arXiv cs.AI· Nikolaos Kekatos, Mihaela Curc\u{a}, Georgios Koutidis, Mihai Nena, Tom Nianios, Robert-\c{S}tefan \c{S}andru, Michael Ioannou, Charalambos Bratsas·· 10 天前AI 评分24
CG-CTI：从沙箱到自动执行，面向关键基础设施的置信度限定威胁情报
From Sandbox to Enforcement: Confidence-Qualified Threat Intelligence for Critical Infrastructure
AI 导读
CG-CTI 将 CAPEv2 沙箱输出转换为 STIX 2.1，并在知识图谱中与其他关键基础设施传感器数据关联，为每个情报对象附加基于来源、跨源印证和观测持续性的显式置信状态。
正文 · AI 翻译
摘要：保卫关键基础设施的安全运营中心和国家事件响应团队收集了大量威胁数据，却难以将其转化为可操作的情报。恶意软件沙箱能产生详细的行为证据，但只是一份庞大、未排序且置信度未说明的报告。我们提出 CG-CTI，一个可投入运营的流水线，它将实时沙箱输出（CAPEv2）转换为 STIX 2.1，在知识图谱中与其他关键基础设施传感器数据进行关联，并为每个情报对象附加明确的置信状态，该状态源自数据来源、跨源佐证和观测持久性。此状态对自动化操作进行门控：只有经过佐证的情报才有资格被自动执行，而置信度较低的对象则被转交分析师审查或保留为背景信息。随后，一个基于事实的语言模型阶段对经过置信度限定的证据进行叙述，其中每条陈述要么引用一个支持对象，要么被标记为无支持，从而在分析师审查前移除捏造的引用。我们在 CYBERGUARD 项目中实现了 CG-CTI，该项目联盟包括罗马尼亚国家网络安全局，并在一个带标签的恶意软件语料库上针对实时沙箱对其进行评估，衡量转换有效性、指标产出、技术覆盖、佐证、执行资格、延迟和摘要事实依据。CG-CTI 将碎片化的沙箱输出转化为经过佐证、按置信度排序且可审计的情报，用于关键基础设施防御。
| 评论： | 20 页，3 幅图。已被第 21 届国际关键信息基础设施安全会议（CRITIS 2026）接收 |
| 主题： | 密码学与安全（cs.CR）；人工智能（cs.AI） |
| 引用为： | arXiv:2610.07310 [cs.CR] |
| （或 arXiv:2610.07310v1 [cs.CR] 用于此版本） | |
| https://doi.org/10.48550/arXiv.2610.07310 arXiv 颁发的 DOI 通过 DataCite（待注册） |
提交历史
发件人：Nikolaos Kekatos [查看电子邮件]
[v1]
2026 年 10 月 5 日星期一 19:47:45 UTC（82 KB）
来源：arXiv cs.AI · arxiv.org