Resumo Técnico: TIBlender

Declaração do Problema

A coleta de inteligência de ameaças (TI) cibernética depende atualmente de forma intensiva de feeds de ameaças comerciais e públicos, o que introduz um atraso inevitável entre o surgimento de uma ameaça e sua publicação. Embora as plataformas de redes sociais (ex: X, Reddit, Telegram, Discord) tenham demonstrado carregar Indicadores de Comprometimento (IoCs) e detalhes de campanhas de ataque antes dos feeds oficiais, as abordagens existentes falham em automatizar totalmente a integração desses dados fragmentados e multilíngues em relatórios acionáveis.

Os sistemas atuais enfrentam três desafios fundamentais:

1. Integração Fragmentada: Sinais de ameaças estão distribuídos através de plataformas heterogêneas com diferentes idiomas, culturas de postagem e granularidades. O monitoramento de uma única plataforma resulta em inteligência estruturalmente incompleta.
2. Validação de Confiabilidade: As redes sociais contêm ruído significativo, desinformação e exagero. A extração automatizada baseada em uma única perspectiva não pode eliminar totalmente os falsos positivos, e os métodos existentes carecem de mecanismos para validar cruzadamente as evidências de perspectivas independentes.
3. Filtragem de Ruído e Adaptação: Sinais de ameaças estão enterrados sob spam e anúncios. Além disso, regras de monitoramento estáticas não conseguem acompanhar a evolução dos alvos, técnicas e plataformas utilizadas pelos adversários.

Nenhum sistema existente aborda simultaneamente a integração de dados de múltiplas plataformas, a validação entre fontes e a filtragem adaptativa de ruído para gerar relatórios de TI de ponta a ponta de forma automatizada.

Metodologia: Design do Sistema TIBlender

O TIBlender é um sistema multiagente autônomo projetado para monitorar múltiplas plataformas de redes sociais, correlacionar sinais fragmentados e gerar relatórios de TI estruturados e baseados em evidências. O sistema opera em ciclos de intervalo fixo e utiliza um pipeline de cinco etapas por ciclo, aumentado por mecanismos de feedback entre ciclos.

1. Arquitetura do Sistema

O sistema monitora quatro plataformas representativas: X (disseminação rápida), Reddit (discussão técnica aprofundada), Telegram (atividade de atores de ameaça) e Discord (coordenação de atores). Ele emprega agentes de Grandes Modelos de Linguagem (LLM) especializados para cada estágio, desde a extração de dados até a geração de relatórios estruturados.

2. O Pipeline de Cinco Etapas por Ciclo

• Etapa 1: Coleta Adaptativa e Análise de Postagem:
  • Coleta postagens via palavras-chave multilíngues predefinidas e aumento dinâmico de palavras-chave impulsionado pela detecção de tendências.
  • Aplica Reconhecimento Óptico de Caracteres (OCR) em imagens e utiliza um agente de LLM para gerar resumos de ameaças em inglês e extrair IoCs (URLs, hashes, domínios, IPs, CVEs) em paralelo.
  • Gera pares de (resumo da ameaça, lista de IoC) para processamento subsequente.
• Etapa 2: Agrupamento em Nível de Campanha:
  • Consolida postagens em clusters que representam a mesma campanha de ameaça usando uma abordagem de via dupla:
    • Via de IoC: Mescla postagens com alta sobreposição de IoC (similaridade de Jaccard) usando um algoritmo de união-busca (union-find).
    • Via Não-IoC: Usa similaridade semântica de resumos de ameaças para anexar postagens sem IoCs a clusters existentes ou agrupá-las via HDBSCAN.
  • Um agente de LLM divide os clusters em unidades de nível de campanha com base no alvo da organização e no vetor de ataque, atribuindo níveis de severidade (BAIXA/MÉDIA/ALTA/CRÍTICA).
• Etapa 3: Investigação de Múltiplas Perspectivas:
  • Implanta quatro agentes de investigação especializados (Infraestrutura, Técnica, Social, Ator) para coletar evidências.
  • Seleção de Modo: Os clusters são processados em modo de Múltiplas Perspectivas (para novas ameaças) ou modo Guiado por RL (para ameaças que se assemelham a casos passados). O modo Guiado por RL utiliza uma política de Aprendizado por Reforço (RL) para priorizar focos de investigação com base no sucesso histórico.
  • Os agentes utilizam ferramentas externas (RDAP/WHOIS, DNS Passivo, bases de dados de CVE) para pivotar a partir de IoCs iniciais para infraestrutura relacionada e informações de atores.
• Etapa 4: Loop de Avaliação Adaptativa:
  • Agentes "juízes" independentes (de diferentes provedores de LLM para reduzir o viés) avaliam o contexto da investigação ao longo de três eixos: Suficiência (todos os pontos de dados necessários foram coletados?), Consistência (existem contradições?) e Qualidade da Evidência (evidências de alta confiança são dominantes?).
  • Se a evidência for insuficiente, o sistema aciona uma investigação de acompanhamento no modo de Múltiplas Perspectivas.
  • Uma regra de consenso conservadora é aplicada: um relatório prossegue apenas se todos os juízes concordarem; caso contrário, ele é ignorado para suprimir falsos positivos.
• Etapa 5: Geração de Relatório Estruturado:
  • Converte contextos de investigação validados em relatórios de TI estruturados (JSON, PDF, Markdown, STIX 2.1).
  • Os relatórios incluem justificativas explícitas, pontuações de confiança e tipos de extração (Direta vs. Pivot).

