arXiv cs.AI· Yutong Cheng, Changze Li, Raihan Sultan Pasha Basuki, Qian Cui, Wei Ding, Peng Gao·· 3 天前AI 评分24
CTI2TTP：通过先发散后收敛验证从网络威胁情报中提取 TTP
CTI2TTP: Evidence-Grounded TTP Extraction from Cyber Threat Intelligence via Diverge-then-Converge Verification
AI 导读
CTI2TTP 通过"先发散后收敛"设计从网络威胁情报报告中提取 MITRE ATT&CK 技术，先将报告分解为原子行为并定位证据窗口，再广泛生成候选技术并仅保留同时被证据和 MITRE 定义支持的候选。
正文 · AI 翻译
摘要：从网络威胁情报（CTI）报告中提取 MITRE ATT&CK 技术是一个开放集、多标签问题，既需要高召回率（不漏掉技术），又需要高精确率（不臆造无依据的技术）。现有的基于规则、监督学习和基于 LLM 的方法难以同时实现这两点：基于规则和监督学习的方法在不同攻击描述之间缺乏泛化能力，而将候选生成与验证耦合在单次推理步骤中的基于 LLM 的方法则同时受限于召回率和精确率。我们提出 CTI2TTP，通过一种受人类分析师工作方式启发的“先发散后收敛”设计来应对这一挑战：先广泛提取，再严格验证。报告首先被分解为原子行为，每个行为通过一个确定性的跨度定位阶段锚定到源文本中的特定证据窗口。然后为每个行为广泛提出候选技术，再由一个收敛验证阶段仅保留同时得到定位证据和权威 MITRE 定义支持的候选。我们贡献了两个评估资源：一个清理后的 TRAM 基准（TRAM-Clean）和一个新的标注数据集（CTI2TTP-Bench），以解决现有基准中已知的标注噪声问题，并将该任务提升到文档级 TTP 提取。在 TRAM-Clean 和 CTI2TTP-Bench 上，CTI2TTP 分别达到 76.48% 和 87.39% 的宏 F1，比使用相同骨干网络的思维链提示分别高出 63.5% 和 29.4%。
| 评论： | 预印本 |
| 主题： | 密码学与安全（cs.CR）；人工智能（cs.AI）；计算与语言（cs.CL） |
| 引用为： | arXiv:2605.25836 [cs.CR] |
| （或本版本使用 arXiv:2605.25836v2 [cs.CR]） | |
| https://doi.org/10.48550/arXiv.2605.25836 arXiv 颁发的 DOI，通过 DataCite |
提交历史
来自：Changze Li [查看邮箱]
[v1]
2026年5月25日星期一 13:31:49 UTC（20,389 KB）
[v2]
2026年10月13日星期二 08:15:49 UTC（20,388 KB）
来源：arXiv cs.AI · arxiv.org