CyberSleuth: Autonomous Blue-Team LLM Agent for Web Attack Forensics論文重點(diǎn)CyberSleuth是首個(gè)系統(tǒng)研究LLM智能體自動(dòng)化Web攻擊事后取證工作的成果。該智能體以PCAP網(wǎng)絡(luò)流量包為唯一輸入通過(guò)多智能體協(xié)作架構(gòu)自動(dòng)完成受害服務(wù)識(shí)別、CVE漏洞映射和攻擊成功性評(píng)估三大任務(wù)在2025年真實(shí)漏洞測(cè)試中達(dá)到80%的CVE識(shí)別準(zhǔn)確率并經(jīng)過(guò)25名安全專(zhuān)家的評(píng)估驗(yàn)證。核心研究?jī)?nèi)容問(wèn)題定義網(wǎng)絡(luò)取證目前高度依賴(lài)人工操作過(guò)程緩慢、易出錯(cuò)且成本高昂。隨著攻擊手段日益復(fù)雜和自動(dòng)化防御方亟需自動(dòng)化取證手段來(lái)彌補(bǔ)人力缺口。然而將LLM智能體應(yīng)用于網(wǎng)絡(luò)安全取證面臨嚴(yán)峻挑戰(zhàn)取證分析要求長(zhǎng)期推理能力、上下文記憶能力和跨事件證據(jù)關(guān)聯(lián)能力——而這些恰恰是當(dāng)前LLM智能體最薄弱的環(huán)節(jié)。更關(guān)鍵的是現(xiàn)有文獻(xiàn)中絕大多數(shù)LLM智能體研究集中在紅隊(duì)進(jìn)攻場(chǎng)景防御性智能體幾乎空白。創(chuàng)新方法論文系統(tǒng)比較了三種智能體架構(gòu)單智能體SA、Tshark專(zhuān)家智能體TEA、流報(bào)告智能體FRA和六種LLM后端的性能差異。最終勝出的CyberSleuth采用FRA架構(gòu)——一種基于MemGPT風(fēng)格的多智能體協(xié)作設(shè)計(jì)核心創(chuàng)新在于1職責(zé)分離主智能體專(zhuān)注于高層推理和決策Tshark子智能體專(zhuān)門(mén)負(fù)責(zé)底層數(shù)據(jù)包分析工具的調(diào)用和命令生成2簡(jiǎn)單編排優(yōu)于嵌套層級(jí)研究表明順序流水線式的智能體協(xié)作優(yōu)于復(fù)雜的嵌套層級(jí)架構(gòu)3長(zhǎng)期記憶管理通過(guò)FIFO隊(duì)列保留短期上下文并逐步整合到長(zhǎng)期記憶中。工具層面智能體可調(diào)用PCAP讀取器tshark封裝、Web搜索工具以及Tshark子智能體內(nèi)含Tshark手冊(cè)讀取器和Tshark執(zhí)行器。研究成果在30個(gè)受控攻擊場(chǎng)景涵蓋舊有漏洞和2025年新披露漏洞的基準(zhǔn)測(cè)試中CyberSleuth在2025年獨(dú)立 incidents 上達(dá)到80%的CVE準(zhǔn)確識(shí)別率在服務(wù)識(shí)別任務(wù)上最高達(dá)到90%的準(zhǔn)確率。25名安全專(zhuān)家對(duì)系統(tǒng)生成的取證報(bào)告進(jìn)行了評(píng)估一致認(rèn)為報(bào)告完整、連貫且具有實(shí)際可用性。此外研究還驗(yàn)證了系統(tǒng)的可移植性——將CyberSleuth應(yīng)用于惡意軟件流量分析任務(wù)10種不同惡意軟件樣本僅需修改任務(wù)提示詞即可有效提取受害主機(jī)信息和入侵指標(biāo)IoC。論文提煉的三個(gè)關(guān)鍵結(jié)論是1多智能體專(zhuān)業(yè)化分工對(duì)持續(xù)推理至關(guān)重要2簡(jiǎn)單編排優(yōu)于嵌套層級(jí)架構(gòu)3CyberSleuth的設(shè)計(jì)可泛化到不同取證任務(wù)。實(shí)際落地應(yīng)用的可能性高。