CTIFoundry: An Agent-Native Corpus Scaffold for Cyber Threat Intelligence
本文介绍了 CTIFoundry，一种智能体原生语料支架，它通过确定性本体图谱和基于跨度锚定的报告，将网络威胁情报的潜在结构具象化，与传统的扁平检索基质相比，显著提升了智能体调查的性能与效率。
原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。 阅读完整免责声明
在数字世界中，安全专家不断搜寻关于谁在攻击以及如何攻击的线索。这项被称为网络威胁情报的工作，依赖于由不同公司和组织编写的大量报告集合。多年来，将这些报告与人工智能结合使用的标准方式是将它们视为一个未经整理的书库。当计算机程序提出问题时，系统会搜索文本中看起来最相似的词汇，并提取出几页内容。这种方法对于简单的问题效果良好，但当调查需要跨越不同文档进行“连点成线”时，它就会显得力不从心。一个黑客组织在三份不同的报告中可能会有三个不同的名称，而将特定的软件漏洞与已知攻击手段联系起来的官方记录，往往深埋在长篇大论的段落之中。如果计算机无法看到这些隐藏的联系，无论其人工智能程序多么聪明，它都无法解开谜题。
一组研究人员发现，问题不在于计算机的智能程度，而在于信息的存储方式。他们构建了一个名为 CTIFoundry 的新系统，该系统作为一个专门的框架，在计算机开始阅读这些安全报告之前对其进行组织。该系统并非让数据以杂乱的文本形式存在，而是首先构建一张清晰的事实地图。它提取来自四个主要安全数据库的官方记录，并用精确的线条将它们连接起来，清晰地展示出哪种软件弱点会导致哪种攻击模式。随后，它阅读杂乱的厂商报告，寻找提及这些已知组织或漏洞的具体句子，并将它们标记为在原文中的确切位置。这个过程将平铺的文档堆变成了一个结构化的网络，其中每一条信息都知晓其邻居和来源。
研究人员通过给同一个人工智能代理提供两种不同的方式来访问同一组安全数据，对这个新系统进行了测试。在一种情景下，该代理使用旧的、无序的方法；在另一种情景下，它使用新的、结构化的地图。结果令人震惊。当代理使用新系统时，即使研究人员使用了更小、性能更弱的计算机模型，其回答问题的正确率也显著提升。事实上，使用新地图的小型模型表现得比使用旧的、无序文本堆的最强力模型还要出色。这种进步并非因为计算机搜索得更努力或阅读了更多页面。相反，使用新系统的代理在查找信息时的尝试次数减少了约一半，却找到了正确的答案。它仅仅是拥有了一条更好的路径。
研究还揭示了旧方法为何经常失败。如果没有预建的地图，计算机往往会在文本中迷失方向，搜索那些会导致死胡同或混淆结果的相似词汇。它会错过专家已经写下的官方联系，因为这些联系隐藏在长句之中。新系统强制要求计算机首先遵循官方的连接，将文本视为次要的细节来源，而非主要的引导指南。这种方法被证明非常有效，研究人员发现数据的结构比计算机模型本身的原始算力更为重要。一个拥有清晰地图的小模型，其表现优于一个拥有混乱地图的巨型模型。
为了确保系统的可靠性，研究人员在构建过程中制定了严格的规则，防止其捏造任何事实。地图中的每一个连接都必须来自官方记录，并且它从报告中提取的每一段文本都必须指向原文档中的确切位置。这意味着计算机不能编造事实或猜测答案。该系统还包含了一套简单的指令或“习惯”供计算机遵循，例如在搜索相似词汇之前先检查官方地图。这些习惯与清晰的地图相结合，产生了一种“叠加效应”，意味着两者的结合效果优于各自独立运作。
构建这个新系统的成本出奇之低，仅需少量的计算能力来处理初始数据。一旦建成，该系统允许计算机以每次问题约两美分的价格解决复杂的调查任务。研究人员得出结论：在信息高度结构化且依赖官方联系的领域，最大的瓶颈不在于人工智能代理的智能程度，而在于给予它的数据的质量。通过将数据组织成一种代理可以自然理解和遍历的形式，该系统使调查过程变得更快、更便宜且更加准确。这项工作表明，在未来，提高专业领域人工智能最有效的方法可能不是构建更聪明的“大脑”，而是为它们构建更好的“图书馆”。
您所在领域的论文太多了？
获取与您研究关键词匹配的最新论文每日摘要——附技术摘要，使用您的语言。