1. 断片的な統合: 脅威のシグナルは、異なる言語、投稿文化、粒度を持つ異種プラットフォームに分散している。単一プラットフォームのモニタリングでは、構造的に不完全なインテリジェンスしか得られない。
2. 信頼性の検証: ソーシャルメディアには、かなりのノイズ、誤情報、誇張が含まれている。単一の視点に依存した自動抽出では偽陽性を完全に取り除くことはできず、既存の手法は、独立した視点から証拠を相互検証するメカニズムを欠いている。
3. ノイズフィルタリングと適応: 脅威のシグナルは、スパムや広告の下に埋もれている。さらに、静的なモニタリングルールは、進化する標的、手法、および攻撃者が使用するプラットフォームのスピードに追いつくことができない。

既存のシステムは、マルチプラットフォームのデータ統合、クロスソース検証、および適応型のノイズフィルタリングを同時に解決し、エンドツーエンドの自動化されたTIレポートを生成することはできていない。

手法: TIBlender システム設計

TIBlenderは、複数のソーシャルメディアプラットフォームを監視し、断片化したシグナルを相関させ、構造化された証拠に基づくTIレポートを生成するように設計された自律型マルチエージェントシステムである。本システムは固定間隔のサイクルで動作し、クロスサイクル・フィードバック機構によって強化された5段階のインサイクル・パイプラインを利用する。

1. システムアーキテクチャ

システムは、4つの代表的なプラットフォーム、X（迅速な拡散）、Reddit（詳細な技術的議論）、Telegram（脅威アクターの活動）、Discord（アクターの調整）を監視する。データ抽出から構造化レポート生成に至る各段階において、特化した大規模言語モデル（LLM）エージェントを採用している。

2. 5段階のインサイクル・パイプライン

• ステップ1: 適応型収集およびポスト解析:
  • 定義済みの多言語キーワードおよびトレンド検出によって駆動される動的なキーワード拡張を用いて、ポストを収集する。
  • 画像に光学文字認識（OCR）を適用し、LLMエージェントを使用して英語の脅威サマリーの生成と、IoC（URL、ハッシュ、ドメイン、IP、CVE）の抽出を並行して行う。
  • 下流の処理のために、（脅威サマリー、IoCリスト）のペアを出力する。
• ステップ2: キャンペーンレベルのクラスタリング:
  • 以下のデュアルトラック・アプローチを用いて、ポストを同一の脅威キャンペーンを表すクラスターに集約する：
    • IoCトラック: Union-findアルゴリズムを使用して、IoCの重複度（Jaccard類似度）が高いポストをマージする。
    • Non-IoCトラック: 脅威サマリーのセマンティックな類似性を用いて、IoCを持たないポストを既存のクラスターに付着させるか、HDBSCANによってグループ化する。
  • LLMエージェントは、標的組織と攻撃ベクトルに基づいてクラスターをキャンペーンレベルの単位に分割し、深刻度（LOW/MEDIUM/HIGH/CRITICAL）を割り当てる。
• ステップ3: マルチパースペクティブ調査:
  • 4つの特化した調査エージェント（インフラストラクチャ、テクニカル、ソーシャル、アクター）を配備し、証拠を収集する。
  • モード選択: クラスターは、マルチパースペクティブ・モード（新規の脅威用）またはRL誘導モード（過去の事例に類似した脅威用）のいずれかで処理される。RL誘導モードは、過去の成功に基づき、調査の焦点を優先順位付けするための強化学習（RL）ポリシーを使用する。
  • エージェントは外部ツール（RDAP/WHOIS、パッシブDNS、CVEデータベース）を使用し、初期のIoCから関連するインフラストラクチャやアクターの情報へとピボット（展開）する。
• ステップ4: 適応型評価ループ:
  • 独立した「判定」エージェント（バイアスを軽減するために異なるLLMプロバイダーから選定）が、十分性（必要なデータポイントがすべて収集されているか？）、整合性（矛盾はないか？）、証拠の質（高信頼度の証拠が支配的か？）の3つの軸で調査コンテキストを評価する。
  • 証拠が不十分な場合、システムはマルチパースペクティブ・モードでの追跡調査をトリガーする。
  • 保守的なコンセンサス・ルールが適用される：すべての判定エージェントが同意した場合のみレポートが進行し、同意が得られない場合は偽陽性を抑制するためにスキップされる。
• ステップ5: 構造化レポート生成:
  • 検証された調査コンテキストを、構造化されたTIレポート（JSON、PDF、Markdown、STIX 2.1）に変換する。
  • レポートには、明示的な正当化、信頼度スコア、および抽出タイプ（直接 vs ピボット）が含まれる。

