i-EXAM: Instructable and Explainable Attack Connectivity Graph Modeler

i-EXAMの技術要約：指示可能かつ説明可能な攻撃接続グラフモデラー

問題提起
大規模なネットワークの保護と管理は、本質的に困難である。なぜなら、ネットワークコンポーネントへの単一の変更が、全体のセキュリティ態勢やレジリエンスを劇的に変化させる可能性があるからである。従来の多くのアプローチは、攻撃ベクトルとネットワーク機能の両方について同時に推論することに苦慮している。SPEARフレームワークは、攻撃の影響を特定するために、ハイパーグラフをPDDLプランニング問題へとコンパイルした攻撃接続グラフ（ACG）の使用を提案したが、システム管理者（sysadmin）が自動計画システムの専門知識を必要とせずに、これらの複雑な関係を可視化し、「もし〜だったら」という分析（what-if解析）を行い、セキュリティ強化戦略の根拠を理解できるような、インタラクティブでアクセシブルなツールのニーズが依然として存在する。

手法
i-EXAMは、最先端のAIプランナーと大規模言語モデル（LLM）を統合してネットワークセキュリティをモデル化、分析、および説明する、SPEARフレームワークに基づいたインタラクティブなツールである。その手法は、主に以下の4つの段階で進行する。

1. データ収集とモデル構築:
   i-EXAMは、Nmap、Wazuh、および文書化されたデータを用いて、システムおよびネットワークレベルの属性（ソフトウェア、バージョン、ポート、プロトコル、IP）を収集することにより、プランニングモデルの作成を自動化する。このデータはJSON形式に構造化され、PDDLジェネレーターに投入されることで、プランニングモデルを自動的に構築する。基礎となる形式体系は、フルエント（fluents）がホスト属性のペアを表し、アクションが攻撃/接続エッジを表し、ターゲット属性がゴールとして機能する形で、ACGをプランニングモデル（$M_G$）へとコンパイルする。

2. 可視化と分析:
   本ツールは、ノードがホストとその関連する脆弱性を表し、エッジが接続を表すグラフとしてネットワークをレンダリングする。マルチレベルの抽象化をサポートしており、ユーザーはノードをクリックすることで詳細なメタデータ（CVCVスコア、ファイルパスなど）を確認できる。i-EXAMは、ターゲットに至る複数の潜在的な攻撃パスを可視化するために、top-k-plannerを利用する。
   システムは、ACGから導出される2つの特定のセキュリティ指標に焦点を当てる：

• 不浸透性指標 ($M_1$): 有効な攻撃パスが存在するかどうか（$|E_A| = 0$）を決定するバイナリインジケータ（$F^I_A(E_A) = 1$）。
• 攻撃困難度指標 ($M_2$): 最小コストの攻撃パスを捉える（$F^D_A(E_A) = \min\{|E| \mid E \in E_A\}$）。
  両方の指標は、ハードニング（要塞化）戦略がサービス接続性を維持することを保証する$F^1_C$を強制する。これらの問題は、Fast-Downwardプランナーを用いたLMCutヒューリスティックによるA*探索を使用して解決される。

3. What-If解析と多様な解の選択:
   セキュリティ態勢を改善するために、i-EXAMはサービスの可用性を維持しながら、指標の値を減少させるネットワーク修正を特定する。従来の攻撃グラフとは異なり、ACGは攻撃と機能性について同時に推論することを可能にする。システムは、多様な解の選択戦略を採用し、異なるネットワークコンポーネントに焦点を当てた複数の修正セットを生成する。このアプローチは、修正の「コスト」を正確に定量化することは困難であり、システム管理者の専門知識や技術者の可用性などの要因に依存することを認識しており、それによって管理者が多様な選択肢の中から情報に基づいた判断を下せるようにしている。

4. 説明生成:
   形式的なプランニング出力と人間の理解との間の溝を埋めるために、i-EXAMはLLM（具体的には llama-3.1-nemotron-70b-instruct）を使用して自然言語による説明を生成する。これは「モデル制限による説明（explanations by model restriction）」の修正版を活用しており、以前の指標値を満たしていたであろう反事実的なプラン（counterfactual plans）を提示し、提案された変更がいかにしてそれらのプランを無効にするかを説明する。

主な貢献

• インタラクティブなツール提供: i-EXAMは、システム管理者がPDDLやAIプランニングの知識を必要とせずに、ネットワークアーキテクチャを可視化し、攻撃パスを強調し、ハードニング戦略を探索できるユーザーフレンドリーなインターフェースを提供する。
• 形式的な保証: SPEARフレームワークの健全性と完全性の保証を継承することで、i-EXAMは、モデル内のあらゆる有効なプランがACGにおける有効な攻撃または接続パスに対応することを保証する。
• 自動化されたパイプライン: 本ツールは、ネットワークスキャン（Nmap, Wazuh, OpenVAS）からPDDLモデル構築までの全パイプラインを自動化し、手動でのモデリングを排除する。
• LLMによる説明可能性: 構造化された反事実的プランのトレースを自然言語に翻訳するためにLLMを統合し、セキュリティ推奨事項の根拠を非専門家にも分かりやすくする。
• 多様な戦略生成: 実装コストや制約の不確実性を考慮して、多様なハードニング戦略を生成する。

結果とパフォーマンス
約30個のノードを持つネットワークを用いた実証評価（Podder et al. 2025として引用）では、ヒューリスティックによるガイダンス（LMCut）が、不浸透性と攻撃困難度の両方の指標において、計算時間を一貫して約50%削減することを示している。top-k-plannerは、より大きなネットワークにおいても多様な攻撃パスを正常に列挙できる。システムは、ターゲットを自動的にハイライトし、コストを伴う攻撃プランを提示し、それらのオプションがなぜ攻撃を排除またはコストを増大させるのかについての説明と共に、多様な修正オプションを提示できるケーススタディにおいて正常に動作した。

意義と主張
本論文は、i-EXAMを形式的なAIプランニング理論と現実世界のネットワーク運用との架け橋として位置づけている。その主な意義は、自動化と自然言語による説明を通じて、プランニングに基づくセキュリティ分析をシステム管理者にとって身近なものにすることにある。著者らは、PDDLベースのACGのドメイン独立な性質により、本ツールがタスク固有の微調整なしに、任意のネットワークトポロジや脆弱性の組み合わせに対して汎用できると主張している。さらに、ヒュード・イン・ザ・ループ（人間が介在する）設計により、管理者は多様なハードニングオプションの選択においてドメインの判断を適用でき、ツールは複雑な計算的推論を担当することができる。本研究は、よりレジリエントなネットワーク管理への一歩として提示されており、今後の課題として、学習されたコスト関数、ドメインエキスパートによるユーザビリティ調査、および大規模なエンタープライズネットワークへのスケーリングが提案されている。