CTIFoundry: An Agent-Native Corpus Scaffold for Cyber Threat Intelligence
Dit artikel introduceert CTIFoundry, een agent-native corpus-scaffold die de latente structuur van Cyber Threat Intelligence materialiseert via een deterministische ontologiegrafiek en span-gegronde rapporten, waardoor de prestaties en efficiëntie van agentische onderzoekswerkzaamheden aanzienlijk worden verbeterd in vergelijking met traditionele platte retrieval-substraten.
Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer
In de digitale wereld jagen beveiligingsexperts constant op aanwijzingen over wie hen aanvalt en hoe. Dit werk, bekend als cyber threat intelligence, leunt op enorme collecties rapporten geschreven door verschillende bedrijven en organisaties. Jarenlang was de standaardmanier om deze rapporten met kunstmatige intelligentie te gebruiken, het behandelen van deze als een bibliotheek van ongeorganiseerde boeken. Wanneer een computerprogramma een vraag stelt, zoekt het systeem naar de meest vergelijkbare woorden in de tekst en haalt een paar pagina's naar voren. Deze methode werkt goed voor eenvoudige vragen, maar het heeft moeite wanneer het onderzoek vereist dat er verbanden worden gelegd tussen verschillende documenten. Een enkele hackergroep kan in drie verschillende rapporten onder drie verschillende namen worden genoemd, en de officiële registers die een specifieke softwarefout koppelen aan een bekende aanvallingsmethode, liggen vaak diep begraven in lange paragrafen tekst. Als de computer deze verborgen connecties niet kan zien, kan hij het puzzelstukje niet oplossen, ongeacht hoe slim het kunstmatige intelligentieprogramma is.
Een team van onderzoekers heeft ontdekt dat het probleem niet de intelligentie van de computer is, maar de manier waarop de informatie is opgeslagen. Ze bouwden een nieuw systeem genaamd CTIFoundry, dat fungeert als een gespecialiseerd framework voor het organiseren van deze beveiligingsrapporten voordat de computer ze überhaupt probeert te lezen. In plaats van de data als een brij van tekst achter te laten, bouwt het systeem eerst een duidelijke kaart van de feiten. Het neemt de officiële records van vier belangrijke beveiligingsdatabases en verbindt deze met precieze lijnen, waarbij exact wordt getoond welke softwarezwakte tot welk aanvalspatroon leidt. Vervolgens leest het de rommelige rapporten van leveranciers en vindt de specifieke zinnen die deze bekende groepen of fouten noemen, waarbij ze worden voorzien van een label met hun exacte locatie in de oorspronkelijke tekst. Dit proces verandert een plat stapel documenten in een gestructureerd netwerk waarin elk stukje informatie zijn buren en zijn bron kent.
De onderzoekers testten dit nieuwe systeem door dezelfde kunstmatige intelligentie-agent twee verschillende manieren te geven om toegang te krijgen tot dezelfde set beveiligingsgegevens. In het ene scenario gebruikte de agent de oude, ongeorganiseerde methode. In het andere scenario gebruikte het de nieuwe, gestructureerde kaart. De resultaten waren opmerkelijk. Wanneer de agent het nieuwe systeem gebruikte, sprong het vermogen om vragen correct te beantwoorden aanzienlijk omhoog, zelfs toen de onderzoekers een kleiner, minder krachtig computermodel gebruikten. Sterker nog, het kleinere model dat de nieuwe kaart gebruikte, presteerde beter dan het krachtigste model dat de oude, ongeorganiseerde stapel tekst gebruikte. De verbetering kwam niet doordat de computer harder zocht of meer pagina's las. Integendeel, de agent die het nieuwe systeem gebruikte, vond de juiste antwoorden terwijl hij ongeveer de helft minder pogingen deed om informatie op te zoeken. Het had simpelweg een beter pad om te volgen.
De studie onthulde ook waarom de oude methode zo vaak faalde. Zonder de vooraf gebouwde kaart zou de computer vaak verdwalen in de tekst, waarbij hij zocht naar vergelijkbare woorden die leidden tot doodlopende wegen of verwarrende resultaten. Het zou de officiële links missen die experts al hadden opgeschreven, omdat deze links verborgen zaten in lange zinnen. Het nieuwe systeem dwingt de computer om eerst de officiële verbindingen te volgen, waarbij de tekst wordt behandeld als een secundaire bron van detail in plaats van de primaire gids. Deze aanpak bleek zo effectief dat de onderzoekers ontdekten dat de structuur van de data belangrijker was dan de ruwe kracht van het computermodel zelf. Een klein model met een duidelijke kaart presteerde beter dan een reusachtig model met een rommelige een.
Om te garanderen dat het systeem betrouwbaar was, bouwden de onderzoekers het met strikte regels die voorkamen dat het feiten verzint. Elke verbinding in de kaart moest afkomstig zijn uit een officieel record, en elk stukje tekst dat het uit een rapport haalde, moest terugverwijzen naar de exacte plek in het oorspronkelijke document waar het gevonden was. Dit betekende dat de computer geen dingen kon verzinnen of antwoorden kon raden. Het systeem bevatte ook een reeks eenvoudige instructies, of gewoontes, voor de computer om te volgen, zoals het controleren van de officiële kaart voordat er naar vergelijkbare woorden wordt gezocht. Deze gewoontes, gecombineerd met de duidelijke kaart, creëerden een super-additief effect, wat betekent dat de twee delen beter samenwerkten dan ze alleen zouden hebben gedaan.
De kosten voor het bouwen van dit nieuwe systeem waren verrassend laag en vereisten slechts een kleine hoeveelheid rekenkracht om de initiële data te verwerken. Eenmaal gebouwd, liet het systeem de computer complexe onderzoeken oplossen voor ongeveer twee cent per vraag. De onderzoekers concludeerden dat voor velden waar informatie sterk gestructureerd is en steunt op officiële verbindingen, de grootste flessenhals niet de intelligentie van de kunstmatige agent is, maar de kwaliteit van de data die aan hem wordt gegeven. Door de data te organiseren in een vorm die een agent op natuurlijke wijze kan begrijpen en doorlopen, maakte het systeem het onderzoeksproces sneller, goedkoper en veel nauwkeuriger. Het werk suggereert dat de meest effectieve manier om kunstmatige intelligentie in gespecialiseerde velden te verbeteren in de toekomst misschien niet ligt in het bouwen van slimmere hersenen, maar in het bouwen van betere bibliotheken voor hen om in te lezen.
Verdrinkt u in papers in uw vakgebied?
Ontvang dagelijkse digests van de nieuwste papers die bij uw onderzoekswoorden passen — met technische samenvattingen, in uw taal.