🤖 AI

Symbolic Attack Chain Generation from Atomic Red Team Techniques: An Empirical Study of Predicate Representation Granularity

这项实证研究表明，在自动化攻击链生成过程中，将谓词表示粒度从九类减少到五类并不会显著影响计划的有效性或成本，这表明更高的粒度主要是在完善结构化合理性，而非影响所生成的攻击链的可行性。

原作者： Ramya Varunsegar

发布于 2026-08-04

📖 1 分钟阅读☕ 轻松阅读

原作者： Ramya Varunsegar

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

想象一下，你正在试图教一个机器人如何攻破一座数字堡垒。你不能只是告诉机器人：“去偷走宝藏。”你必须给它一个分步骤的食谱：“第一步，找到后门。第二步，撬开锁。第三步，走进去。”在网络安全领域，这些食谱被称为攻击链（attack chains）。它们是黑客用来从一个微小的切入点移动到大规模数据劫掠的蓝图。防御者通过研究这些蓝图来构建更好的警报和陷阱。

为了制作这些蓝图，科学家们使用了一种特殊的计算机逻辑，称为AI规划（AI planning）。把它想象成一个为黑客准备的超级智能GPS。AI规划不会靠猜测，而是观察所有可能的移动，并找出实现目标的最有效路径。但为了让这个GPS工作，你必须非常精确地描述这个世界。你必须决定哪些“事实”才是重要的。拥有特定的工具是否重要？以管理员身份登录是否重要？还是仅仅说“他们在内部”就足够了？这是一个大问题：在机器人变得困惑或出错之前，你需要给它多少细节？如果你给的太少，它可能会规划出一个不可能实现的劫掠方案；如果你给的太多，你可能是在浪费时间去描述那些实际上并不影响结果的事情。

这正是 Ramya Varunsegar 的论文所研究的内容。作者想要探究，目前用于描述这些黑客行为的“金标准”是否真的必要，或者它是否只是过于复杂化了。

大实验：简化食谱

长期以来，用于教机器人关于黑客行为的最佳系统（称为 AURORA）使用了一个非常详细的清单，包含 九个不同的类别，来描述黑客进行的每一次移动。这就像一本食谱书，不仅列出了“加盐”，还列出了“加来自太平洋的海盐”、“加来自大西洋的海盐”以及“加来自喜马拉雅山的海盐”，即便它们的味道是一样的。研究人员想知道：我们真的需要这九个类别吗，还是可以用更少的类别来完成任务？

为了验证这一点，他们构建了一个测试机器。他们提取了一组 16 种真实的黑客技术（来自一个名为 Atomic Red Team 的库），并尝试将它们翻译成两种语言供机器人使用：

原有的、复杂的 九类别 语言。
他们通过观察这些黑客行为在现实中是如何运作的，而创建的一种新的、简化的 五类别 语言。

然后，他们要求一个超级智能的规划引擎（称为 Fast Downward）尝试使用这两种语言来解决这个谜题。目标是观察简化的版本是否会导致机器人失败、增加时间成本，或者产生一个更差的计划。

令人惊讶的结果

结果有点像是发现：为了看清沙发上的猫，并不一定需要一台 8K 高清摄像机。

成功率： 机器人使用简单的五类别列表与使用复杂的九类别列表时的成功率是一样的。两个版本都成功为 16 种 技术中的 13 种 创建了有效的攻击计划。也就是说，两个版本的成功率都是 81.3%。额外的细节并没有帮助机器人更频繁地取得成功。
成本与速度： 计划的“成本”（机器人必须采取的步骤数）是完全相同的。简化后的版本并没有让机器人采取更长、更迂回的路径。
“保真度”检查： 当他们将机器人的计划与人类制作的“地面真值”（即完美的、预期的路径）进行比较时，机器人在两种情况下的得分都是 1.0（完美匹配）。

唯一的变数：细节何时起作用

然而，这篇论文并不是在说“扔掉所有细节”。研究人员发现，九类别系统中额外的细节主要有助于对计划为何奏效进行内部解释，而不是让计划本身运行得更好。

有一个特定的案例，其中的额外细节至关重要。在一种技术中，黑客需要成为“管理员”才能执行某项操作。但机器人发现，仅仅成为管理员是不够的；黑客还需要能够通过一个网络连接来行使该权力。简化的五类别系统最初忽略了这个细微但至关重要的区别。研究人员不得不添加一个特定的“环境（Environment）”规则来修复它。这表明，虽然你可以通常简化事物，但你必须小心，不要仅仅因为两个东西听起来相似就将它们粘合在一起。

