Hierarchical Agentic Incident Response with Digital-Twin-Validated Attack Inference
Dit artikel presenteert een hiërarchisch agentisch framework dat gefinetunede LLM's voor aanvalsinferentie, digital-twin validatie voor kalibratie en rollout-planning integreert om meerfasige incidentrespons te automatiseren, waarbij een significant hoger herstelsuccespercentage wordt bereikt dan frontier LLM-baselines op een enterprise netwerktestbed.
Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer
Wanneer een netwerk wordt binnengedrongen, begint de klok te tikken tegen een stille, onzichtbare vijand. De verdedigers staan voor een chaotische puzzel: ze zien verspreide alarmen en vreemde datapiieken, maar ze kunnen het volledige verhaal niet zien van hoe de indringer bewoog, wat hij heeft aangeraakt of waar hij als volgende kan toeslaan. Het maken van de juiste zet in deze mist vereist twee moeilijke zaken: eerst, het correct raden van het pad van de aanvaller op basis van onvolledige aanwijzingen, en tweede, het kiezen van een reeks reparaties die de schade stopt zonder nieuwe problemen te veroorzaken. Decennialang hebben beveiligingsteams vertrouwd op menselijke experts om dit samen te voegen, een traag en uitputtend proces dat vaak faalt wanneer de aanval complex is of het team klein is. Het veld van autonome defensie streeft ernaar deze menselijke arbeid te vervangen door intelligente systemen die zelfstandig kunnen denken, plannen en handelen, maar het bouwen van een machine die over een cyberaanval kan redeneren zonder gevaarlijke fouten te maken, is een hardnekkige uitdaging gebleven.
Een nieuwe studie door onderzoekers van de City University of Hong Kong en Fordham University biedt een frisse aanpak voor dit probleem door drie verschillende instrumenten te combineren in één enkel, gelaagd systeem. Ze bouwden een raamwerk waarin kunstmatige intelligentie niet alleen het antwoord raadt, maar ook haar eigen gissingen test voordat ze handelt. Het systeem begint met een gespecialiseerd taalmodel dat fungeert als een detective, die beveiligingslogs en systeemdata leest om de waarschijnlijke sequentie van een aanval te reconstrueren. In plaats van deze reconstructie onmiddellijk te accepteren, voert het systeem de vermoedelijke aanvalsequentie uit in een "digitale tweeling" – een virtuele replica van het echte netwerk die het gedrag ervan perfect nabootst. Als de virtuele aanval dezelfde resultaten produceert als de echte alarmen, weet het systeem dat de gok correct is. Als de virtuele resultaten verschillen, stuurt het systeem de discrepantie terug naar het detectivemodel om het verhaal te herzien. Deze cyclus van raden, testen en corrigeren zorgt ervoor dat het plan wordt gebouwd op een solide begrip van de werkelijkheid, en niet op een hallucinatie.
Zodra het systeem er zeker van is wat er is gebeurd, gaat het over naar de planningsfase, die is onderverdeeld in twee niveaus van besluitvorming. Het eerste niveau, de tactische laag, kijkt naar het gehele netwerk om te beslissen welke defecte onderdelen als eerste gerepareerd moeten worden. Het gebruikt een methode die vele mogelijke toekomsten simuleert om de volgorde van reparaties te vinden die de minste totale downtime veroorzaakt. Het tweede niveau, de operationele laag, neemt het specifieke component dat door de tactische planner is gekozen en bepaalt precies hoe het gefixed moet worden. Hier stelt een andere kunstmatige intelligentie-agent hoogwaardige herstelstappen voor, zoals het isoleren van een server of het resetten van een wachtwoord. Voordat deze stappen ooit op het echte netwerk worden toegepast, vertaalt een derde agent deze naar specifieke computercommando's en voert ze opnieuw uit in de digitale tweeling. Deze laatste controle verifieert dat de commando's daadwerkelijk zullen werken en het systeem niet per ongeluk zullen laten crashen. Pas na het passeren van deze rigoureuze simulatie voert het systeem het herstel uit op het werkelijke netwerk.
De onderzoekers testten dit raamwerk op een realistisch, gecontaineriseerd netwerktestbed met drieëndertig onderling verbonden componenten, waarbij ze drie verschillende soorten meerfasige aanvallen simuleerden, variërend van eenvoudig tot zeer geraffineerd. Ze vergeleken hun systeem met andere geavanceerde kunstmatige intelligentiemodellen die vertrouwen op standaard prompting zonder deze gelaagde verificatie. De resultaten toonden een duidelijk voordeel voor de nieuwe aanpak. In het eenvoudigste aanvalsscenario slaagde hun raamwerk er 90 procent van de tijd in om het netwerk volledig te herstellen, terwijl de beste concurrerende modellen slechts 72 procent van de tijd slaagden. Naarmate de aanvallen complexer werden, werd het gat groter, waarbij het nieuwe systeem succespercentages tussen de 86 en 88 procent behield, vergeleken met 60 tot 67 procent voor de anderen. Dit vertegenwoordigt een verbetering van achttien tot eenendertig procentpunten in het succes van het herstel. Bovendien was het systeem efficiënter; het committeerde zich doorgaans aan een beknopte sequentie van zes hoogwaardige acties per component, terwijl de concurrerende modellen vaak zeven tot vijftien acties genereerden, wat leidde tot langere en meer variabele executietijden.
De studie demonstreert dat het funderen van kunstmatige intelligentie in een gesimuleerde werkelijkheid het risico op fouten in omgevingen met hoge inzet aanzienlijk kan verminderen. Door het systeem te dwingen zijn eigen theorieën te herhalen en zijn commando's te verifiëren in een veilige, virtuele ruimte voordat het de echte wereld aanraakt, creëerden de onderzoekers een lus van verantwoording die pure taalmodellen missen. Het werk beweert niet elk probleem in cyberdefensie te hebben opgelost, maar biedt een concrete methode om geautomatiseerde reacties betrouwbaarder te maken. De bevindingen suggereren dat de toekomst van autonome beveiliging wellicht niet ligt in het slimmer maken van de kunstmatige intelligentie in isolatie, maar in het geven van een zandbak waarin zij haar zetten kan oefenen, zodat zij, wanneer zij uiteindelijk handelt, dit doet met precisie en vertrouwen.
Verdrinkt u in papers in uw vakgebied?
Ontvang dagelijkse digests van de nieuwste papers die bij uw onderzoekswoorden passen — met technische samenvattingen, in uw taal.