Resumo Técnico: Resposta a Incidentes Agêntica através de Planejamento Multiescala Aprimorado por Gêmeo Digital

Declaração do Problema

Os processos atuais de resposta a incidentes (RI) são predominantamente manuais, dependendo de operadores de segurança e playbooks predefinidos. Esta abordagem é frequentemente lenta, intensiva em mão de obra e exige habilidades especializadas, com relatórios indicando que as organizações podem levar mais de 100 dias para responder totalmente e se recuperar de incidentes de segurança. Embora métodos de defesa cibernética autônoma (ACD) baseados em abordagens de teoria da decisão (ex: Aprendizado por Reforço, Processos de Decisão de Markov) tenham sido propostos para automatizar o planejamento, eles operam tipicamente em uma escala tática abstrata. Esses métodos geram estratégias de alto nível (ex: "defender o host X"), mas falham em produzir comandos operacionais executáveis, limitando sua aplicabilidade direta a sistemas do mundo real.

Por outro lado, abordagens que utilizam Grandes Modelos de Linguagem (LLMs) para gerar comandos operacionais sofrem com problemas de confiabilidade. As abordagens agênticas de LLM atuais frequentemente dependem de invocações repetidas sem algoritmos de planejamento fundamentados, levando a alucinações, planos não confiáveis e horizontes de planejamento limitados. Além disso, muitos métodos baseados em LLM existentes dependem de provedores externos e carecem da capacidade de verificar ações antes da implantação.

Existe uma lacuna crítica entre o planejamento tático (alocação de recursos e estratégia) e a execução operacional (geração e verificação de comandos específicos do sistema).

Metodologia

O artigo propõe um framework de resposta a incidentes agêntico multiescala que preenche essa lacuna integrando o planejamento baseado em teoria da decisão com a geração de comandos via LLM, tudo suportado por um Gêmeo Digital (DT). A arquitetidade opera em duas escalas distintas:

1. Formalização: POMDP Fatorizado

Os autores modelam a resposta a incidentes como um Processo de Decisão de Markov Parcialmente Observável (POMDP) Fatorizado:

• Espaço de Estados ($s_t$): Decomposto em um estado de segurança global ($g_t$), representando o status de comprometimento dos componentes da rede (seguro vs. comprometido), e estados de recuperação local ($\ell_t$), representando o progresso de componentes específicos através de seis estágios de resposta (Contenção, Avaliação, Preservação, Expulsão, Endurecimento, Restauração).
• Ações ($a_t$): Separadas em ações táticas (uma permutação definindo a ordem de prioridade dos componentes a serem recuperados) e ações operacionais (comandos específicos do sistema aplicados ao componente priorizado).
• Função de Custo: Minimiza o tempo de recuperação enquanto penaliza atrasos na recuperação de componentes de alta prioridade ou críticos.

2. A Arquitetura Multiescala

O sistema emprega um Gêmeo Digital (DT) que funciona em dois modos:

• Modo de Simulação (Escala Tática): Uma abstração leve da rede usada para simular a progressão do ataque e avaliar estratégias de recuperação de alto nível.
• Modo de Emulação (Escala Operacional): Uma réplica virtual do sistema afetado usada para executar e verificar comandos específicos antes que sejam aplicados ao sistema real.

O processo de planejamento envolve duas etapas:

• Planejamento Tático (Planejador de Rollout): Usando a simulação do Gêmeo Digital, um planejador de decisão teórica (baseado em métodos de rollout de lookahead) computa uma estratégia de recuperação de alto nível. Ele determina a ordem ideal de recuperação dos componentes da rede para minimizar o tempo total de recuperação e a propagação de risco.
• Planejamento Operacional (Agente LLM): Um LLM leve e ajustado (fine-tuned) traduz a estratégia de alto nível em comandos executáveis.
  • Ajuste Fino Offline: Os autores realizam o ajuste fino de um modelo DeepSeek-R1-14B em três tarefas específicas usando um conjunto de dados de 68.000 incidentes: (1) Avaliação de Incidente (inferir táticas de atacante), (2) Geração de Crença (estimar o estado do sistema a partir de logs) e (3) Geração de Ação de Resposta.
  • Execução Online: O LLM gera comandos candidatos, que são então verificados via emulação do Gêmeo Digital. Se um comando for verificado como eficaz, ele é executado; caso contrário, o custo é penalizado e o agente regenera o plano.

