🤖 AI

Agentic Incident Response through Digital Twin-Enhanced Multiscale Planning

Dit artikel stelt een principieel agentisch incident response-framework voor dat besluittheoretische rollout-planning integreert met een digitale tweeling en lichtgewicht LLM-agenten om hoogwaardige strategieën en uitvoerbare commando's te genereren, waarbij het de frontier LLM-baselines aanzienlijk overtreft door de hersteltijd te verminderen en de herstelpercentages te verhogen over diverse aanvalsscenario's heen.

Oorspronkelijke auteurs: Yiran Gao, Tao Li, Kim Hammar

Gepubliceerd 2026-08-04

📖 4 min leestijd☕ Koffiepauze-leesvoer

CC BY 4.0

Oorspronkelijke auteurs: Yiran Gao, Tao Li, Kim Hammar

Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer

Stel je het internet voor als een enorme, bruisende stad waar miljoenen mensen, bedrijven en machines constant met elkaar praten. Soms sluipen er boelmakers binnen die proberen geheimen te stelen of elektriciteitscentrales plat te leggen. In de echte wereld, wanneer er een cyberaanval plaatsvindt, is het meestal een team van zeer bekwame menselijke detectives (genoemd beveiligingsoperators) die moeten uitzoeken wat er mis is, moeten beslissen welk gebouw ze als eerste moeten afsluiten, en dan handmatig commando's moeten typen om het te herstellen. Het is alsof je probeert een brand te blussen in een wolkenkrabber terwijl het gebouw nog in brand staat, met behulp van een handleiding die misschien verouderd is. Dit proces is traag, uitputtend en duurt vaak maanden voordat het volledig is hersteld, waardoor de stad de hele tijd kwetsbaar blijft.

Om dit te versnellen, hebben wetenschappers geprobeerd twee belangrijke trucs toe te passen. De eerste is het gebruik van "wiskundige hersenen" (algoritmen) die een perfect plan kunnen berekenen, maar deze zijn vaak te abstract — ze weten wat er moet gebeuren in theorie, maar kunnen niet daadwerkelijk de commando's typen om een echte server te repareren. De tweede truc is het gebruik van "superintelligente chatbots" (Large Language Models of LLM's) die logs kunnen lezen en code kunnen schrijven. Maar deze chatbots kunnen onbetrouwbaar zijn; ze verzinnen soms dingen (hallucineren) of komen vast te zitten in een lus, waarbij ze proberen iets foutiefs te herstellen omdat ze een solide plan missen. De grote vraag is: Kunnen we een systeem bouwen dat de strategische hersenen van een wiskundige heeft én de praktische vaardigheden van een chatbot, terwijl het veilig genoeg is om te testen voordat het de echte stad aanraakt?

Dit artikel introduceert een slim nieuw systeem genaamd "Agentic Incident Response" dat precies probeert dit probleem op te lossen. Denk aan dit als een tweeledig reddingsteam dat samenwerkt met een "Digital Twin" — een perfecte, virtuele kopie van het netwerk van de stad waar ze kunnen oefenen zonder echte schade aan te richten.

Zo werkt het team:

De Strategische Commandant (Tactische Schaal): Eerst kijkt een wiskundige planner naar het grote plaatje. Het maakt zich nog geen zorgen over de kleine details van het typen van commando's. In plaats daarvan vraagt het: "Welk gebouw is op dit moment het meest kritiek om te redden om te voorkomen dat het vuur zich verspreidt?" Het gebruikt een "rollout"-methode, wat lijkt op het uitspelen van duizenden mogelijke toekomsten in een simulatie om te zien welke volgorde van het redden van gebouwen leidt tot het snelste herstel.
De Veldagent (Operationele Schaal): Zodra de Commandant besluit: "Red eerst de server in de kelder," neemt een gespecialiseerde AI-agent (een lichte, fijn afgestelde chatbot) het over. Zijn taak is om die hoogwaardige opdracht te vertalen naar daadwerkelijke, uitvoerbare commando's.
Het Veiligheidsnet (De Digital Twin): Voordat de Veldagent een commando naar het echte netwerk stuurt, test hij dit in de Digital Twin — een virtuele replica van het systeem. Als het commando werkt in de simulatie, wordt het goedgekeurd. Als het faalt of een crash veroorzaakt in de virtuele wereld, wordt het weggegooid en probeert de agent een ander commando. Dit voorkomt dat de AI per ongeluk het echte systeem kapot maakt.

De onderzoekers hebben dit systeem getest in een gecontroleerde omgeving met vijf servers en drie verschillende soorten cyberaanvallen (zoals zwakke wachtwoorden, softwarebugs en command-injecties). Ze vergeleken hun systeem met de meest geavanceerde "frontier" chatbots van vandaag en andere bestaande geautomatiseerde methoden.