該系統(tǒng)直接處理標(biāo)準(zhǔn)PCAP格式的網(wǎng)絡(luò)流量與現(xiàn)有安全基礎(chǔ)設(shè)施如WAF、IDS兼容性良好。技術(shù)?；诔墒斓腖angChain和LangGraph框架降低了工程化門(mén)檻。團(tuán)隊(duì)構(gòu)成兼具學(xué)術(shù)研究實(shí)力都靈理工大學(xué)的SmartDataPoliTO中心和產(chǎn)業(yè)落地經(jīng)驗(yàn)華為法國(guó)實(shí)驗(yàn)室參與。不過(guò)從研究到產(chǎn)品化仍需解決LLM調(diào)用成本、響應(yīng)延遲、以及在實(shí)際企業(yè)環(huán)境中的大規(guī)模驗(yàn)證等問(wèn)題。技術(shù)細(xì)節(jié)核心工作流程智能體以PCAP文件為唯一輸入經(jīng)歷三階段處理——預(yù)處理、主智能體執(zhí)行、報(bào)告生成。數(shù)據(jù)包分析機(jī)制單智能體SA架構(gòu)中智能體首先通過(guò)tshark獲取整個(gè)數(shù)據(jù)包的摘要列表tshark-r{pcap_file}-Tfields-eframe.number-eframe.time-eframe.protocols-e_ws.col.Info該摘要列出幀ID、時(shí)間戳、協(xié)議層次和簡(jiǎn)要信息。智能體分析摘要后自主識(shí)別感興趣的包再通過(guò)PCAP讀取工具獲取載荷tshark-r{pcap_file}-Yframe.number{frame_number}-Tfields-edataTshark專(zhuān)家智能體TEA的改進(jìn)針對(duì)大規(guī)模流量數(shù)萬(wàn)到數(shù)十萬(wàn)包下摘要可能超出LLM上下文窗口的問(wèn)題TEA采用流級(jí)別的摘要視圖而非包級(jí)別大幅壓縮輸入規(guī)模。同時(shí)引入專(zhuān)門(mén)的tshark子智能體將底層工具調(diào)用從主智能體中解耦。該子智能體配備兩個(gè)工具Tshark手冊(cè)讀取器基于官方tshark文檔構(gòu)建的語(yǔ)義搜索工具確保命令生成的準(zhǔn)確性Tshark執(zhí)行器運(yùn)行生成的tshark命令、自動(dòng)檢測(cè)并糾正錯(cuò)誤、優(yōu)化過(guò)濾器、截?cái)嘟Y(jié)果以符合約束流報(bào)告智能體FRA——CyberSleuth的架構(gòu)基礎(chǔ)FRA進(jìn)一步解耦了流量摘要子智能體與主智能體解決了TEA中仍存在的協(xié)調(diào)瓶頸。主智能體專(zhuān)注于高層推理服務(wù)識(shí)別→CVE映射→成功評(píng)估子智能體負(fù)責(zé)底層數(shù)據(jù)處理二者通過(guò)結(jié)構(gòu)化自然語(yǔ)言指令交互。提示工程設(shè)計(jì)系統(tǒng)提示包含三個(gè)核心部分——智能體角色描述邀請(qǐng)逐步思考、系統(tǒng)指令和可用工具列表、目標(biāo)與指南。其中目標(biāo)明確定義了五項(xiàng)任務(wù)識(shí)別服務(wù)、收集惡意活動(dòng)證據(jù)、關(guān)聯(lián)CVE、評(píng)估服務(wù)脆弱性、判斷攻擊是否成功。指南要求先完成PCAP探索性分析再通過(guò)外部搜索交叉驗(yàn)證CVE信息。記憶管理采用ReAct框架的“草稿本”scratchpad方式記錄每次觀察、行動(dòng)和結(jié)果追加到原始提示中作為短期記憶。同時(shí)通過(guò)FIFO隊(duì)列保留短期上下文并逐步整合到長(zhǎng)期記憶中。研究設(shè)定實(shí)驗(yàn)環(huán)境研究團(tuán)隊(duì)搭建了一個(gè)企業(yè)網(wǎng)絡(luò)環(huán)境部署了可能存在漏洞或安全加固的Web服務(wù)。