🤖 AI

Symbolic Attack Chain Generation from Atomic Red Team Techniques: An Empirical Study of Predicate Representation Granularity

この実証的研究は、自動攻撃チェーン生成における述語表現の粒度を9カテゴリから5カテゴリへと低減させても、プランの妥当性やコストに大きな影響を与えないことを示しており、これは高粒度が生成された攻撃チェーンの実行可能性よりも、主に構造的な正当性を精緻化することを示唆している。

原著者： Ramya Varunsegar

公開日 2026-08-04

📖 1 分で読めます☕ さくっと読める

CC BY 4.0

原著者： Ramya Varunsegar

原論文は CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) でライセンスされています。 ✨ これは以下の論文のAI生成解説です。著者が執筆または承認したものではありません。技術的な正確性については原論文を参照してください。免責事項の全文を読む

あなたは、ロボットにデジタル要塞への侵入方法を教えようとしていると想像してください。単に「お宝を盗め」と伝えるだけでは不十分です。「まず、裏口を見つけろ。次に、鍵を開けろ。三、中へ歩いて入れ」といった具合に、ステップ・バイ・ステップのレシピを与える必要があります。サイバーセキュリティの世界では、これらのレシピは**アタックチェーン（攻撃連鎖）**と呼ばれます。これらは、ハッカーが小さな侵入口から大規模なデータ強奪へと至るための設計図です。防御側は、より優れたアラームや罠を構築するために、これらの設計図を研究します。

これらの設計図を作成するために、科学者たちは**AIプランニング（AI計画法）**と呼ばれる特殊なコンピュータ・ロジックを使用します。これは、ハッカーにとっての超高性能なGPSのようなものだと考えてください。推測する代わりに、GPSはあらゆる可能な動きを調べ、目標への最も効率的な経路を見つけ出します。しかし、GPSを機能させるには、その世界を非常に正確に記述しなければなりません。どのような「事実」が重要なのかを決定する必要があります。ハッカーが特定のツールを持っていることは重要ですか？管理者としてログインしていることは重要ですか？それとも、単に「中にいる」と言うだけで十分なのでしょうか？これが大きな疑問です。ロボットが混乱したりミスをしたりしないようにするには、どれほどの詳細を与える必要があるのでしょうか？詳細が少なすぎると、実現不可能な強奪計画を立ててしまうかもしれません。多すぎると、結果に影響を与えない事柄を説明することに時間を浪費してしまうかもしれません。

これこそが、ラミヤ・バルンセガー（Ramya Varunsegar）の論文が調査している内容です。著者は、現在これらのハッカーの動きを記述するための「ゴールドスタンダード（標準指標）」が、本当に必要なのか、それとも単に過剰に複雑化しているだけなのかを知りたいと考えました。

大規模な実験：レシピの簡素化

長い間、ロボットにハッキングについて教えるための最良のシステム（AURORAと呼ばれます）は、ハッカーが行うあらゆる動きを記述するために、9つの異なるカテゴリを用いた非常に詳細なチェックリストを使用してきました。それは、レシピ本に単に「塩を加える」と書くだけでなく、「太平洋産の海塩を加える」「大西洋産の海塩を加える」「ヒマラヤ産の海塩を加える」と書いているようなものでした。たとえ味は同じであってもです。研究者たちは疑問に思いました。「本当に9つのカテゴリが必要なのだろうか？それとも、もっと少ないカテゴリでも通用するのではないだろうか？」

これを確かめるために、彼らはテスト用のマシンを構築しました。彼らは、16種類の現実世界のハッキングテクニック（Atomic Red Teamと呼ばれるライブラリから抽出）を取り上げ、それらをロボットのために2種類の言語へと翻訳してみました。

オリジナルの複雑な9カテゴリ言語。
実際のハッキングがどのように機能するかを観察して作成された、新しい簡素な5カテゴリ言語。

次に、彼らは超高性能なプランニング・エンジン（Fast Downwardと呼ばれます）に対し、両方の言語を使用してパズルを解くよう依頼しました。目標は、簡素化されたバージョンがロボットの失敗を招いたり、時間を余計にかけさせたり、あるいは劣った計画を生み出したりしないかを確認することでした。

