🤖 AI

In-Context Autonomous Network Incident Response: An End-to-End Large Language Model Agent Approach

Dit artikel introduceert een end-to-end agent op basis van een lichtgewicht Large Language Model die via in-context leren en redenering autonome, modelvrije incidentrespons biedt en hiermee tot 23% snellere herstelresultaten bereikt dan geavanceerdere LLM's.

Oorspronkelijke auteurs: Yiran Gao, Kim Hammar, Tao Li

Gepubliceerd 2026-04-16

📖 4 min leestijd☕ Koffiepauze-leesvoer

CC BY 4.0

Oorspronkelijke auteurs: Yiran Gao, Kim Hammar, Tao Li

Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer

Stel je voor dat je digitale netwerk een groot, complex kasteel is. Helaas zijn er altijd dieven (hackers) die proberen binnen te dringen. In het verleden was het zo dat je, zodra er een alarm ging, een team van experts moest sturen die met een handtekening op een papier besloten wat ze moesten doen. Dit was traag, duurde lang en de experts moesten vaak raden wat er precies aan de hand was.

Sommige onderzoekers probeerden dit te automatiseren met een "robot" die via duizenden simulaties leerde wat te doen (zoals een schaker die miljoenen zetten oefent). Maar deze robots waren erg stijf: ze konden alleen werken als je het hele kasteel eerst in een simpele rekenmachine had vertaald, waardoor veel belangrijke details verloren gingen.

Deze paper introduceert een nieuwe, slimme oplossing: Een "Digitale Brandweerman" die een AI-agent is, gebaseerd op een groot taalmodel (LLM).

Hier is hoe het werkt, vertaald naar alledaagse taal:

1. De Agent: Een Slimme Brandweerman

In plaats van een robot die alleen cijfers kent, hebben we een AI-agent die net als een mens kan lezen en begrijpen. Hij kan de "logboeken" van het kasteel (de systemen) lezen en begrijpen wat er gebeurt, zonder dat je eerst alles in een ingewikkeld model moet gieten.

Deze agent heeft vier superkrachten die in één persoon zitten:

Waarnemen (Perception): Hij leest de alarmen en logs en zegt: "Ah, er is een dief in de keuken!"
Redeneren (Reasoning): Hij denkt na: "Deze dief gebruikt een specifieke truc. Als ik de deur sluit, zal hij waarschijnlijk naar het raam gaan." Hij bouwt een intern 'wereldbeeld' van wat er gaande is.
Plannen (Planning): Voordat hij iets doet, speelt hij in zijn hoofd verschillende scenario's af. "Als ik de stroom uitschakel, is dat goed, maar misschien blokkeert het ook de nooduitgang. Wat als ik alleen de deur sluit?" Hij simuleert de gevolgen.
Handelen (Action): Hij voert de beste actie uit, zoals een commando om een server te isoleren.

2. De Grote Uitdaging: Hallucinaties en Vergeten

Grote AI-modellen (zoals de slimme chatbots die we nu kennen) hebben twee grote gebreken als je ze in een noodsituatie zet:

Hallucineren: Ze kunnen dingen verzinnen die logisch klinken maar in de echte wereld niet werken (bijvoorbeeld: "Ik ga de dief uitnodigen voor thee" in plaats van de deur te sluiten).
Vergeten: Bij lange incidenten vergeten ze wat er eerder is gebeurd, waardoor hun plan onlogisch wordt.

3. De Oplossing: "In-Context Adaptatie" (Het Leren tijdens het Spelen)

De auteurs van dit paper hebben een slimme truc bedacht om dit op te lossen. Ze laten de AI-agent niet alleen op basis van zijn geheugen werken, maar laten hem voorspellen en controleren.

De Voorspelling: De agent zegt: "Als ik dit doe, verwacht ik dat het alarm stopt."
De Controle: Hij kijkt naar de echte wereld. "Oh, het alarm gaat nog steeds af!"
De Aanpassing: Omdat zijn voorspelling niet klopte, denkt hij: "Ah, ik had de verkeerde truc van de dief bedacht. Ik moet mijn plan aanpassen en een nieuwe strategie proberen."

