💻 computer science

COHORT: Collaborative Orchestration for Hardening via Offensive Replay on Emulated Topologies

COHORT 是一个端到端的多智能体大语言模型（LLM）框架，它通过在高保真仿真拓扑结构上实现候选配置，并通过攻击重放和连通性检查进行严格测试，以确保在不干扰合法流量的情况下阻断特定攻击，从而实现可部署网络缓解方案的自动化生成与验证。

原作者： Chen Frydman, Aviram Zilberman, Rubin Krief, Abed Showgan, Andres Murillo, Sekiya Motoyoshi, Asaf Shabtai, Yuval Elovici, Rami Puzis

发布于 2026-06-30

📖 1 分钟阅读☕ 轻松阅读

CC BY 4.0

原作者： Chen Frydman, Aviram Zilberman, Rubin Krief, Abed Showgan, Andres Murillo, Sekiya Motoyoshi, Asaf Shabtai, Yuval Elovici, Rami Puzis

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

想象一下，一家公司的计算机网络就像一座巨大且繁忙的办公大楼。有一天，一名窃贼（网络罪犯）闯入了其中。通常情况下，当这种情况发生时，安全团队必须花费数周时间来研究如何在不误将员工锁在办公室外的情况下，将窃贼拒之门外。这是一场关于“如果……会怎样”的高风险、高难度博弈，而在真实的建筑上进行测试风险太大，因为一旦出错，整个业务就会停摆。

COHORT 是一个旨在解决这一问题的全新自动化系统。你可以把它想象成一个超级智能的虚拟“沙盒”或模拟实验室，让安全团队可以在不触及真实建筑的情况下，安全地练习如何将窃贼拒之门外。

以下是 COHORT 的工作原理，通过简单的概念进行拆解：

1. 虚拟孪生体（沙盒）

COHORT 不会在真实网络上测试修复方案，而是构建一个完美的高科技数字副本。这不仅仅是一张图纸；它是一个运行中的模拟程序，使用与真实环境完全相同的软件和硬件规则（例如真实的防火墙和路由器）。

类比： 想象一下飞行员的飞行模拟器。他们可以在模拟器中撞毁飞机一百次，而不会伤及任何人。COHOT 就是网络安全的飞行模拟器。

2. AI 专家团队（智能体）

COHORT 并不只使用一个 AI 大脑，而是使用一个由专业 AI 智能体组成的团队，每个智能体都有特定的职责，像一台运转良好的机器一样协同工作：

建议者 (The Suggester)： 这个智能体观察窃贼的行动计划，并提出建议：“嘿，如果我们封锁这条走廊，窃贼就无法通过。”
执行者 (The Implementer)： 这个智能体负责将那个想法转化为实际的操作，编写出用于在虚拟设备上锁定该走廊的具体代码命令。
批评者 (The Critic)： 这是一个严格的编辑。在测试修复方案之前，批评者会审查代码。“等等，你锁错了门！”或者“那个命令有个拼写错误。”如果出现问题，他们会将代码发回给执行者进行修正。他们会不断循环，直到修复方案完美无缺。
裁判 (The Judge)： 一旦修复方案准备就绪，裁判会将同一个窃贼重新带回虚拟建筑中，观察新的锁具是否真的起到了作用。
总结者 (The Summarizer)： 这个智能体负责为人类编写报告，用通俗易懂的语言解释发生了什么。

3. “窃贼重演”测试

这是最关键的部分。在过去，安全系统可能会根据数学或规则来猜测修复方案是否有效。COHORT 的做法不同：它会重新运行攻击过程。

类比： 想象你在门上安装了一个新的死锁。你不仅是检查锁看起来是否坚固，而是雇佣了之前闯入过的那个完全相同的窃贼，让他再次尝试开门。如果窃贼进不来，且员工仍然可以穿过这扇门到达办公桌，那么修复就是成功的。

4. “不要破坏办公室”规则

COHORT 的一个主要目标是确保修复方案不会意外地将“好人”拒之门外。

检查机制： 在接受一个修复方案之前，系统会自动探测内部网络并尝试访问一个网站。如果该修复方案在阻挡了窃贼的同时，也阻止了员工发送电子邮件或加载网页，系统会立即拒绝该方案。

5. 叠加防御（累积效应）

有时仅靠一把锁是不够的。COHORT 可以将多个成功的锁层层叠加在一起。

类比： 这就像是在安装了门栓之后，又加上了链条，最后再加上一个监控摄像头。系统会在前一个层级的防护基础上测试每一个新层级，以确保它们能协同工作，而不是互相抵消。

研究发现了什么？

研究人员针对四种不同类型的网络攻击（如勒索软件、数据窃取和在网络中扩散）在三种不同规模的虚拟办公大楼上测试了这个系统。

结果： 多智能体团队（建议者 + 执行者 + 批评者）寻找有效修复方案的成功率比试图独立完成所有工作的单个 AI 智能体高出 4.4 倍。
成功率： 该团队生成的修复方案中，大约有 47% 成功实现了既能阻止攻击又能保持办公运行的目标。
局限性： 该系统目前是在 Linux 计算机和特定类型的网络硬件上进行测试的。它是为“脚本化”攻击（即窃贼遵循已知计划）设计的，而不是针对那种在看到新锁具后能瞬间改变策略的聪明窃贼。

核心结论

COHORT 是一个“演习场”，用于网络防御。它利用 AI 专家团队在安全的虚拟世界中发明、构建并测试安全修复方案。通过让 AI 反复重演攻击，它能够找到既能阻挡坏人、又不会误伤好人的解决方案，从而为人类专家节省数周危险的试错时间。

