💻 computer science

When to Trust the Map: Confidence-Aware LLM Routing for Automotive CVE-to-ATM Mapping

本文提出了一种置信度感知的 LLM 路由框架，将汽车领域 CVE 到 ATM 的映射重新定义为一个选择性自动化问题，通过使用分层上下文学习和校准后的置信度分数，将映射路由至自动确认、人工复核或暂缓类别，从而在显著提高优于零样本基准的精确度的同时，将不确定案例隔离以供分析师复核。

原作者： Heeyun Heo, Sangmin Park, Huy Kang Kim, Sanghoon Jeon

发布于 2026-07-22

📖 1 分钟阅读☕ 轻松阅读

CC BY 4.0

原作者： Heeyun Heo, Sangmin Park, Huy Kang Kim, Sanghoon Jeon

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

想象一下，数字世界是一座巨大且繁忙的城市，这里的每一辆车现在都是智能设备，不断地与云端、其他车辆甚至交通灯进行交流。就像任何城市一样，这座数字大都市也有试图闯入、窃取数据或制造混乱的捣蛋分子。为了保护大家的安全，安全专家使用两种不同的“语言”来描述这些威胁。一种语言叫做 CVE（常见漏洞披露），它就像是机械师的技术手册；它精确地列出是哪颗螺栓松动了，或者是哪根电线磨损了。另一种语言叫做 ATM（汽车威胁矩阵），它更像是侦探的剧本；它描述了罪犯是如何思考的、他们的目标是什么，以及他们用来犯罪的具体手段。

问题在于，这两种语言之间无法很好地沟通。机械师关于电线损坏的笔记并不会自动告诉侦探：“啊，这是一个‘远程代码执行’策略！”如果我们尝试用人工智能（AI）自动进行这种翻译，AI 可能会感到困惑、混淆线索，或者自信满满地凭空捏造出一个从未发生的犯罪。在自动驾驶汽车的世界里，一个错误的判断不仅仅是一个拼写错误；它可能意味着汽车被黑客攻击，或者安全系统未能激活。因此，核心问题不仅是“AI 能否翻译这些威胁？”，而是“我们是否能信任 AI 到可以让它自主决策，还是我们需要人类来复核工作？”

这就是论文《何时信任地图》（When to Trust the Map）所介入的地方。研究人员与来自高丽大学和国民大学的一个团队合作，他们决定不再仅仅要求 AI 去“猜测并检查”。相反，他们构建了一个智能系统，这个系统扮演着具备置信度感知能力的交通警察的角色。他们意识到，虽然 AI 擅长产生想法，但它经常受到“幻觉”的影响——即带着十足的信心胡编乱造。为了解决这个问题，他们创建了一个框架，该框架不仅输出一份威胁列表，还会为每一个建议分配一个置信度分数，本质上是在问 AI：“你对此有多确定？”

以下是他们的系统是如何运作的，我们用一个有趣的类比来说明：想象一下，这个 AI 是一个正在破案的初级侦探。为了不让这个侦探放任自流，系统将他们送入了严格的训练营。首先，侦探会查看一个已解决往案的图书馆（称为“上下文学习”），以寻找相似的模式。然后，系统并不仅仅听从这个侦探的话。它会将案件发送给第二位侦探（一个“法官” AI），这位法官只观察原始证据——即安全报告的实际文本——而不了解第一位侦探猜想了什么。第二位侦探会检查这些线索是否真的支持该理论。

随后，系统会结合这两个声音：第一位侦探的一致性（他们是否多次猜出了相同的结果？）以及第二位侦探的证据检查（文本是否真的表达了这一点？）。这些信号会被输入到一个“元模型”中，这个模型就像是一位睿智的老警长。警长会为每一个威胁建议计算出一个最终的置信度分数（一个 0 到 1 之间的数字）。根据这个分数，系统将每一个建议归入三个类别之一：