Principais Contribuições

1. Formulação de POMDP Fatorizado: Os autores formulam a resposta a incidentes como um MDP fatorizado que separa explicitamente o planejamento tático ao nível de rede do planejamento operacional específico de cada servidor.
2. Framework Agêntico Integrado: Eles desenvolvem um framework que combina planejamento de rollout de decisão teórica (para estratégia) com geração baseada em LLM (para execução), verificado por um Gêmeo Digital. Este é o primeiro trabalho a combinar planejamento tático com geração de resposta operacional desta maneira específica.
3. Gêmeo Digital de Modo Duplo: Ao contrário de trabalhos anteriores que utilizam DT para simulação ou emulação, este método utiliza ambos: simulação para planejamento tático eficiente e emulação para verificação operacional.
4. Implementação Local Leve: O sistema utiliza um LLM de 14 bilhões de parâmetros implementado localmente, reduzindo a dependência de provedores externos de LLM e demonstrando que modelos leves podem superar modelos de fronteira quando guiados por um planejamento fundamentado.

Resultados Experimentais

O método foi avaliado em uma rede de teste com cinco servidores em três cenários de ataque: Weak-Credential-3, Shellshock-4 e Command-Injection-5.

• Baselines: O sistema foi comparado contra LLMs de fronteira (GPT-5.5, Gemini-3.1-Pro, DeepSeek-V4-Pro, Claude-Opus-4.8) e baselines agênticas de última geração (IRCopilot, LLM-IR).
• Taxa de Recuperação: A abordagem agêntica proposta alcançou uma taxa de recuperação de ~90% em todos os cenários. Isso superou significativamente os LLMs de fronteira (que alcançaram taxas entre 46,8% e 71,4%) e os baselines agênticos anteriores (50,8% a 68,2%).
• Tempo de Execução: A abordagem reduziu o tempo médio de execução de ação de recuperação em 15,1% em comparação com os LLMs de fronteira.
• Estudos de Ablação:
  • Quando comparado a baselines usando o mesmo plano tático, o planejamento operacional do método proposto (LLM + verificação DT) foi superior.
  • Quando os baselines foram forçados a realizar o planejamento tático, o método proposto ainda superou os demais em 53,9% a 57,8% no tempo de execução, destacando o valor do loop integrado tático-operacional.
• Desempenho do LLM: O modelo 14B ajustado alcançou alta precisão e recall (>0,85) para táticas de ataque comuns e uma taxa de sucesso de 85,3% na geração de ações de recuperação eficazes para táticas específicas do MITRE ATT&CK.

Significância e Alegações

O artigo alega que a principal significância deste trabalho reside em preencher a lacuna entre o planejamento abstrato de decisão teórica e a execução operacional prática. Ao combinar o rigor estratégico dos planejadores de rollout com a adaptabilidade contextual dos LLMs, e fundamentar ambos em um Gêmeo Digital para verificação, o sistema alcança:

• Confiabilidade: Mitigação de alucinações de LLM através da verificação pelo Gêmeo Digital.
• Eficiência: Redução do tempo de recuperação através da alocação ideal de recursos (planejamento tático).
• Praticidade: Operação com um modelo leve, implantado localmente, que não depende de provedores de API externos.

Os autores concluem que, embora seu método não seja perfeito — observando especificamente limitações quanto à especificação incorreta de táticas de ataque (se o LLM inferir as táticas erradas, o plano tático sofre) e o custo computacional dos rollouts de LLM — ele representa um passo fundamental em direção a sistemas de resposta a incidentes totalmente autônomos, confiáveis e eficientes. O trabalho futuro é identificado para abordar a calibração da avaliação de incidentes baseada em LLM para reduzir a especificação incorreta de táticas.