3. クロスサイクル・フィードバック

• トレンドに基づくクエリ適応: クラスターのトレンド（ボリューム、伝播、エスカレーション）を分析し、次サイクルのための動的な検索クエリを生成することで、新たな脅威への網羅性を確保する。
• オンラインRLポリシー学習: 過去のサイクルにおける成功した調査軌跡を使用して、ステップ3のRLポリシーを微調整し、将来の調査の効率を向上させる。

主な貢献

1. TIBlenderの実装: 断片化された多言語の脅威シグナルを複数のプラットフォームにわたって統合し、検証済みのIoCと証拠に基づく正当化を伴う、実行可能なTIレポートを自律的に生成するマルチエージェントシステム。
2. クロスプラットフォームの必要性の定量的検証: 各プラットフォームが独自の脅威情報を提供していることを実証した。いずれか一つのプラットフォームを除外すると、特定の脅威カテゴリ（例：Discordを除外すると脆弱性レポートの43%が消失する）において大幅なレポートの損失が生じる。
3. 運用の早期警告能力: 大規模な展開を通じて、システムは公開フィードや脆弱性レジストリよりも先行して、インザワイルド（実環境）での悪用を含む脅威を捕捉する。

実験結果

システムは、X、Reddit、Telegram、Discordに対して31日間（2026年3月16日～4月16日）展開された。

• 規模: 873,973件の生ポストを処理し、184,240個のクラスターに集約し、8,288件の実行可能な脅威レポートを生成した。
• クロスプラットフォームの依存関係:
  • X は、フィッシング/詐欺（65%）の主要なソースであった。
  • Reddit は、マルウェア/C2（59%）において優位であった。
  • Discord と X は、脆弱性レポートを分け合った（それぞれ45%と46%）。
  • APT/ランサムウェア は最も分散したカテゴリであり、4つのプラットフォームすべてから重要な貢献があった。
  • 単一のプラットフォームを除外することで、特定のカテゴリにおいて最大**50%**のレポート消失を招いた。
• 単一プラットフォーム・ベースラインとの比較:
  • 同一の入力条件下において、TIBlenderのIoC抽出（直接 + ピボット）は、単一プラットフォームのベースライン（Tweezers, DarkGram, Reddit2CTI）を1.6倍から5.1倍上回るボリュームを記録した。
  • 新規性: TIBlenderは、それぞれの単一プラットフォーム・ベースラインには存在しなかったIoCの**81.7%～94.0%**を特定した。
  • 品質: TIBlenderのIoCは、11以上のVirusTotalエンジンによって**19.7%～32.3%**のケースでフラグが立てられており、ベースライン（例：DarkGramの0.4%）を大幅に上回った。ドメインIoCの偽陽性率は、ベースライン（最大44.0%）と比較して、1.8%～2.3%と低く抑えられた。
• 公開フィードとの比較:
  • フィード範囲外の不在: TIBlenderが特定したIoCの**83.0%～99.6%**は、6つの主要な公開フィード（PhishTank, MalwareBazaar, URLhaus, CISA KEV, OTX Pulses, TweetFeed）には存在していなかった。
  • 早期検知: TIBlenderは、公開フィードよりも先行して、重複するIoCを**13.7%～31.3%**のケースで検知した。
  • リードタイム: システムは、CISA KEVへの掲載より最大13.4日前、およびPhishTankより72時間前に、インザワイルドでの悪用を捕捉した。

重要性と主張

本論文は、クロスプラットフォームのソーシャルメディア・モニタリングが、運用のTIパイプラインにおける効果的かつスケーラブルな早期警告レイヤーとなることを確立している。以下のことを主張している：

• 統合は不可欠である: 単一のプラットフォームでは完全な視点を得ることはできず、包括的なカバレッジのためにはクロスプラットフォームの統合が不可欠である。
• 自動化は実現可能である: ロールに特化したLLMを備えたマルチエージェントシステムは、断片化した証拠の相関、信頼性の検証、および構造化レポートの生成という複雑なタスクを正常に自動化できる。
• 適時性: ソーシャルメディアの自動モニタリングは、従来のフィードベースの収集と比較して、新興の脅威の検知時間を大幅に短縮でき、脆弱性が公式にカタログ化されたり広く普及したりする前に、実行可能なインテリジェンスを提供できる。

著者らは、本アプローチが、偽陰性のわずかな増加と引き換えに、偽陽性を大幅に抑制することを明示的に意図しており、セキュリティオペレーションセンター（SOC）への直接的な統合に必要な信頼性を優先していることを強調している。