De resultaten waren veelbelovend. In hun simulaties slaagde dit nieuwe tweeledige team erin om het systeem gemiddeld 15,1% sneller te herstellen dan de beste op zichzelf staande chatbots. Nog belangrijker is dat ze het systeem 33,6% vaker succesvol herstelden dan diezelfde chatbots. Terwijl de top-tier chatbots het probleem ongeveer 50% tot 75% van de tijd konden oplossen, hield deze nieuwe methode een succespercentage boven de 90%.

Het artikel suggereert dat het geheime ingrediënt niet alleen het gebruik van een slimmere chatbot is, maar het combineren van het vermogen van de chatbot om code te schrijven met een strikte, op wiskunde gebaseerde strategie en een veiligheidscontrole in een virtuele wereld. De auteurs merken op dat het systeem niet perfect is; als de initiële aanname over hoe de aanvaller beweegt onjuist is, kan het plan minder effectief zijn. Echter, door een lichtgewicht model te gebruiken dat ze specifelliek op incidentdata hebben getraind (in plaats van een enorm, algemeen model), hebben ze aangetoond dat je geen supercomputer nodig hebt om uitstekende resultaten te behalen. In plaats daarvan heb je een systeem nodig dat weet wanneer het moet plannen, wanneer het moet handelen en wanneer het zijn werk moet dubbelchecken in een veilige, virtuele zandbak.

Technische Samenvatting: Agentische Incident Response door middel van Digital Twin-versterkte Multiscale Planning

Probleemstelling

Huidige incident response (IR) processen zijn overwegend handmatig en vertrouwen op security operators en vooraf gedefinieerde playbooks. Deze aanpak is vaak traag, arbeidsintensief en vereist gespecialiseerde vaardigheden, waarbij rapporten aangeven dat organisaties meer dan 100 dagen kunnen nodig hebben om volledig te reageren op en te herstellen van beveiligingsincidenten. Hoewel methoden voor autonome cyberdefensie (ACD) gebaseerd op besluitvormingstheorie (bijv. Reinforcement Learning, Markov Decision Processes) zijn voorgesteld om planning te automatiseren, opereren deze doorgaans op een abstract tactisch niveau. Deze methoden genereren hoogwaardige strategieën (bijv. "verdedig host X"), maar slagen er niet in om uitvoerbare operationele commando's te produceren, wat hun directe toepasbaarheid op reële systemen beperkt.

Daartegenover staan benaderingen die Large Language Models (LLMs) gebruiken om operationele commando's te genereren, welke lijden onder betrouwbaarheidsproblemen. Huidige agentische LLM-benaderingen vertrouwen vaak op herhaalde aanroepen zonder principiële planningsalgoritmen, wat leidt tot hallucinaties, onbetrouwbare plannen en beperkte planningshorizonten. Bovendien zijn veel bestaande LLM-gebaseerde methoden afhankelijk van externe providers en missen ze het vermogen om acties te verifiëren vóór implementatie.

Er bestaat een kritieke kloof tussen tactische planning (resource allocatie en strategie) en operationele uitvoering (het genereren en verifiëren van specifieke systeemcommando's).

Methodologie

Het artikel stelt een multiscale agentisch incident response framework voor dat deze kloof overbrugt door besluitvormingstheoretische planning te integreren met LLM-gebaseerde commando-generatie, ondersteund door een Digital Twin (DT). De architectuur opereert op twee verschillende schalen:

1. Formalisering: Factorized POMDP

De auteurs modelleren incident response als een Factorized Partially Observable Markov Decision Process (POMDP):

Toestandsruimte ( $s_t$ ): Gedecodeerd in een globale beveiligingstoestand ( $g_t$ ) die de compromisstatus van netwerkcomponenten vertegenwoordigt (veilig versus gecompromitteerd) en lokale hersteltoestanden ( $\ell_t$ ) die de voortgang van specifieke componenten door zes responsstadia weergeven (Containment, Assessment, Preservation, Eviction, Hardening, Restoration).
Acties ( $a_t$ ): Gescheiden in tactische acties (een permutatie die de prioriteitsvolgorde van componenten bepaalt die hersteld moeten worden) en operationele acties (specifieke systeemcommando's toegepast op de geprioriteerde component).
Kostenfunctie: Minimaliseert de hersteltijd terwijl vertragingen in het herstel van hoog-prioritaire of kritieke componenten worden bestraft.

2. De Multiscale Architectuur

Het systeem maakt gebruik van een Digital Twin die in twee modi functioneert:

Simulatiemodus (Tactische Schaal): Een lichtgewicht abstractie van het netwerk die wordt gebruikt om de voortgang van aanvallen te simuleren en hoogwaardige herstelstrategieën te evalueren.
Emulatiemodus (Operationele Schaal): Een virtuele replica van het getroffen systeem die wordt gebruikt om specifieke commando's uit te voeren en te verifiëren voordat ze op het echte systeem worden toegepast.