Dit noemen ze "In-Context Adaptatie". Het is alsof een brandweerman tijdens het blussen merkt dat het vuur niet dooft, en direct denkt: "Oké, water werkt niet, het is een vetbrand, ik moet schuim gebruiken." Hij past zich live aan, zonder dat hij eerst een nieuwe training moet krijgen.

4. Waarom is dit beter?

Geen ingewikkelde modellen: Je hoeft het netwerk niet eerst in een simpele rekenmachine te vertalen. De AI leest de echte, rommelige logs en begrijpt ze direct.
Snelheid: In tests bleek deze AI-agent 23% sneller in het herstellen van het systeem dan de allerbeste, grootste AI-modellen die er nu zijn.
Goedkoop: Het werkt op gewone computerhardware, niet op supercomputers.

Samenvattend

Stel je voor dat je in plaats van een team van experts die langzaam overleggen, een slimme, zelflerende brandweerman hebt. Deze brandweerman leest de rooksignalen, bedenkt in zijn hoofd wat er gaat gebeuren, probeert het beste plan uit, en als het niet werkt, past hij zijn plan direct aan op basis van wat hij ziet.

Dit onderzoek laat zien dat we met deze "slimme agent" cyberaanvallen veel sneller en slimmer kunnen oplossen dan ooit tevoren, zonder dat we duizenden uren aan handmatig werk nodig hebben. Het is een stap in de richting van een internet dat zichzelf verdedigt.

Probleemstelling

Cyberaanvallen evolueren razendsnel, wat incidentresponsystemen vereist die autonoom kunnen leren en zich aanpassen. Bestaande benaderingen kampen met twee hoofdproblemen:

Versterkt Leren (RL): Traditionele RL-methoden vereisen handmatig ontworpen simulatoren en drukken de semantische waarde van ruwe systeemlogs en alerts om in gestructureerde numerieke data. Dit is arbeidsintensief en verliest context.
Generieke LLM's: Bestaande LLM-agenten voor beveiliging vertrouwen vaak op prompt-engineering. Dit leidt tot:
- Hallucinaties: Het genereren van plausibele maar ongeschikte responsacties.
- Contextverlies: In lange-termijnplanning vergeten LLM's eerdere context door de overvloed aan nieuwe informatie, wat leidt tot inconsistente strategieën.

Het doel van dit onderzoek is een end-to-end oplossing te creëren die direct logs en alerts omzet in responsacties zonder handmatige modellering, terwijl het de nadelen van hallucinaties en contextverlies oplost.

Methodologie

De auteurs stellen een LLM-agent voor die vier kernfunctionaliteiten integreert in één lichtgewicht model (14 miljard parameters, gebaseerd op DeepSeek-14B/Qwen). De aanpak is gebaseerd op een Partieel Waarneembare Markov Beslissingsproces (POMDP) en bestaat uit twee fasen:

1. Offline Fijne Afstelling (Fine-Tuning)

Het model wordt getraind op een dataset van 50.000 instructie-antwoordparen met behulp van LoRA (Low-Rank Adaptation). De training omvat:

Perceptie: Het infereren van de onderliggende herstelfase (recovery state) uit logs en alerts. De staat wordt gemodelleerd als een 6-dimensionale Booleaanse vector: Containment, Assessment, Preservation, Eviction, Hardening, Restoration.
Redenering: Het voorspellen van toekomstige alerts en toestanden op basis van geschatte aanvalstactieken (MITRE ATT&CK), fungerend als een intern "wereldmodel".
Actie: Het genereren van concrete, uitvoerbare beveiligingscommando's.
Chain-of-Thought (CoT): Het model leert stap-voor-stap redeneren om hallucinaties te verminderen.

