CyberSleuth: Autonomous Blue-Team LLM Agent for Web Attack Forensics論文重點CyberSleuth是首個系統(tǒng)研究LLM智能體自動化Web攻擊事后取證工作的成果。該智能體以PCAP網(wǎng)絡流量包為唯一輸入通過多智能體協(xié)作架構自動完成受害服務識別、CVE漏洞映射和攻擊成功性評估三大任務在2025年真實漏洞測試中達到80%的CVE識別準確率并經(jīng)過25名安全專家的評估驗證。核心研究內容問題定義網(wǎng)絡取證目前高度依賴人工操作過程緩慢、易出錯且成本高昂。隨著攻擊手段日益復雜和自動化防御方亟需自動化取證手段來彌補人力缺口。然而將LLM智能體應用于網(wǎng)絡安全取證面臨嚴峻挑戰(zhàn)取證分析要求長期推理能力、上下文記憶能力和跨事件證據(jù)關聯(lián)能力——而這些恰恰是當前LLM智能體最薄弱的環(huán)節(jié)。更關鍵的是現(xiàn)有文獻中絕大多數(shù)LLM智能體研究集中在紅隊進攻場景防御性智能體幾乎空白。創(chuàng)新方法論文系統(tǒng)比較了三種智能體架構單智能體SA、Tshark專家智能體TEA、流報告智能體FRA和六種LLM后端的性能差異。最終勝出的CyberSleuth采用FRA架構——一種基于MemGPT風格的多智能體協(xié)作設計核心創(chuàng)新在于1職責分離主智能體專注于高層推理和決策Tshark子智能體專門負責底層數(shù)據(jù)包分析工具的調用和命令生成2簡單編排優(yōu)于嵌套層級研究表明順序流水線式的智能體協(xié)作優(yōu)于復雜的嵌套層級架構3長期記憶管理通過FIFO隊列保留短期上下文并逐步整合到長期記憶中。工具層面智能體可調用PCAP讀取器tshark封裝、Web搜索工具以及Tshark子智能體內含Tshark手冊讀取器和Tshark執(zhí)行器。研究成果在30個受控攻擊場景涵蓋舊有漏洞和2025年新披露漏洞的基準測試中CyberSleuth在2025年獨立 incidents 上達到80%的CVE準確識別率在服務識別任務上最高達到90%的準確率。25名安全專家對系統(tǒng)生成的取證報告進行了評估一致認為報告完整、連貫且具有實際可用性。此外研究還驗證了系統(tǒng)的可移植性——將CyberSleuth應用于惡意軟件流量分析任務10種不同惡意軟件樣本僅需修改任務提示詞即可有效提取受害主機信息和入侵指標IoC。論文提煉的三個關鍵結論是1多智能體專業(yè)化分工對持續(xù)推理至關重要2簡單編排優(yōu)于嵌套層級架構3CyberSleuth的設計可泛化到不同取證任務。實際落地應用的可能性高。該系統(tǒng)直接處理標準PCAP格式的網(wǎng)絡流量與現(xiàn)有安全基礎設施如WAF、IDS兼容性良好。技術?；诔墒斓腖angChain和LangGraph框架降低了工程化門檻。團隊構成兼具學術研究實力都靈理工大學的SmartDataPoliTO中心和產(chǎn)業(yè)落地經(jīng)驗華為法國實驗室參與。不過從研究到產(chǎn)品化仍需解決LLM調用成本、響應延遲、以及在實際企業(yè)環(huán)境中的大規(guī)模驗證等問題。技術細節(jié)核心工作流程智能體以PCAP文件為唯一輸入經(jīng)歷三階段處理——預處理、主智能體執(zhí)行、報告生成。數(shù)據(jù)包分析機制單智能體SA架構中智能體首先通過tshark獲取整個數(shù)據(jù)包的摘要列表tshark-r{pcap_file}-Tfields-eframe.number-eframe.time-eframe.protocols-e_ws.col.Info該摘要列出幀ID、時間戳、協(xié)議層次和簡要信息。