3. Feedback entre Ciclos

• Adaptação de Consulta Baseada em Tendências: Analisa tendências de clusters (volume, propagação, escalada) para gerar consultas de busca dinâmicas para o próximo ciclo, garantindo a cobertura de ameaças emergentes.
• Aprendizado de Política de RL Online: Utiliza trajetórias de investigação bem-sucedidas de ciclos passados para ajustar a política de RL para a Etapa 3, melhorando a eficiência de investigações futuras.

Principais Contribuições

1. Implementação do TIBlender: Um sistema multiagente que integra sinais de ameaças fragmentados e multilíngues através de múltiplas plataformas e gera autonomamente relatórios de TI acionáveis com IoCs verificados e justificativas baseadas em evidências.
2. Validação Quantitativa da Necessidade Cross-Platform: Demonstra que cada plataforma contribui com informações de ameaças únicas. Excluir qualquer plataforma individual resulta em perda substancial de relatórios em categorias específicas de ameaças (ex: excluir o Discord elimina 43% dos relatórios de Vulnerabilidade).
3. Capacidade de Alerta Precoce Operacional: Através de implantação em larga escala, o sistema captura ameaças antes de feeds públicos e registros de vulnerabilidades, incluindo explorações em campo (in-the-wild).

Resultados Experimentais

O sistema foi implantado por 31 dias (16 de março – 16 de abril de 2026) no X, Reddit, Telegram e Discord.

• Escala: Processou 873.973 postagens brutas, consolidadas em 184.240 clusters, e gerou 8.288 relatórios de ameaças acionáveis.
• Dependência Cross-Platform:
  • O X foi a principal fonte para Phishing/Fraude (65%).
  • O Reddit dominou Malware/C2 (59%).
  • Discord e X dividiram os relatórios de Vulnerabilidade (45% e 46%).
  • APT/Ransomware foi a categoria mais distribuída, com contribuições significativas de todas as quatro plataformas.
  • Excluir uma única plataforma resultou na perda de até 50% dos relatórios em categorias específicas.
• Comparação com Baselines de Plataforma Única:
  • Sob condições de entrada idênticas, a extração de IoC do TIBlender (Direta + Pivot) excedeu as baselines de plataforma única (Tweezers, DarkGram, Reddit2CTI) em 1,6x a 5,1x em volume.
  • Novidade: O TIBlender identificou 81,7%–94,0% dos IoCs que estavam ausentes das respectivas baselines de plataforma única.
  • Qualidade: Os IoCs do TIBlender foram sinalizados por 11+ mecanismos do VirusTotal em 19,7%–32,3% dos casos, superando significativamente as baselines (ex: DarkGram em 0,4%). A taxa de falsos positivos para IoCs de domínio foi mantida baixa (1,8%–2,3%) em comparação com as baselines (até 44,0%).
• Comparação com Feeds Públicos:
  • Ausência de Escopo de Feed: 83,0%–99,6% dos IoCs do TIBlender estavam ausentes de seis grandes feeds públicos (PhishTank, MalwareBazaar, URLhaus, CISA KEV, OTX Pulses, TweetFeed).
  • Detecção Antecipada: O TIBlender detectou IoCs sobrepostos antes de feeds públicos em 13,7%–31,3% dos casos.
  • Tempo de Antecedência (Lead Time): O sistema capturou explorações em campo até 13,4 dias antes da listagem no CISA KEV e 72 horas antes do PhishTank.

Significância e Alegações

O artigo estabelece o monitoramento de redes sociais cross-platform como uma camada de alerta precoce eficaz e escalável para pipelines de TI operacionais. Argumenta-se que:

• A Integração é Crítica: Nenhuma plataforma fornece uma visão completa; a integração cross-platform é essencial para uma cobertura abrangente.
• A Automação é Viável: Sistemas multiagentes com LLMs especializados por função podem automatizar com sucesso as tarefas complexas de correlacionar evidências fragmentadas, validar confiabilidade e gerar relら de TI estruturados.
• Tempestividade: O monitoramento automatizado de redes sociais pode reduzir significativamente o tempo de detecção para ameaças emergentes em comparação com a coleta baseada em feeds tradicionais, fornecendo inteligência acionável antes que vulnerabilidades sejam oficialmente catalogadas ou amplamente disseminadas.

Os autores enfatizam que sua abordagem troca explicitamente um modesto aumento de falsos negativos por uma supressão significativa de falsos positivos, priorizando a confiabilidade necessária para a integração direta em Centros de Operações de Segurança (SOCs).