这对未来意味着什么

主要的结论是，对于测试的这 16 种特定黑客技术而言，复杂的九类别系统是过度设计（overkill）。更简单的五类别系统在生成有效的攻击链方面表现得同样出色。

论文建议，网络安全专家可能不需要为每种情况都建立如此极其复杂的模型。他们可以使用更精简、更简单的模型，这种模型更容易管理和理解，同时不会失去预测黑客攻击方式的能力。不过，作者也谨慎地指出，这是基于特定的测试集。他们发现，虽然结果是一样的，但机器人内部的推理过程略有不同。旧系统中的额外类别有助于更详细地解释“为什么”，但它们并没有改变“是什么”。

简而言之，研究人员发现，你并不总是需要显微镜来观察全貌。有时，一副好的眼镜就足以发现入侵者，只要你知道该看哪里。

技术摘要：基于 Atomic Red Team 技术的符号化攻击链生成

1. 问题陈述

自动化攻击链生成对于现代网络安全防御和红队演练至关重要，然而随着对手行为的扩张，人工构建已无法满足规模化需求。虽然利用规划领域定义语言（PDDL）的经典 AI 规划提供了一种自动化的形式化方法，但它依赖于将对手技术准确翻译为符号谓词。

目前的最前沿系统（如 AURORA）使用一个包含九个类别的攻击动作链接模型（AALM）来定义系统状态。然而，这种特定粒度的必要性尚未得到验证。目前尚不清楚一个缩减后的谓词集是否能在生成的攻击链的有效性、成本和保真度方面达到与高粒度方案相当的效果，或者高粒度是否仅仅是一个未经验证的设计选择，在没有提高推理结果的情况下增加了表示复杂度。本文研究了谓词表示粒度对自动生成的攻击链的有效性、成本和保真度的影响。

2. 方法论

本研究采用了一种混合流水线，将语言翻译与确定性推理分离，以减轻与大语言模型（LLM）相关的幻觉风险。

2.1 研究设计

核心方法论复制了 AURORA 的流水线，但将谓词粒度视为一个实验变量而非固定假设。

翻译： 使用 LLM（GPT-4.1）将 Atomic Red Team (ART) 的 YAML 测试定义和执行证据翻译为候选 PDDL 谓词。
验证： 使用一个确定性的、基于规则的脚本（predicate_table.py）将 LLM 的输出与原始 YAML 和执行转录进行交叉验证。
规划： Fast Downward 规划器（使用 astar(blind())）执行所有推理、动作排序和计划生成。
消融研究： 本研究在由 16 个形式化的 ART 技术组成的相同语料库上，对比了两种方案：
1. 九类别 AALM： AURORA 使用的全量方案（环境、执行器、负载、文件、进程、用户、信息、数据、技术）。
2. 五类别方案： 一个从执行证据中经验性推导出的缩减方案，通过如下方式合并类别：
  - 负载 (Payload) $\rightarrow$ 执行器 (Executor)
  - 文件 (File) 和 技术 (Technique) $\rightarrow$ 环境 (Environment)
  - 用户 (User) 和 权限 (Privilege) $\rightarrow$ 权限/用户 (Privilege/User)
  - 信息 (Information) 和 数据 (Data) $\rightarrow$ 信息 (Information)

2.2 数据收集与执行

语料库包含跨越多个 MITRE ATT&CK 战术（发现、持久化、防御规避、收集、外泄）的 16 项技术。

推导： 首先执行了一个包含四项技术的“启动链”（T1059.001, T1547.001, T1003.001, T1021.002）以推导出初始的五类别方案。至关重要的是，执行证据迫使必须包含一个独立的“权限/用户”类别（例如，区分持有管理员权限与在网络登录中行使权限的能力）。
环境： 所有测试均在一个隔离的 Windows 11 虚拟机中执行，采用仅主机网络并开启 Defender，以确保在没有外部风险的情况下实现真实的端点保护条件。
失败处理： 对于未能执行的技术（例如由于 AV/EDR 拦截或缺失负载），并未将其丢弃。相反，它们被编码为领域文件中的“无动作（action-less）”，从而允许规划器正确地将“无解”作为对经验性失败的有效表示返回。