驚くべき結果

結果は、まるで「ソファの上の猫を見るのに、必ずしも高精細な8Kカメラは必要ない」という発見のようでした。

成功率： ロボットは、複雑な9カテゴリのリストと同じくらい、簡素な5カテゴリのリストでも成功を収めました。どちらのバージョンも、16テクニックのうち13個に対して有効な攻撃計画を作成できました。これは**81.3%**の成功率です。追加の詳細は、ロボットの成功率を高める役には立ちませんでした。
コストと速度： プランの「コスト」（ロボットが踏むべきステップ数）は全く同じでした。簡素化されたバージョンによって、ロボットが遠回りな経路を通らされることもありませんでした。
「フィデリティ（忠実度）」チェック： ロボットの計画を人間が作成した「グラウンドトゥルース（正解の経路）」と比較したところ、どちらのケースでもロボットは1.0（完全な一致）という完璧なスコアを獲得しました。

たった一つの落とし穴：詳細が重要となる時

しかし、この論文は「すべての詳細を捨てなさい」と言っているわけではありません。研究者たちは、9カテゴリのシステムにおける追加の詳細は、主にプランがなぜ機能するのかという「内部的な説明」には役立つものの、プランそのものをより良く機能させるわけではないことを発見しました。

1つの特定のケースにおいてのみ、追加の詳細が極めて重要となりました。あるテクニックでは、ハッカーが何かを行うために「管理者（Administrator）」である必要がありました。しかし、ロボットは単に管理者であるだけでは不十分であり、ハッカーはその権限を「ネットワーク」接続に対して行使できる必要があることを見出しました。簡素化された5カテゴリのシステムは、当初この微細ながらも極めて重要な違いを見落としていました。研究者たちは、この問題を修正するために、特定の「環境（Environment）」ルールを追加する必要がありました。これは、たとえ似たような言葉であっても、安易に二つの異なる概念を一つにまとめてしまうと危険であることを示しています。

未来への意味合い

主な教訓は、テストされた16種類のハッキングテクニックに関しては、複雑な9カテゴリのシステムは**過剰（オーバーキル）**であるということです。より簡素な5カテゴリのシステムでも、有効なアタックチェーンを生成するという点において、同様にうまく機能します。

この論文は、サイバーセキュリティの専門家が、あらゆる状況においてこれほどまでに複雑なモデルを構築する必要はないかもしれないことを示唆しています。彼らは、ハッカーがどのように攻撃してくるかを予測する能力を失うことなく、より軽量で管理しやすく理解しやすいモデルを使用できる可能性があります。ただし、著者はこれは特定のテストに基づいたものであると慎重に述べています。彼らは、**結果（アウトカム）は同じであったものの、ロボットの内部における推論（リーズニング）**はわずかに異なっていたことを指摘しました。旧システムの追加カテゴリは、なぜそうなるのかという「理由」をより詳細に説明するのに役立ちましたが、「何が起きているか」を変えたわけではありません。

要約すると、研究者たちは、全体像を見るために必ずしも顕微鏡が必要ではないことを発見しました。もし、どこを見るべきかを正確に知っていれば、時には、質の高い眼鏡があれば十分なのです。

技術要約：Atomic Red Team テクニックからの記号的攻撃チェーン生成

1. 問題提起

自動化された攻撃チェーンの生成は、現代のサイバーセキュリティ防御およびレッドチーミングにおいて不可欠であるが、手動による構築は、攻撃者の行動が拡大するにつれてスケールに失敗する。古典的なAIプランニングであるPDDL（Planning Domain Definition Language）は、このプロセスを自動化するための形式的な手法を提供するが、それは攻撃テクニックを記号的な述語へと正確に翻訳することに依存している。

AURORAのような現在の最先端システムは、システム状態を定義するために9つのカテゴリからなる「攻撃アクション連結モデル（AALM）」を利用している。しかし、この特定の粒度の必要性は検証されていない。削減された述語カテゴリのセットが、妥当な計画、コスト、および実際の攻撃チェーンに対する忠実度において、同等の成果を達成できるのか、あるいは、より高い粒度が単に推論結果を改善することなく表現上の複雑さを増大させているだけの、検証されていない設計上の選択肢なのかは不明である。本論文は、自動生成された攻撃チェーンの妥当性、コスト、および忠実度に対する、述語表現の粒度の影響を調査する。