技术摘要：COHORT —— 基于仿真拓扑上攻击重放的协作式强化编排

1. 问题陈述

在企业网络中缓解特定对手的行为传统上是一个缓慢且依赖专家的过程。这需要分析师推导定制化的缓解措施，在不干扰生产环境的前提下进行验证，并确认该措施确实能阻断特定的攻击。这一工作流受到两个主要瓶颈的制约：

专家依赖： 该过程高度依赖人类判断来合成新的控制策略，而非依赖于经过策划的剧本（Playbooks）。
生产风险： 对防火墙规则、路由策略或主机配置进行实验性调整无法在真实的生产网络上安全地进行，因为这存在破坏合法业务运营的风险。

现有的工具（IDS/IPS、SIEM、SOAR）通常针对已知模式执行预设的响应，或通过针对未修改网络的入侵与攻击模拟（BAS）来验证检测覆盖率。它们无法自主合成可部署的新型缓解措施，也无法通过在修改后的网络上重新执行观察到的对手行为来验证这些措施。

2. 方法论：COHORT 框架

COHORT 是首个旨在针对特定观察到的对手，自主生成、部署并验证可部署缓解措施的端到端框架。它完全在高度逼真的仿真环境中运行，以避免对生产环境造成暴露。

核心架构

该框架利用了一个运行在 GNS3 仿真器上的角色分解多智能体大语言模型（LLM）工作流，该仿真器启动了真实的厂商固件（FortiGate、Cisco IOS、Open vSwitch）。对手通过执行符合 MITRE ATT&CK 标准动作的 Caldera 进行模拟。

工作流由以下专业化智能体组成：

缓解建议者（Mitigation Suggester）： 分析对手的操作报告和网络拓扑，提出可重用的、企业级的控制策略（例如：分段、路由约束）。
缓解实现者（Mitigation Implementer）： 在限定的命令预算内，将选定的策略转化为具体的设备配置命令。
批判者（Critic）： 在重放之前审查实现过程，以识别配置错误、策略违规或偏离意图的情况。这会触发一个迭代的**“实现-批判”循环**（最多进行 $K$ 次迭代），以在配置被接受或丢弃前对其进行优化。
裁判（Judge）： 通过在已缓解的网络上重放相同的对手行为来评估结果。它将缓解后的运行结果与未缓解的基准线进行对比，比较攻击步骤成功率（ASSR）。
总结者（Summarizer）： 生成人类可读的产物。

验证机制

验证依赖于攻击重放，而非抽象的模拟或专家代理。只有当满足以下两个标准时，缓解措施才被视为成功：

攻击阻断： 它严格降低了攻击步骤成功率（缓解有效性，$ME > 0$）。
连通性保持： 它通过来自受感染主机的两个独立探测：一个指向内部目标的局域网（LAN）Ping，以及一个指向互联网端点的 HTTP 请求。

此外，该框架支持累积评估，即将经过批准的缓解措施堆叠到持久的网络状态上，以衡量复合效应并防止回归。

3. 核心贡献

端到端自主框架： COHORT 解决了专家知识瓶颈和生产风险瓶颈。它使用真实设备命令在高度逼真的仿真器中自主生成并验证缓解措施，消除了生成阶段对人工合成的需求。
多智能体分解： 本文证明，将工作流分解为专业角色（建议者、实现者、批判者）的效果显著优于单智能体基准。
迭代批判循环： 研究表明，引入在重放前优化配置的批判者智能体是系统成功的关键组成部分。
累积缓解评估： 框架引入了一种将防御措施堆叠在持久状态上的机制，从而揭示了单次缓解评估所忽略的复合效应。

4. 实验结果

该框架在三种企业级拓扑（小型、中型、大型）和四种攻击场景（勒索软件、横向移动、DNS 数据外泄、数据窃取）下进行了评估，底层模型使用 GPT-5.4 mini。

缓解成功率 (MSR)： 多智能体框架实现了 46.7% 的整体 MSR。这比使用相同模型和工具访问权限的单智能体基准（10.7%）提升了 4.4 倍。
- 提升分解： 角色专业化（不含批判者的多智能体）贡献了约 75% 的增益（38.6% MSR），而迭代批判循环贡献了剩余的 25%。
累积有效性： 当堆叠经过批准的缓解措施时，系统在第四个防御措施后达到了约 52% 的累积攻击步骤削减率。
拓扑无关性： 在小型、中型和大型拓扑之间未检测到具有统计学意义的 MSR 差异。
缓解类别：
- 主机侧控制（如：主机加固、应用控制）在数量和有效性方面均占据主导地位（例如：应用控制实现了 82.1% 的 MSR）。
- 基于网络的过滤在数量上排名第二，但成功率较低（5.8%）。失败的主要原因在于规则放置在错误的网络跳数、评估顺序错误，或未能考虑到隐藏的中继节点，而非意图错误。

5. 重要性与范围

本文声称其重要性在于成为了第一个闭环连接对手模拟、真实设备配置生成与攻击重放验证的框架。通过将实验限制在高度逼真的仿真器中，它能够安全地推导出可部署的缓解措施，而这些措施在生产网络中测试风险过高。

局限性与范围：
作者明确指出，其结果不适用于：

自适应对手： 框架假设对手是按照脚本执行的，不会针对防御做出重新规划。
Windows 端点： 由于仿真资源限制，评估仅限于 Linux 容器。
厂商异构性： 测试仅限于 FortiGate、Cisco IOS 和 Open vSwitch。
生产部署： 框架输出的是经过验证的候选方案，但最终的部署仍是一个独立的、由人工驱动的步骤。

论文结论认为，虽然 COHORT 能够成功自动化针对脚本化对手的缓解措施推导与验证，但由于在强化过程中可能会发现新的漏洞（例如：容器逃逸弱点），系统在部署前仍需人工审查以确保安全性。