2.3 评估指标

本研究使用以下指标评估方案：

计划有效性/成功率： 是否生成了有效的计划。
计划成本： 生成计划中的动作数量。
攻击链保真度： 与手动构建的 ATT&CK 地面真值（ground-truth）链的 Jaccard 相似度和编辑距离。
谓词类别分辨率 ( $\Delta P_i$ )： 一个衡量九类别方案是否强制拆分了五类别方案所合并的谓词类别的指标。
失效模式分析： 对抗拒形式化的原因进行分类（例如，环境差距、描述不足）。

3. 关键结果

来自 16 项技术语料库的实证结果表明，谓词粒度对生成的计划可行性几乎没有影响。

计划有效性和成本： 结果对粒度基本不敏感。九类别和五类别方案均实现了 81.3% (13/16 项技术) 的相同成功率。对于九个独立解决的技术，平均计划成本均为 1.0。四步启动链在两种配置下也产生了相同的计划。
攻击链保真度： 生成的启动链与手动构建的地面真值链完全匹配（Jaccard 相似度 = 1.0，编辑距离 = 0）。论文指出，这证实了流水线的正确性，但并不声称对现实世界事件具有可推广的保真度，因为语料库的选择是为了实例化用于构建参考链的同一叙事。
谓词类别分辨率：
- 16 项技术中的 14 项 显示零分辨率增益 ( $\Delta P_i = 0$ )，这意味着九类别方案中额外的粒度并未改变计划的结构化辩护。
- T1560.001 是唯一的真正例外，其中九类别方案区分了五类别方案所合并的“环境”与“文件”谓词。
- T1003.001 显示了分辨率增益，但由于该技术完全失败，其增益被识别为占位符预置条件的产物，因此在关于真实增益的声明中被排除在外。
失效模式： 研究成功捕捉到了系统性失败。例如，T1055（进程注入）在 13/13 次子测试中因 AV/EDR 特征检测而失败，T1003.001 因访问拒绝而失败。这些都被结构化地编码为“无解”，而不是用占位符掩盖。

4. 重要性与贡献

本文谦虚地声称，在本次特定语料库和任务的范围内，缩减后的五类别谓词方案足以保留规划能力并匹配全量九类别 AALM 的结果。

主要贡献：

经验推导方案： 本工作提供了一个从真实 ART 执行证据中自底向上推导出的五类别谓词方案，而非先验性地采用。这种推导揭示了必要的因果区别（例如 remote-admin-token-unfiltered），这是任意方案可能会遗漏的。
粒度不变性： 研究表明，对于测试的技术，更高的粒度主要增强了计划内部结构化辩护的分辨率，而非生成的攻击链的可行性或成本。
失效模式即证据： 论文引入了一种框架，将那些因 AV/EDR 或缺失负载而无法进行形式化的技术视为关于符号建模极限的有意义数据。通过将它们编码为“无动作”，规划器的“无解”输出成为了对语料库的可验证陈述，而非错误。
流水线架构验证： 本工作支持一种双分流水线架构，其中 LLM 被限制在翻译阶段，而确定性规划器负责推理。该架构成功隔离了 LLM 幻觉风险，经独立规则交叉检查，测得的翻译修正率为 11.0%（89/808 个谓词）。

局限性：
作者明确指出，其发现仅限于这 16 项技术的语料库和单个虚拟机环境。计划成本指标的区分能力有限，因为大多数技术都是单动作计划。此外，与地面真值的精确匹配被解读为对所选叙事中流水线正确性的证明，而非对独立现实世界事件具有可推广保真度的证明。

5. 结论

研究得出结论，虽然九类别 AALM 并非错误，但在所研究的语境下，对于攻击链生成的有效性和成本而言，它并非严格必要。缩减后的五类别方案保留了规划能力，并在除一项技术（T1560.001）之外的所有衡量结果上都与全量方案相匹配，同时降低了表示复杂度。这项工作表明，对于自动化攻击链生成，重点应放在由执行证据揭示的因果区别上，而非固守一个高粒度的分类法。