💻 computer science

Towards the Development of an LLM-Based Methodology for Automated Security Profiling in Compliance with Ukrainian Cybersecurity Regulations

该论文以乌克兰为案例，探讨了将国际标准融入国家监管体系，并提出了一种基于检索增强生成（RAG）和大语言模型（LLM）的自动化方法，用于在混合威胁环境下高效生成符合乌克兰网络安全法规的安全配置档案。

原作者： Daniil Shafranskyi, Iryna Stopochkina, Mykola Ilin

发布于 2026-04-09

📖 1 分钟阅读☕ 轻松阅读

原作者： Daniil Shafranskyi, Iryna Stopochkina, Mykola Ilin

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

这篇论文讲述了一个关于如何利用人工智能（AI）帮助乌克兰企业轻松应对复杂网络安全法规的故事。

为了让你更容易理解，我们可以把这篇论文的核心内容想象成"给一座城堡制定防御计划"的过程。

1. 背景：城堡与复杂的防御手册

想象一下，乌克兰的每一个公司、政府机构都像是一座城堡。

过去的挑战：以前，要保护这些城堡不被黑客（坏人）入侵，需要一位经验丰富的老工匠（网络安全专家）。他必须阅读成千上万页的防御手册（也就是乌克兰的法律法规，如 ND TPI 3.6-006-24，以及国际通用的 NIST 标准）。
痛点：这些手册太厚、太复杂，而且经常更新。老工匠每天要花大量时间翻阅，还要根据每座城堡的具体情况（是银行？是医院？还是普通商店？）来手动挑选合适的防御措施。这既慢又容易出错，就像让一个人凭记忆去画一张巨大的、精确的地图。

2. 解决方案：聪明的“AI 助手”

作者们提出了一种新方法，就像给老工匠配备了一个超级智能的“魔法助手”（基于大语言模型 LLM 和 RAG 技术）。

这个助手不是那种只会瞎编乱造的 AI，它是一个**“带图书馆的 AI"**：

RAG 技术（检索增强生成）：想象这个助手手里拿着一本实时更新的、数字化的防御手册库。当它需要回答“这座银行城堡该装什么锁”时，它不会凭空想象，而是立刻去图书馆里检索相关的条款，然后结合城堡的具体情况来写答案。
它的作用：它不再需要人类从头到尾去读手册，而是自动帮人类起草一份量身定制的“城堡防御清单”（即目标安全配置文件）。

3. 工作流程：从“通用模板”到“定制方案”

论文描述了这个助手是如何工作的，我们可以把它分成几个简单的步骤：

输入城堡信息：管理员告诉助手：“这是一座处理病人数据的医院城堡，有 500 个医生用户，数据在云端。”
自动匹配基础规则：助手立刻查库，发现医院属于“中等风险”，于是先拿出一份基础防御清单（比如：必须上锁、必须有人看门）。
智能定制（核心魔法）：
- 助手会思考：“因为是医院，病人隐私很重要，所以‘锁’要更高级（加密）。”
- “因为有云端数据，所以要增加‘防火墙’。”
- 它会自动把通用的规则变成具体的指令，比如把“定期检查”变成“每 2 小时检查一次”。
人类把关（人机协作）：这是最关键的一点。助手生成的清单不是最终决定。它会把草稿交给老工匠（人类专家）。老工匠只需要快速检查，确认无误后签字批准。
- 比喻：就像 AI 是实习医生，它写好了病历和处方，但必须由主治医生签字确认才能给病人用药。

4. 实验结果：谁更靠谱？

作者们找来了三个不同的“魔法助手”（Claude, Gemini, ChatGPT）进行比赛，看谁能最好地帮人类制定防御计划。

Claude (Sonnet 4.6)：表现最好。它像是一个反应极快、逻辑严密的助手，能在 4 分钟内生成一份非常详细、几乎不需要修改的 60 页报告。
ChatGPT：表现也不错，但比较谨慎。它经常说“这里我不确定，请人类确认一下”，虽然慢一点（花了 17 分钟），但很负责任。
Gemini：表现稍弱，它给出的答案有点断断续续，而且如果输入的信息不全，它更容易“胡编乱造”（幻觉）。

结论：如果输入的信息越详细，AI 就越聪明；如果信息太少，AI 就会犯错。所以，人类专家永远不能当甩手掌柜，必须最后拍板。

5. 这篇论文的意义是什么？

以前：制定安全规则像手工作坊，慢、贵、容易累坏专家。
现在：有了这个 AI 助手，就像变成了自动化流水线。专家可以从繁琐的“抄写”工作中解放出来，专注于做真正的决策。
未来：在战争和黑客攻击频发的环境下（就像论文提到的“混合威胁”），这种方法能让乌克兰的机构更快地适应新的安全法规，保护好自己的“城堡”。

一句话总结

这篇论文就是教我们如何用“带图书馆的 AI 助手”来帮人类快速、准确地制定网络安全规则，但最后签字画押的，还得是人类专家。

论文技术总结：基于 LLM 的自动化安全画像方法开发（符合乌克兰网络安全法规）

1. 研究背景与问题陈述 (Problem Statement)

背景：
随着信息技术在政府、商业及关键基础设施领域的快速发展，网络安全威胁日益严峻。乌克兰的网络安全监管框架正在经历重大转型，从传统的合规模式转向基于风险的方法。新的规范文件 ND TPI 3.6-006-24（2024 年发布）借鉴了 NIST SP 800-53 和 ISO/IEC 27001 的最佳实践，要求为信息系统制定具体的“目标安全画像”（Target Security Profile, TSP）。

