技术摘要：TIBlender

问题陈述

网络威胁情报（TI）的收集目前高度依赖商业和公共威胁情报源，这不可避免地在威胁出现与发布之间引入了时间滞后。虽然社交媒体平台（如 X、Reddit、Telegram、Discord）已被证明在官方情报源之前就携带了失陷指标（IoC）和攻击活动细节，但现有方法无法实现将这些碎片化、多语言数据整合为可操作报告的全自动化。

现有系统面临三个根本性挑战：

1. 碎片化集成： 威胁信号分布在具有不同语言、发布文化和粒度的异构平台中。单一平台的监测会导致结构性不完整的智能。
2. 可靠性验证： 社交媒体包含大量的噪声、误导信息和夸张言论。依赖单一视角的自动化提取无法完全消除误报，且现有方法缺乏从独立视角进行交叉验证证据的机制。
3. 噪声过滤与自适应： 威胁信号被埋没在垃圾信息和广告之下。此外，静态的监控规则无法跟上不断演变的攻击目标、技术以及对手所使用的平台。

目前尚无系统能同时解决多平台数据集成、跨源验证以及自适应噪声过滤，从而生成端到端的自动化 TI 报告。

方法论：TIBlender 系统设计

TIBlender 是一个自主多智能体系统，旨在监控多个社交媒体平台，关联碎片化信号，并生成结构化的、有证据支持的 TI 报告。该系统以固定间隔周期运行，利用由跨周期反馈机制增强的五步循环流水线。

1. 系统架构

系统监控四个代表性平台：X（快速传播）、Reddit（深入的技术讨论）、Telegram（威胁行为者活动）和 Discord（行为者协作）。它为每个阶段采用专门的大语言模型（LLM）智能体，涵盖从数据提取到结构化报告生成的全过程。

2. 五步循环流水线

• 第 1 步：自适应采集与帖子分析：
  • 通过预定义的多种语言关键词以及由趋势检测驱动的动态关键词增强进行采集。
  • 对图像应用光学字符识别（OCR），并使用 LLM 智能体并行生成英文威胁摘要并提取 IoC（URL、哈希、域名、IP、CVE）。
  • 输出（威胁摘要、IoC 列表）对，供下游处理。
• 第 2 步：活动级聚类：
  • 使用双轨方法将帖子整合为代表同一威胁活动的簇：
    • IoC 轨道： 使用并查集算法合并具有高 IoC 重叠度（Jaccard 相似度）的帖子。
    • 非 IoC 轨道： 使用威胁摘要的语义相似度，将不含 IoC 的帖子附加到现有簇中，或通过 HDBSCAN 进行分组。
  • LLM 智能体根据目标组织和攻击向量将簇拆分为活动级单元，并分配严重程度等级（LOW/MEDIUM/HIGH/CRITICAL）。
• 第 3 步：多视角调查：
  • 部署四个专门的调查智能体（基础设施、技术、社交、行为者）来收集证据。
  • 模式选择： 簇以多视角模式（针对新型威胁）或 RL 引导模式（针对类似于过去案例的威胁）进行处理。RL 引导模式使用强化学习策略，根据历史成功率来优先确定调查重点。
  • 智能体使用外部工具（RDAP/WHOIS、被动 DNS、CVE 数据库）从初始 IoC 转向相关的基础设施和行为者信息。
• 第 4 步：自适应评估环：
  • 独立的“评审”智能体（来自不同的 LLM 提供商以减少偏差）从三个维度评估调查上下文：充分性（是否收集了所有必需的数据点？）、一致性（是否存在矛盾？）以及 证据质量（是否以高置信度证据为主？）。
  • 如果证据不足，系统会触发多视角模式下的后续调查。
  • 应用保守的共识规则：只有当所有评审员达成一致时，报告才会继续执行；否则，该报告将被跳过以抑制误报。
• 第 5 步：结构化报告生成：
  • 将经过验证的调查上下文转换为结构化 TI 报告（JSON、PDF、Markdown、STIX 2.1）。
  • 报告包含明确的理由说明、置信度评分以及提取类型（直接提取 vs. 转向提取）。