2. メソドロジー

本研究では、大規模言語モデル（LLM）に関連するハルシネーション（幻覚）のリスクを軽減するため、言語的翻訳と決定論的な推論を分離したハイブリッド・パイプラインを採用している。

2.1 研究設計

コアとなるメソドロジーは、AURORAのパイプラインを再現しつつ、述語の粒度を固定された前提ではなく、実験変数として扱うものである。

翻訳: LLM（GPT-4.1）が、Atomic Red Team（ART）のYAMLテスト定義と実行エビデンスを、候補となるPDDL述語へと翻訳する。
検証: 決定論的なルールベースのスクリプト（predicate_table.py）が、LLMの出力をソースとなるYAMLおよび実行トランスクリプトと照合し、クロスバリデーションを行う。
プランニング: Fast Downward プランナー（astar(blind()) を使用）が、すべての推論、アクションの順序付け、および計画生成を実行する。
アブレーション研究: 本研究は、16個の定式化されたARTテクニックの同一コーパスに対して、以下の2つのスキームを比較する：
1. 9カテゴリAALM: AURORAで使用されている完全なスキーム（Environments, Executors, Payloads, Files, Processes, Users, Information, Data, Techniques）。
2. 5カテゴリスキーム: 実行エビデンスから経験的に導出された、カテゴリを以下のように集約した削減スキーム：
  - Payload $\rightarrow$ Executor
  - File および Technique $\rightarrow$ Environment
  - User および Privilege $\rightarrow$ Privilege/User
  - Information および Data $\rightarrow$ Information

2.2 データ収集および実行

コーパスは、複数のMITRE ATT&CKタクティクス（Discovery, Persistence, Defense Evasion, Collection, Exfiltration）にわたる16のテクニックで構成される。

派生: 最初に4つのテクニックからなる「スターターチェーン」（T1059.001, T1547.001, T1003.001, T1021.002）を実行し、初期の5カテゴリスキームを導出した。極めて重要な点として、実行エビデンスにより、管理者権限を保持していることと、ネットワークログオンに対してそれを行使できる能力を区別する（例：remote-admin-token-unfiltered）といった、独自の Privilege/User カテゴリの包含が必要であることが判明した。
環境: すべてのテストは、外部リスクを排除しつつ現実的なエンドポイント保護条件を確保するため、ホストのみのネットワーク設定と有効なDefenderを備えた隔離されたWindows 11 VM内で実行された。
失敗処理: 実行に失敗したテクニック（例：AV/EDRによるブロックやペイロードの欠如によるもの）は、破棄されなかった。代わりに、それらはドメインファイル内で「アクションレス（action-less）」としてエンコードされ、プランナーが「解なし（no solution）」を、経験的な失敗の妥当な表現として正しく返せるようにした。

2.3 評価指標

本研究は、以下の指標を用いてスキームを評価する：

計画の妥当性／成功率: 有効な計画が生成されるかどうか。
計画コスト: 生成された計画におけるアクション数。
攻撃チェーンの忠実度: 手動で構築されたATT&CKグランドトゥルース（正解）チェーンに対するJaccard類似度および編集距離。
述語カテゴリの解像度 ( $\Delta P_i$ ): 5カテゴリスキームが結合する述語を、9カテゴリスキームが分割しているかどうかを測定する指標。
失敗モード分析: テクニックが定式化に抵抗する理由（環境のギャップ、未指定など）の分類。