智能體分析摘要后自主識別感興趣的包再通過PCAP讀取工具獲取載荷tshark-r{pcap_file}-Yframe.number{frame_number}-Tfields-edataTshark專家智能體TEA的改進針對大規(guī)模流量數(shù)萬到數(shù)十萬包下摘要可能超出LLM上下文窗口的問題TEA采用流級別的摘要視圖而非包級別大幅壓縮輸入規(guī)模。同時引入專門的tshark子智能體將底層工具調用從主智能體中解耦。該子智能體配備兩個工具Tshark手冊讀取器基于官方tshark文檔構建的語義搜索工具確保命令生成的準確性Tshark執(zhí)行器運行生成的tshark命令、自動檢測并糾正錯誤、優(yōu)化過濾器、截斷結果以符合約束流報告智能體FRA——CyberSleuth的架構基礎FRA進一步解耦了流量摘要子智能體與主智能體解決了TEA中仍存在的協(xié)調瓶頸。主智能體專注于高層推理服務識別→CVE映射→成功評估子智能體負責底層數(shù)據(jù)處理二者通過結構化自然語言指令交互。提示工程設計系統(tǒng)提示包含三個核心部分——智能體角色描述邀請逐步思考、系統(tǒng)指令和可用工具列表、目標與指南。其中目標明確定義了五項任務識別服務、收集惡意活動證據(jù)、關聯(lián)CVE、評估服務脆弱性、判斷攻擊是否成功。指南要求先完成PCAP探索性分析再通過外部搜索交叉驗證CVE信息。記憶管理采用ReAct框架的“草稿本”scratchpad方式記錄每次觀察、行動和結果追加到原始提示中作為短期記憶。同時通過FIFO隊列保留短期上下文并逐步整合到長期記憶中。研究設定實驗環(huán)境研究團隊搭建了一個企業(yè)網(wǎng)絡環(huán)境部署了可能存在漏洞或安全加固的Web服務。攻擊者已知可用端點針對特定CVE執(zhí)行攻擊——對脆弱服務的攻擊可能成功對安全服務的攻擊則會失敗。數(shù)據(jù)采集通過監(jiān)控系統(tǒng)如終止TLS連接的WAF記錄網(wǎng)絡流量PCAP格式允許導出未加密的數(shù)據(jù)包。所有攻擊場景均在受控條件下完成團隊掌握完整的地面真實標簽。基準數(shù)據(jù)集30個受控場景涵蓋遞增的復雜度包括舊有漏洞和最新披露的CVE。其中20個用于架構設計和調優(yōu)incidents截至2024年10個用于獨立測試僅含2025年漏洞。評估方法采用順序評估原則——智能體必須先識別目標服務才能將證據(jù)關聯(lián)到CVE必須先檢測到漏洞才能評估攻擊是否成功。最終報告由25名安全專家從完整性、連貫性和實用性三個維度進行人工評估。硬件/軟件配置基于LangChain和LangGraph框架實現(xiàn)。測試了六種主流LLM后端但論文未詳細披露具體GPU型號和計算資源。從架構設計來看實際部署可運行在標準服務器上主要瓶頸在于LLM推理的算力需求。綜合分析作者團隊背景評估該論文的作者團隊兼具深厚的學術功底和產(chǎn)業(yè)視角這為其技術真實性提供了有力支撐。Marco Mellia都靈理工大學正教授SmartDataPoliTO大數(shù)據(jù)與機器學習中心主任。研究領域涵蓋互聯(lián)網(wǎng)監(jiān)測、網(wǎng)絡安全和大數(shù)據(jù)分析。同時是Ermes Cyber Security的聯(lián)合創(chuàng)始人——一家提供B2B網(wǎng)絡安全解決方案的初創(chuàng)公司。學術研究與產(chǎn)業(yè)落地的雙重身份使其對技術可行性有務實判斷。Matteo Boffa通訊作者都靈理工大學助理教授SmartDataPoliTO成員。2025年獲得博士學位研究涉及加密流量分類等方向。