3. 跨周期反馈

• 基于趋势的查询自适应： 分析簇趋势（容量、传播、升级）以生成下一周期的动态搜索查询，确保对新兴威胁的覆盖。
• 在线 RL 策略学习： 利用过去周期中的成功调查轨迹来微调第 3 步的 RL 策略，提高未来调查的效率。

核心贡献

1. TIBlender 实现： 一个多智能体系统，能够整合来自多个平台的碎片化、多语言威胁信号，并自主生成带有验证 IoC 和证据支持理由的可操作 TI 报告。
2. 跨平台必要性的定量验证： 证明了每个平台都贡献了独特的威胁信息。排除任何单一平台都会导致特定威胁类别（例如，排除 Discord 会导致漏洞类报告减少 43%）的显著损失。
3. 运行态预警能力： 通过大规模部署，该系统能够捕捉到早于公共情报源和漏洞注册库的威胁，包括正在进行的实战攻击（in-the-wild exploitation）。

实验结果

系统在 X、Reddit、Telegram 和 Discord 上进行了为期 31 天（2026 年 3 月 16 日至 4 月 16 日）的部署。

• 规模： 处理了 873,973 条原始帖子，将其整合为 184,240 个簇，并生成了 8,288 份可操作的威胁报告。
• 跨平台依赖性：
  • X 是网络钓鱼/欺诈的主要来源（65%）。
  • Reddit 在恶意软件/C2 领域占主导地位（59%）。
  • Discord 和 X 平分了漏洞类报告（分别为 45% 和 46%）。
  • APT/勒索软件 是分布最广泛的类别，四个平台均有显著贡献。
  • 排除任何单一平台都会导致特定类别中高达 50% 的报告丢失。
• 与单平台基准对比：
  • 在相同的输入条件下，TIBlender 的 IoC 提取（直接 + 转向）在量级上超过了单平台基准（Tweezers, DarkGram, Reddit2CTI）1.6 倍至 5.1 倍。
  • 新颖性： TIBlender 识别出的 IoC 中，有 81.7%–94.0% 是在各自单平台基准中不存在的。
  • 质量： TIBlender 的 IoC 在 19.7%–32.3% 的案例中被 11 个以上的 VirusTotal 引擎标记，显著优于基准（例如，DarkGram 仅为 0.4%）。相比之下，其域名 IoC 的误报率保持在较低水平（1.8%–2.3%），而基准最高可达 44.0%。
• 与公共情报源对比：
  • 情报范围缺失： TIBlender 识别出的 IoC 中，有 83.0%–99.6% 在六个主要公共情报源（PhishTank, MalwareBazaar, URLhaus, CISA KEV, OTX Pulses, TweetFeed）中均未出现。
  • 早期检测： TIBlender 在 13.7%–31.3% 的案例中比公共情报源更早发现重叠的 IoC。
  • 领先时间： 该系统捕获实战攻击的时间比 CISA KEV 列表提前最多 13.4 天，比 PhishTank 提前最多 72 小时。

重要性与主张

本文确立了跨平台社交媒体监测作为运营级 TI 流水线中有效且可扩展的预警层的作用。作者认为：

• 集成至关重要： 没有哪个平台能提供完整的视图；跨平台集成对于实现全面覆盖是必不可少的。
• 自动化是可行的： 拥有角色专业化 LLM 的多智能体系统可以成功实现自动化，完成关联碎片化证据、验证可靠性以及生成结构化报告等复杂任务。
• 及时性： 与传统的基于情报源的收集相比，自动化监控社交媒体可以显著缩短新兴威胁的检测时间，在漏洞被正式编目或广泛传播之前提供可操作的情报。

作者强调，其方法通过牺牲少量的漏报率（false negatives）来换取大幅降低误报率（false positives），从而优先保证了能够直接集成到安全运营中心（SOC）中的可靠性。