核心问题：
尽管新的风险导向方法已被采纳，但在实际执行层面存在显著差距：

缺乏标准化工作流： 从业者缺乏清晰、可复现的从“基线画像”（Base Profile）到“目标画像”的定制流程。
人工复杂性高： 手动分析海量法规文档、识别威胁并选择控制措施耗时且易出错。
可解释性与追溯性不足： 现有的 AI 应用多侧重于报告生成，缺乏能够结合具体系统上下文、提供可追溯依据的自动化决策支持。

研究目标：
开发一种基于大语言模型（LLM）增强检索增强生成（RAG）的自动化方法，用于在符合乌克兰监管框架的前提下，生成可追溯、可解释且经过专家监督的目标安全画像。

2. 方法论 (Methodology)

本文提出了一种结构化的 LLM-RAG 架构，旨在将监管知识（ND TPI 3.6-006-24）与特定系统上下文相结合，自动生成控制级决策。

2.1 核心概念与约束

输入： 系统护照（System Passport，包含架构、数据类别、用户角色等）、基线安全画像（Base Profile）、监管知识库（R）。
输出： 目标安全画像（TSP），包含每个控制项的决策（保留、细化、增强、补偿等）、参数实例化及理由。
关键约束：
- 仅依赖提供的系统和监管上下文。
- 必须保持决策与规范来源的可追溯性。
- 明确标识信息不足的情况。
- 人机回环（Human-in-the-loop）： 最终批准权保留给人类专家。

2.2 形式化推导场景

作者将 TSP 的推导建模为约束决策支持过程 $P: (S, Q, B, R) \rightarrow T$ ：

系统上下文形式化： 将系统护照转化为结构化模型 $S$ （包含组件、数据、角色、接口等）。
安全需求提取： 基于系统上下文推导保密性、完整性、可用性等需求 $Q$ 。
基线选择： 根据系统分类（低/中/高影响）选择对应的基线控制集 $B$ 。
工作矩阵构建： 将基线控制扩展为包含上下文、需求和风险的工作矩阵。
控制级上下文分析：
- 计算控制相关性得分 $\rho$ 。
- 评估基线参数的充分性 $\alpha$ （充分/不足/未知）。
决策函数： 根据相关性和风险水平，为每个控制项分配决策：
- Keep (保留)： 参数充分且适用。
- Refine (细化)： 参数不足但适用，需调整参数。
- Enhance (增强)： 风险较高，需应用增强措施。
- Compensate (补偿)： 原控制不可行，需实施等效补偿措施。
- Add (添加)： 基线未覆盖但系统必需的新控制。
参数实例化与责任分配： 将通用控制转化为具体的可审计规则，并指定责任人和验证证据。

2.3 RAG 工作流架构

数据准备： 清洗 ND TPI 文档，进行分块（Chunking）、向量化（Embedding）并存储于向量数据库。
LLM 设置与提示工程： 选择模型，设计系统提示词，定义响应格式（如表格、列表）及约束。
RAG 集成： 检索与系统上下文相关的法规片段，构建增强提示词。
代理逻辑： LLM 分析增强提示词，生成草案，并标记信息缺失处。
部署与审查： 部署代理，由专家审查并批准最终画像。

3. 主要贡献 (Key Contributions)

提出了一种符合乌克兰监管框架的 TSP 推导方法： 填补了从基线画像到特定系统目标画像的自动化推导空白。
设计了 LLM-RAG 架构： 实现了生成带有可追溯依据（Traceable Justification）和标准化输出结构的控制级决策草案。
进行了初步的实验验证： 通过对比测试多种大语言模型（Claude, Gemini, ChatGPT），在专家监督下评估了该方法在不同场景下的有效性。

4. 实验结果与讨论 (Results & Discussion)

实验设置：
使用合成但符合现实场景的系统规格说明书，测试了三种 LLM 代理：

Claude Sonnet 4.6 Extended
Gemini 3.1 Pro
ChatGPT Thinking 5.4 (Extended effort)

关键发现：

模型性能差异显著：
- Claude Sonnet 4.6 表现最佳：在 4 分钟内生成了完整的 60 页报告。75% 的决策直接匹配专家判断，仅 15% 的控制项需要微调。
- ChatGPT Thinking 5.4 表现保守：耗时约 17 分钟，频繁要求澄清信息，符合“避免无依据假设”的方法论约束，但生成的增强建议较少。
- Gemini 3.1 Pro 表现不稳定：未能生成综合报告，而是分段输出，且幻觉率较高（43% 的缺失细节案例中出现幻觉）。
输入质量至关重要： 实验表明，当系统护照（System Passport）缺乏关键细节时，模型幻觉率显著上升。这验证了“人机回环”机制的必要性，即 AI 作为决策支持工具，人类专家必须作为最终把关者。
补偿建模（Compensation Modeling）： 虽然架构中包含了补偿控制的设计，但在本次实验中尚未遇到需要复杂补偿措施的真实案例，这是未来研究的方向。

5. 意义与价值 (Significance)

提升合规效率： 将复杂的法规解读和控制选择过程转化为结构化、透明的操作循环，显著降低了人工复杂度和错误率。
适应混合威胁环境： 该方法使组织能够动态调整防御措施，以应对乌克兰面临的高强度混合网络威胁。
可扩展性： 通过自动化处理数百个参数，组织可以在不大幅增加专业人员的情况下，扩展对不断演变的监管规范的合规能力。
人机协作新模式： 确立了 AI 负责分析负担、人类负责最终问责的协作模式，既利用了 AI 的算力，又保留了人类在关键决策中的控制权。

结论：
该研究证明了基于 RAG 增强的 LLM 在自动化网络安全画像生成方面的可行性。通过结合乌克兰最新的 ND TPI 3.6-006-24 规范，该方法为构建通用的智能决策支持系统奠定了基础，能够有效辅助组织在复杂的监管和威胁环境中实现自动化安全管理。