AUTO（绿灯）： 如果置信度分数非常高（在他们表现最好的模式下高于 0.74），系统会说：“这很可靠！我们可以自动信任它。”在他们的测试中，当系统达到这种置信度时，其准确率达到了 87.8%。这比仅仅随机猜测或使用旧有的、更简单的 AI 方法的准确率高出一倍多。
REVIEW（黄灯）： 如果分数处于中间水平，系统会说：“这看起来很有趣，但我不是 100% 确定。让我们把它交给人类专家。”这确保了棘手或模糊的案例能得到人类的关注。
HOLD（红灯）： 如果分数非常低，系统会说：“我不知道，而且证据不足。请先搁置。”在他们的测试中，系统放入“HOLD”箱中的每一个案例确实都是错误的，这证明了系统知道何时不该去瞎猜。

研究人员在 269 份真实的汽车安全报告（CVEs）数据集上进行了测试，这些报告都经过了人类专家的仔细标注。他们发现，这种“置信度感知”的方法比仅仅尝试直接回答问题的标准 AI 更好地过滤掉了错误的猜测。通过将“确定的事”与“可能的事”分开，他们表明我们可以在不损失安全性的情况下实现大量工作的自动化。

论文明确反对仅仅依靠单个 AI 模型就能完美完成这项工作的观点。他们发现，如果没有这种额外的检查和置信度评分层，AI 模型由于过于容易出错且容易产生“幻觉”，无法在汽车这类安全至上的环境中被信任。他们还排除了仅仅通过让 AI 重复回答多次（一致性）就足够的想法；你也需要第二个“法官”来检查实际证据。

简而言之，这篇论文表明，我们不需要在人类安全与 AI 速度之间做选择。相反，我们可以构建一个了解自身局限性的系统。它充当了一个智能过滤器，让 AI 处理那些简单、明显的威胁，同时将令人困惑的案例标记出来交给人类专家。这种“选择性自动化”可以帮助汽车制造商更快、更准确地更新其安全计划，确保在发现新的漏洞时，能够应用正确的对策，而不会面临 AI 出错的风险。他们在特定测试集上的结果展示了一条清晰的前进道路：一个 AI 说“我有足够的信心驾驶这部分汽车”，而人类则在其余部分保持驾驶位的框架。

技术摘要：面向汽车 CVE-to-ATM 映射的置信度感知 LLM 路由框架

问题定义
本文解决了将常见漏洞披露（CVE）映射到 Auto-ISAC 汽车威胁矩阵（ATM）这一关键挑战。虽然 CVE 描述了技术漏洞，但 ATM 将对抗行为组织为战术（Tactics）和技术（Techniques）。由于两者的表示形式并不一致，直接进行自动化映射非常困难；在安全至上的汽车环境中，错误的映射可能会扭曲威胁解释和缓解优先级。此外，通用的 MITRE ATT&CK 框架缺乏特定的汽车上下文（例如 CAN 注入、OTA 劫持），且大语言模型（LLM）存在幻觉和生成不一致的问题，使得单输出自动化在处理安全敏感型任务时并不可靠。核心问题被形式化为一个**选择性自动化（Selective Automation）**挑战：即区分哪些映射足够可靠以进行自动采用，哪些需要分析师进行人工审查。