攻擊者已知可用端點(diǎn)針對(duì)特定CVE執(zhí)行攻擊——對(duì)脆弱服務(wù)的攻擊可能成功對(duì)安全服務(wù)的攻擊則會(huì)失敗。數(shù)據(jù)采集通過(guò)監(jiān)控系統(tǒng)如終止TLS連接的WAF記錄網(wǎng)絡(luò)流量PCAP格式允許導(dǎo)出未加密的數(shù)據(jù)包。所有攻擊場(chǎng)景均在受控條件下完成團(tuán)隊(duì)掌握完整的地面真實(shí)標(biāo)簽?；鶞?zhǔn)數(shù)據(jù)集30個(gè)受控場(chǎng)景涵蓋遞增的復(fù)雜度包括舊有漏洞和最新披露的CVE。其中20個(gè)用于架構(gòu)設(shè)計(jì)和調(diào)優(yōu)incidents截至2024年10個(gè)用于獨(dú)立測(cè)試僅含2025年漏洞。評(píng)估方法采用順序評(píng)估原則——智能體必須先識(shí)別目標(biāo)服務(wù)才能將證據(jù)關(guān)聯(lián)到CVE必須先檢測(cè)到漏洞才能評(píng)估攻擊是否成功。最終報(bào)告由25名安全專(zhuān)家從完整性、連貫性和實(shí)用性三個(gè)維度進(jìn)行人工評(píng)估。硬件/軟件配置基于LangChain和LangGraph框架實(shí)現(xiàn)。測(cè)試了六種主流LLM后端但論文未詳細(xì)披露具體GPU型號(hào)和計(jì)算資源。從架構(gòu)設(shè)計(jì)來(lái)看實(shí)際部署可運(yùn)行在標(biāo)準(zhǔn)服務(wù)器上主要瓶頸在于LLM推理的算力需求。綜合分析作者團(tuán)隊(duì)背景評(píng)估該論文的作者團(tuán)隊(duì)兼具深厚的學(xué)術(shù)功底和產(chǎn)業(yè)視角這為其技術(shù)真實(shí)性提供了有力支撐。Marco Mellia都靈理工大學(xué)正教授SmartDataPoliTO大數(shù)據(jù)與機(jī)器學(xué)習(xí)中心主任。研究領(lǐng)域涵蓋互聯(lián)網(wǎng)監(jiān)測(cè)、網(wǎng)絡(luò)安全和大數(shù)據(jù)分析。同時(shí)是Ermes Cyber Security的聯(lián)合創(chuàng)始人——一家提供B2B網(wǎng)絡(luò)安全解決方案的初創(chuàng)公司。學(xué)術(shù)研究與產(chǎn)業(yè)落地的雙重身份使其對(duì)技術(shù)可行性有務(wù)實(shí)判斷。Matteo Boffa通訊作者都靈理工大學(xué)助理教授SmartDataPoliTO成員。2025年獲得博士學(xué)位研究涉及加密流量分類(lèi)等方向。同時(shí)與華為法國(guó)實(shí)驗(yàn)室有合作關(guān)系。Dario Rossi華為法國(guó)實(shí)驗(yàn)室A4NET DataCom Lab主任發(fā)表超過(guò)220篇論文。產(chǎn)業(yè)界的高級(jí)研究崗位意味著他對(duì)技術(shù)能否落地有直接的判斷權(quán)。Stefano Fumero第一作者都靈理工大學(xué)計(jì)算機(jī)工程碩士其碩士論文題目即為“Design, Implementation and Evaluation of LLM-based Agents for Forensic Analysis”——說(shuō)明CyberSleuth是其碩士研究的直接成果具備扎實(shí)的工程實(shí)現(xiàn)基礎(chǔ)。Danilo Giordano都靈理工大學(xué)助理教授SmartDataPoliTO成員研究聚焦機(jī)器學(xué)習(xí)在網(wǎng)絡(luò)分析和預(yù)測(cè)性維護(hù)中的應(yīng)用。整體而言團(tuán)隊(duì)構(gòu)成絕非“紙上談兵”型。學(xué)術(shù)方面有正教授和助理教授領(lǐng)銜產(chǎn)業(yè)方面有華為實(shí)驗(yàn)室深度參與工程實(shí)現(xiàn)方面有碩士生完成了完整的系統(tǒng)搭建。