3. 主要な結果

16のテクニックによるコーパスからの経験的な結果は、述語の粒度が生成された計画の生存可能性に与える影響が最小限であることを示している。

計画の妥当性とコスト: 結果は粒度に対してほぼ鈍感であった。9カテゴリスキームと5カテゴリスキームの両方が、81.3% (16中13個のテクニック) という同一の成功率を達成した。独立して解決された9つのテクニックについて、平均計画コストは同一（1.0）であった。4ステップのスターターチェーンも、両方の構成において同一の計画を生成した。
攻撃チェーンの忠実度: 生成されたスターターチェーンは、手動で構築されたグランドトゥルース・チェーンと完全に一致した（Jaccard類似度 = 1.0、編集距離 = 0）。本論文は、これはパイプラインの正当性を確認するものであり、コーパスが参照チェーンの構築に使用されたものと同じナラティブを使用して選択されたため、現実世界のインシデントに対する一般的な忠実度を主張するものではないと述べている。
述語カテゴリの解像度:
- 16テクニック中14個において、ゼロの解像度ゲイン（ $\Delta P_i = 0$ ）を示した。これは、9カテゴリスキームの追加の粒度が、計画の正当性の構造的な根拠を変更しなかったことを意味する。
- T1560.001 は唯一の真の例外であり、9カテゴリスキームが、5カテゴリスキームが結合した Environment と File の述語を区別していた。
- T1003.001 は解像度ゲインを示したが、これは完全に失敗したテクニックに対して使用されたプレースホルダー・プリコンディションによるアーティファクトであると特定され、真のゲインという主張からは除外されている。
失敗モード: 本研究は、体系的な失敗を正常に捉えた。例えば、T1055（プロセスインジェクション）は、AV/EDRのシグネチャ検出により13件中11件のサブテストで失敗した。また、T1003.001はアクセス拒否により失敗した。これらは、プレースホルダーで覆い隠すのではなく、構造的に「アクションレス」としてエンコードされた。

4. 重要性と貢献

本論文は、この特定のコーパスおよびタスクの範囲内において、削減された5カテゴリ述語スキームが、完全な9カテゴリAALMと同等のプランニング能力と結果を維持するのに十分であることを控えめに主張している。

主な貢献:

経験的に導出されたスキーム: 本研究は、事前の仮定ではなく、実際のART実行エビデンスからボトムアップで導出された5カテゴリ述例スキームを提供している。この派生プロセスにより、任意のスキームが見落とす可能性のある、必要な因果的区別（例：remote-admin-token-unfiltered）が浮き彫りになった。
粒度の不変性: 本研究は、テストされたテクニックにおいて、高い粒度は攻撃チェーンの生存可能性やコストを高めるのではなく、主に計画の正当性の内部的な構造的解像度を高めるだけであることを示している。
エビデンスとしての失敗モード: 本論文は、定式化に抵抗するテクニック（AV/EDRや欠落したペイロードによるもの）を、記号的モデリングの限界に関する実質的なデータとして扱う枠組みを導入している。これらを「アクションレス」としてエンコードすることで、プランナーの「解なし」出力は、エラーではなくコーパスに関する検証可能な記述となる。
パイプラインアーキテクチャの検証: 本研究は、LLMを翻訳に限定し、決定論的なプランナーが推論を処理するという二分化されたパイプラインを支持している。このアーキテクチャは、LLMのハルシネーションのリスクを効果的に分離することに成功し、独立したルールベースのクロスチェックによって、測定された翻訳修正率は11.0%（808個の述語中89個）であった。

限界:
著者は、これらの知見がこの16テクニックのコーパスおよび単一のVM環境に特有のものであることを明記している。計画コストの指標は、ほとんどのテクニックが単一アクションの計画であったため、識別能力が限定的であった。さらに、グランドトゥースへの正確な一致は、選択されたナラティブに対するパイプラインの正当性の証拠として読み取られるべきであり、独立した現実世界のインシデントに対する一般的な忠実度の証明ではない。

5. 結論

本研究は、9カテゴリのAALMは間違いではないものの、調査された文脈における攻撃チェーン生成の妥当性やコストにとって厳密に必要ではないと結論付けている。削減された5カテゴリスキームは、検討されたすべての結果において完全なスキームと一致し、かつ計画能力を維持しながら、表現上の複雑さを軽減した。本研究は、自動化された攻撃チェーン生成においては、固定された高粒度の分類学に従うことよりも、実行エビデンスによって明らかになる因果的区別に焦点を当てるべきであることを示唆している。