方法论
所提出的框架是一个由四个阶段组成的流水线，旨在生成、验证、校准并路由候选映射：

两阶段层次化候选生成：
- 系统将任务分解为先预测战术，然后基于该战术预测技术。
- 它利用了基于 OpenAI GPT-5.2（推理强度 = 高）的层次化上下文学习（Hierarchical In-Context Learning, ICL）。
- 第一阶段（战术）： 模型使用函数调用模式（Function-calling schema）从 14 个有效的战术 ID 中进行选择，以防止违反本体论规范。
- 第二阶段（技术）： 对于每个预测的战术，模型从与该战幅相关的特定子集中预测技术。它通过 k-最近邻（kNN）检索从“示例池”（源自旧的 CVE）中检索 $k=8$ 个语义相似的示例，以聚焦于特定战术的模式。
- 一致性： 为了减轻 LLM 的不稳定性，每个阶段都会被调用 $N=5$ 次。成对一致性得分计算为战术出现频率与给定该战术下技术出现频率的乘积。
多信号验证：
- 为了区分频繁生成的错误与正确的映射，系统采用了基于证据的 LLM-as-a-Judge（证据驱动的 LLM 评审）。
- 验证器从 CVE 文本中提取六个结构化元素（与 ISO/SAE 21434 TARA 对齐），如受影响组件和攻击接口。未说明的元素被标记为“未知”，以强制执行仅基于证据的推理。
- 验证器从三个维度对每个候选对象进行评分：支持度（Support）、矛盾度（Contradiction）和充分性（Sufficiency）。候选对象在验证前会被匿名化处理，以防止偏差。
置信度校准：
- 在一个开发集上训练了一个元模型（L2 正则化逻辑回归），用于整合生成稳定性（一致性）和验证信号（支持度、矛盾度、充分性）以获得单一的校准置信度分数 ( $\hat{p}$ )。
- 该模型包含了交互项（例如：一致性 $\times$ 支持度），以确保只有当生成稳定性与事实支持同时存在时，置信度才会较高。
- 应用后验校准（Sigmoid 和温度缩放）来修正过度自信或置信不足的问题。
三层运营路由：
- 根据 $\hat{p}$ $\overset{p}{^}$ ，候选对象被路由至三个层级：
  - AUTO（自动）： 高置信度；自动确认并录入漏洞注册表。
  - REVIEW（审查）： 中等置信度；路由给分析师并附带支持性证据。
  - HOLD（暂缓）： 低置信度；推迟处理，直至有进一步证据出现。
- 阈值 ( $\tau_{auto}, \tau_{hold}$ ) 通过调整以平衡精确率和召回率，允许不同的运行模式（高置信度模式、均衡模式、高覆盖模式）。

核心贡献

形式化定义： 本文将汽车 CVE-to-ATM 映射形式化为一个选择性自动化问题，明确区分了可自动确认的情况与需要人工监督的情况。
框架设计： 引入了一个多信号路由框架，结合了层次化 ICL、自一致性检查和基于证据的验证，从而驱动一个校准后的三层决策过程。
数据集： 作者构建了一个包含 269 个汽车 CVE 和 483 个专家标注的战术-技术对 的基准数据集，解决了该特定映射任务缺乏公开数据的问题。

结果
在包含 58 个 CVE（98 个金标准对）的测试集上进行评估，该系统较基准模型表现出显著提升：

候选质量： 所提系统实现了 0.395 的精确率（对比 Flat Zero-shot GPT-5.2 基准的 0.277），同时保持了相同的召回率 (0.745)，并将每个 CVE 的平均预测数量从 4.55 降至 3.19。
路由性能： 在高置信度模式下（ $\tau_{auto} \approx 0.74$ ），AUTO 层级的精确度达到了 0.878，是候选集基础率 (0.395) 的两倍多。
校准效果： 校准后的置信度分数 $\hat{p}$ 在区分正确与错误候选对象方面达到了 0.868 的 AUROC，显著优于仅基于一致性的基准（AUROC 为 0.705）。
消融实验： 移除基于证据的评审信号会导致 AUROC 急剧下降，证实了仅靠一致性不足以实现可靠的置信度估计。

意义与声明
本文声称该框架为选择性自动化提供了可行路径。通过隔离高置信度的映射，该系统既支持自主的网络安全管理系统（CSMS）工作流，又保留了分析师处理模糊情况的注意力。作者强调，该框架提供了符合 ISO/SAE 21434 合规性和审计工作流所需的可追溯决策证据（置信度分数和验证信号）。

作者对研究范围保持审慎，指出：

评估仅限于当前的 ATM 本体（14 个战术，75 个技术）及构建的数据集。
系统依赖单一的主干模型（GPT-5.2）进行生成和验证，尽管使用了证据落地和候选匿名化等手段来减轻自我确认偏差。
“REVIEW”层级在实际应用中的有效性仍需未来与安全分析师进行实地研究。
该系统目前不处理间接的次生影响或推测性扩展，而是严格专注于可直接验证的攻击阶段。

技术摘要：面向汽车 CVE-to-ATM 映射的置信度感知 LLM 路由框架

类似论文