同時與華為法國實驗室有合作關系。Dario Rossi華為法國實驗室A4NET DataCom Lab主任發(fā)表超過220篇論文。產(chǎn)業(yè)界的高級研究崗位意味著他對技術能否落地有直接的判斷權。Stefano Fumero第一作者都靈理工大學計算機工程碩士其碩士論文題目即為“Design, Implementation and Evaluation of LLM-based Agents for Forensic Analysis”——說明CyberSleuth是其碩士研究的直接成果具備扎實的工程實現(xiàn)基礎。Danilo Giordano都靈理工大學助理教授SmartDataPoliTO成員研究聚焦機器學習在網(wǎng)絡分析和預測性維護中的應用。整體而言團隊構成絕非“紙上談兵”型。學術方面有正教授和助理教授領銜產(chǎn)業(yè)方面有華為實驗室深度參與工程實現(xiàn)方面有碩士生完成了完整的系統(tǒng)搭建。這種“學術產(chǎn)業(yè)工程”三位一體的團隊結構極大地增強了研究結論的可信度和落地的可能性。技術真實性分析論文的技術路線是務實且可驗證的。首先輸入輸出的定義非常清晰——PCAP進結構化報告出——沒有模糊的“黑箱”部分。其次工具鏈全部基于開源成熟組件tshark、LangChain、LangGraph不依賴任何專有或未經(jīng)驗證的技術。第三30個受控場景的基準測試提供了可復現(xiàn)的評估框架25名專家的人工評估增加了結果的可信度。最后惡意軟件流量分析的遷移實驗展示了系統(tǒng)的泛化能力而非僅針對特定場景的“過度擬合”。潛在局限1實驗環(huán)境為受控場景攻擊者已知端點且攻擊路徑相對明確與真實世界中攻擊者行為的不確定性存在差距2論文未詳細討論LLM調用的經(jīng)濟成本和時間延遲——在生產(chǎn)環(huán)境中大規(guī)模流量分析可能產(chǎn)生可觀的API調用費用3依賴WAF終止TLS連接才能獲得未加密流量這在某些加密流量場景如QUIC、DoH下可能不適用。實踐應用適用場景安全運營中心SOC的自動化取證將CyberSleuth集成到現(xiàn)有的安全事件響應流程中作為第一響應工具自動分析可疑流量生成初步取證報告大幅縮短MTTR平均修復時間。紅藍隊演練的評估輔助在攻防演練后使用CyberSleuth自動分析攻擊流量驗證藍隊檢測規(guī)則的覆蓋率和有效性。威脅狩獵的流量篩選面對海量網(wǎng)絡流量CyberSleuth可快速篩選出可疑會話并給出初步判斷幫助安全分析師聚焦高價值線索。部署建議起步階段從特定場景如已知CVE的攻擊流量分析開始小規(guī)模試點逐步積累運行數(shù)據(jù)和信心與現(xiàn)有工具集成CyberSleuth基于標準PCAP格式和tshark工具可與Suricata、Zeek等主流IDS/IPS工具配合使用人機協(xié)同模式將系統(tǒng)定位為“分析助理”而非“完全替代”其生成的報告由安全分析師審核確認后納入正式取證文檔成本控制考慮使用開源LLM如Llama系列進行本地部署或對商業(yè)LLM API設置調用次數(shù)和預算上限注意事項對包含大量數(shù)據(jù)包數(shù)十萬級的PCAP文件需注意LLM上下文窗口限制建議先進行流量過濾和采樣TLS加密流量的處理需要額外考慮——論文假設WAF已終止TLS連接實際部署中可能需要配合SSL解密方案系統(tǒng)的CVE識別能力依賴于LLM的知識截止日期和外部搜索的可用性對于零日漏洞可能無法有效識別參考資料來源原始論文CyberSleuth: Autonomous Blue-Team LLM Agent for Web Attack Forensics