2. Online Responsplanning met In-Context Adaptatie

Tijdens de operationele fase gebruikt de agent een online conjecturale vooruitkijkende planning (lookahead planning) geïnspireerd op Monte-Carlo Tree Search (MCTS):

Conjectuur: De agent schat de aanvalstactieken en de huidige herstelfase.
Generatie: Er worden $N$ kandidaat-responsacties gegenereerd.
Simulatie (Rollout): Voor elke actie simuleert de agent meerdere herstelpaden (trajecten) om de verwachte kosten (tijd) te berekenen.
Selectie: De actie met de laagste gesimuleerde totale hersteltijd wordt gekozen.
In-Context Adaptatie: Na het uitvoeren van een actie worden de daadwerkelijke alerts vergeleken met de voorspellingen. Als er een significante afwijking is, wordt een geavanceerder LLM (GPT-5.2) gebruikt om de geschatte aanvalstactieken te kalibreren. De agent past zijn wereldmodel hierop aan en plant opnieuw. Dit zorgt voor zelfconsistentie in lange-termijnplanning.

Kernbijdragen

End-to-End Agent: Een uniek systeem dat perceptie, redenering, planning en actie combineert in één model, zonder de noodzaak voor handmatige simulatiewerelden.
POMDP-geïnspireerde LLM: De integratie van RL-principes (zoals lookahead planning) in een LLM-workflow om hallucinaties te filteren en contextverlies te voorkomen.
In-Context Adaptatie: Een mechanisme waarbij de agent zijn interne wereldmodel dynamisch aanpast op basis van nieuwe observaties, wat cruciaal is voor complexe, langdurige incidenten.
Efficiëntie: Het systeem draait op commodity hardware (14B parameters) en vereist geen zware RL-training in gesimuleerde omgevingen.

Resultaten

De evaluatie is uitgevoerd op vier diverse datasets (CTU-Malware-2014, CIC-IDS-2017, AIT-IDS-V2-2022, CSLE-IDS-2024) en vergeleken met state-of-the-art modellen (DeepSeek-R1, Gemini 2.5 Pro, OpenAI O3).

Hersteltijd: De voorgestelde agent herstelt incidenten 23% sneller dan de frontier LLM's.
Nauwkeurigheid: Het model bereikte een Exact Match Accuracy van 0.98 voor het voorspellen van herstelfasen en hoge F1-scores (ca. 0.99) voor het classificeren van logdata.
Ablatiestudie:
- Fijne afstelling (Perceptie/Redenering) en Planning bleken de belangrijkste componenten voor succes.
- In-Context Adaptatie verbeterde de prestaties, maar had een kleiner effect op de korte testreeksen (gemiddeld 5 acties). De auteurs speculeren dat dit effect groter zou zijn bij langere, complexere responsprocessen.
Schaalbaarheid: De huidige implementatie duurt gemiddeld 20 minuten voor een plan van 5 acties op een A100 GPU. De rekentijd schaalt lineair met de diepte van de zoekboom ($O(MN)$), wat een uitdaging blijft voor zeer complexe netwerken.

Betekenis en Conclusie

Dit onderzoek markeert een belangrijke stap in de automatisering van cyberverdediging. Door de kracht van LLM's (semantisch begrip en kennis) te combineren met de structurele voordelen van RL-planning (voorspelling en optimalisatie), biedt de methode een robuust alternatief voor traditionele RL-approaches.

De belangrijkste implicatie is dat autonome incidentrespons mogelijk wordt zonder de zware last van handmatige modellering. Hoewel de schaalbaarheid voor zeer complexe netwerken nog verbeterd moet worden (bijv. via parallelle verwerking), demonstreert de aanpak dat lichtgewicht LLM's, wanneer ze correct worden getraind en gestructureerd, superieure beslissingen kunnen nemen in dynamische beveiligingsomgevingen. Dit opent de deur voor real-time, zelflerende defensiesystemen die zich kunnen aanpassen aan nieuwe, onbekende aanvalstactieken.