Het planningsproces omvat twee stadia:

Tactische Planning (Rollout Planner): Gebruikmakend van de Digital Twin simulatie, berekent een besluitvormingstheoretische planner (gebaseerd op lookahead rollout-methoden) een hoogwaardige responsstrategie. Het bepaalt de optimale volgorde voor het herstellen van netwerkcomponenten om de totale hersteltijd en risicopropagatie te minimaliseren.
Operationele Planning (LLM Agent): Een lichtgewicht, gefinetuned LLM vertaalt de hoogwaardige strategie naar uitvoerbare commando's.
- Offline Fine-tuning: De auteurs finetunen een DeepSeek-R1-14B model op drie specifieke taken met een dataset van 68.000 incidenten: (1) Incident Assessment (afleiden van aanvallers-tactieken), (2) Belief Generation (inschatten van de systeemtoestand vanuit logs), en (3) Response Action Generation.
- Online Executie: De LLM genereert kandidaat-commando's, die vervolgens worden geverifieerd via Digital Twin emulatie. Als een commando als effectief wordt geverifieerd, wordt het uitgevoerd; anders wordt de kosten gestraft en genereert de agent het plan opnieuw.

Belangrijkste Bijdragen

Factorized POMDP Formulering: De auteurs formuleren incident response als een factorized MDP die tactische planning op netwerkniveau expliciet scheidt van server-specifieke operationele planning.
Geïntegreerd Agentisch Framework: Zij ontwikkelen een framework dat besluitvormingstheoretische rollout-planning (voor strategie) combineert met LLM-gebaseerde generatie (voor uitvoering), geverifieerd door een Digital Twin. Dit is het eerste werk dat tactische planning combineert met operationele responsgeneratie op deze specifieke wijze.
Dual-Mode Digital Twin: In tegen nhau van eerdere werken die DT's gebruiken voor ofwel simulatie of emulatie, gebruikt deze methode beide: simulatie voor efficiënte tactische planning en emulatie voor operationele verificatie.
Lichtgewicht Lokale Implementatie: Het systeem gebruikt een lokaal gefinetuned 14B-parameter LLM, wat de afhankelijkheid van externe LLM-providers vermindert en aantoont dat lichtgewicht modellen kunnen presteren boven frontier-modellen wanneer zij worden gestuurd door principiële planning.

Experimentele Resultaten

De methode werd geëvalueerd op een testbed-netwerk met vijf servers over drie aanvalsscenario's: Weak-Credential-3, Shellshock-4, en Command-Injection-5.

Baselines: Het systeem werd vergeleken met frontier LLMs (GPT-5.5, Gemini-3.1-Pro, DeepSeek-V4-Pro, Claude-Opus-4.8) en state-of-the-art agentische baselines (IRCopilot, LLM-IR).
Herstelpercentage: De voorgestelde agentische aanpak bereikte een herstelpercentage van ~90% in alle scenario's. Dit presteerde significant beter dan de frontier LLMs (die percentages tussen 46,8% en 71,4% behaalden) en eerdere agentische baselines (50,8% tot 68,2%).
Executietijd: De aanpak verminderde de gemiddelde uitvoeringstijd van herstelacties met 15,1% vergeleken met de frontier LLMs.
Ablatie-studies:
- Wanneer vergeleken met baselines die dezelfde tactische planning gebruikten, was de voorgestelde methode's operationele planning (LLM + DT verificatie) superieur.
- Wanneer baselines werden gedwongen om tactische planning uit te voeren, presteerde de voorgestelde methode nog steeds beter met 53,9% tot 57,8% in uitvoeringstijd, wat de waarde van de geïntegreerde tactische-operationele loop benadrukt.
LLM Prestaties: Het gefinetunede 14B model bereikte een hoge precisie en recall (>0,85) voor veelvoorkomende aanvallers-tactieken en een pass-rate van 85,3% bij het genereren van effectieve herstelacties voor specifieke MITRE ATT&CK-tactieken.

Betekenis en Claims

Het artikel claimt dat de primaire betekenis van dit werk ligt in het overbruggen van de kloof tussen abstracte besluitvormingstheoretische planning en praktische operationele uitvoering. Door de strategische strengheid van rollout-planners te combineren met de contextuele adaptiviteit van LLMs, en beide te funderen in een Digital Twin voor verificatie, bereikt het systeem:

Betrouwbaarheid: Het mitigeren van LLM-hallucinaties door Digital Twin-verificatie.
Efficiëntie: Het verminderen van hersteltijd door optimale resource allocatie (tactische planning).
Praktische bruikbaarheid: Werken met een lichtgewicht, lokaal uitgerold model dat niet afhankelijk is van externe API-providers.

De auteurs concluderen dat hoewel hun methode niet perfect is — zij wijzen specifiek op beperkingen met betrekking tot mis-specificatie van aanvallers-tactieken (als de LLM de verkeerde tactieken afleidt, lijdt de tactische planning daaronder) en de computationele kosten van LLM rollouts — het een principiële stap is richting volledig autonome, betrouwbare en efficiënte incident response systemen. Toekomstig werk wordt geïdentificeerd als het adresseren van de kalibratie van LLM-gebaseerde incident assessment om mis-specificatie van tactieken te verminderen.