這種“學(xué)術(shù)產(chǎn)業(yè)工程”三位一體的團(tuán)隊(duì)結(jié)構(gòu)極大地增強(qiáng)了研究結(jié)論的可信度和落地的可能性。技術(shù)真實(shí)性分析論文的技術(shù)路線是務(wù)實(shí)且可驗(yàn)證的。首先輸入輸出的定義非常清晰——PCAP進(jìn)結(jié)構(gòu)化報(bào)告出——沒(méi)有模糊的“黑箱”部分。其次工具鏈全部基于開(kāi)源成熟組件tshark、LangChain、LangGraph不依賴(lài)任何專(zhuān)有或未經(jīng)驗(yàn)證的技術(shù)。第三30個(gè)受控場(chǎng)景的基準(zhǔn)測(cè)試提供了可復(fù)現(xiàn)的評(píng)估框架25名專(zhuān)家的人工評(píng)估增加了結(jié)果的可信度。最后惡意軟件流量分析的遷移實(shí)驗(yàn)展示了系統(tǒng)的泛化能力而非僅針對(duì)特定場(chǎng)景的“過(guò)度擬合”。潛在局限1實(shí)驗(yàn)環(huán)境為受控場(chǎng)景攻擊者已知端點(diǎn)且攻擊路徑相對(duì)明確與真實(shí)世界中攻擊者行為的不確定性存在差距2論文未詳細(xì)討論LLM調(diào)用的經(jīng)濟(jì)成本和時(shí)間延遲——在生產(chǎn)環(huán)境中大規(guī)模流量分析可能產(chǎn)生可觀的API調(diào)用費(fèi)用3依賴(lài)WAF終止TLS連接才能獲得未加密流量這在某些加密流量場(chǎng)景如QUIC、DoH下可能不適用。實(shí)踐應(yīng)用適用場(chǎng)景安全運(yùn)營(yíng)中心SOC的自動(dòng)化取證將CyberSleuth集成到現(xiàn)有的安全事件響應(yīng)流程中作為第一響應(yīng)工具自動(dòng)分析可疑流量生成初步取證報(bào)告大幅縮短MTTR平均修復(fù)時(shí)間。紅藍(lán)隊(duì)演練的評(píng)估輔助在攻防演練后使用CyberSleuth自動(dòng)分析攻擊流量驗(yàn)證藍(lán)隊(duì)檢測(cè)規(guī)則的覆蓋率和有效性。威脅狩獵的流量篩選面對(duì)海量網(wǎng)絡(luò)流量CyberSleuth可快速篩選出可疑會(huì)話并給出初步判斷幫助安全分析師聚焦高價(jià)值線索。部署建議起步階段從特定場(chǎng)景如已知CVE的攻擊流量分析開(kāi)始小規(guī)模試點(diǎn)逐步積累運(yùn)行數(shù)據(jù)和信心與現(xiàn)有工具集成CyberSleuth基于標(biāo)準(zhǔn)PCAP格式和tshark工具可與Suricata、Zeek等主流IDS/IPS工具配合使用人機(jī)協(xié)同模式將系統(tǒng)定位為“分析助理”而非“完全替代”其生成的報(bào)告由安全分析師審核確認(rèn)后納入正式取證文檔成本控制考慮使用開(kāi)源LLM如Llama系列進(jìn)行本地部署或?qū)ι虡I(yè)LLM API設(shè)置調(diào)用次數(shù)和預(yù)算上限注意事項(xiàng)對(duì)包含大量數(shù)據(jù)包數(shù)十萬(wàn)級(jí)的PCAP文件需注意LLM上下文窗口限制建議先進(jìn)行流量過(guò)濾和采樣TLS加密流量的處理需要額外考慮——論文假設(shè)WAF已終止TLS連接實(shí)際部署中可能需要配合SSL解密方案系統(tǒng)的CVE識(shí)別能力依賴(lài)于LLM的知識(shí)截止日期和外部搜索的可用性對(duì)于零日漏洞可能無(wú)法有效識(shí)別參考資料來(lái)源原始論文CyberSleuth: Autonomous Blue-Team LLM Agent for Web Attack Forensics