DOI: https://doi.org/10.1016/j.knosys.2026.115483
تاريخ النشر: 2026-02-04
المؤلف: Yongheng Zhang وآخرون
الموضوع الرئيسي: أمن المعلومات والأمن السيبراني
نظرة عامة
يتناول هذا القسم التقدم في تحليل معلومات التهديدات السيبرانية (CTI)، مع التركيز بشكل خاص على بناء رسوم بيانية للهجمات من خلال دمج البيانات متعددة الأنماط، بما في ذلك الصور. الإطار المقترح، MM-AttacKG، يستفيد من نماذج اللغة الكبيرة متعددة الأنماط (MLLMs) لتعزيز استخراج المعلومات الحرجة عن التهديدات من صور CTI، والتي غالبًا ما يتم تجاهلها في التحليلات النصية التقليدية. من خلال استخدام وحدة تحليل صور التهديدات وخط أنابيب للإجابة على الأسئلة بشكل تكراري، يدمج MM-AttacKG بفعالية الرؤى المستمدة من الصور في بناء رسوم بيانية للهجمات، مما يحسن شمولية ودقة الرسوم الناتجة. يقدم المؤلفون مجموعة بيانات جديدة متعددة الأنماط، AG-LLM-mm، ويحققون في فعالية الإطار من خلال تجارب واسعة، مما يظهر تحسينات كبيرة في تحديد المعلومات الرئيسية من صور التهديدات.
في الختام، يمثل هذا البحث أول دمج لصور CTI في بناء رسوم بيانية للهجمات، مما يبرز إمكانيات MLLMs في تعزيز تحليل التهديدات متعددة الأنماط. تسهل خطة التحفيز متعددة المراحل التي تم تطويرها لـ MM-AttacKG المعالجة المنهجية لبيانات الصور، مما يؤدي إلى تحسين الأداء في جودة رسوم الهجمات. تؤكد النتائج على أهمية دمج أنماط بيانات متنوعة في تحليل التهديدات السيبرانية وتقترح مجالات بحث مستقبلية في بناء رسوم بيانية للهجمات متعددة الأنماط.
مقدمة
تسلط المقدمة الضوء على التحدي المتزايد الذي تفرضه الزيادة في تكرار وتعقيد الهجمات السيبرانية، مما يبرز أهمية الدفاعات الفعالة في مجال الأمن السيبراني. تُعرض رسوم الهجمات كأداة قيمة لتصور تقدم هذه الهجمات، حيث تمثل العقد المترابطة خطوات الهجوم الفردية، والثغرات المستغلة، والأصول المستهدفة. تستخدم عملية إنشاء هذه الرسوم البيانية للهجمات، المعروفة باسم بناء الرسوم البيانية للهجمات (AGC)، مصادر بيانات متنوعة، بما في ذلك سجلات النظام، والمعرفة المنسقة، وتقارير معلومات الأمن السيبراني (CTI). ومن الجدير بالذكر أن تقارير CTI تُبرز قدرتها على تقديم معلومات تهديدات دقيقة وفي الوقت المناسب، مما يساعد في تحديد مسارات الهجوم الحرجة وتحديد أولويات التهديدات عالية المخاطر. وقد أدى هذا الأهمية إلى اهتمام كبير في AGC من كلا القطاعين الأكاديمي والصناعي.
طرق
في هذا القسم، يحدد المؤلفون الطرق الأساسية المستخدمة لتقييم أداء MM-AttacKG في سياق استخراج معلومات التهديدات ودمج الرسوم البيانية للهجمات المعززة بالصور. تشمل المقارنة أربعة مستخلصات معلومات تهديدات معروفة تعتمد على النص، وهي AttacKG وEXTROCTOR وAttacKG+، والتي تعمل كمعايير لتقييم فعالية MM-AttacKG. بالإضافة إلى ذلك، يقوم المؤلفون بتكييف نهجين قائمين على نماذج اللغة الكبيرة (LLM)، وهما التعلم في السياق (ICL) وسلسلة الأفكار (CoT)، لمهمة متعددة الأنماط لاستخراج معلومات التهديدات وتجميع الرسوم البيانية للهجمات. يتم تقديم مزيد من التفاصيل حول هذه الطرق وتكويناتها في الجداول الملحقة 7 و8.
نقاش
في هذا القسم، يناقش المؤلفون دمج الصور من تقارير معلومات التهديدات السيبرانية (CTI) في بناء الرسوم البيانية للهجمات، مما يبرز تعقيد وغنى معلومات التهديدات الموجودة داخل هذه الصور. يحددون تطور طرق بناء الرسوم البيانية للهجمات، حيث انتقلوا من الأطر المعتمدة على الخبراء التي تعتمد على أنماط ثابتة إلى تقنيات متقدمة تستخدم التعلم العميق ونماذج اللغة الكبيرة (LLMs). يهدف إطار بناء الرسوم البيانية للهجمات متعددة الأنماط المقترح، MM-AttacKG، إلى تعزيز استخراج المعلومات الحرجة من صور التهديدات من خلال عملية منهجية للإجابة على الأسئلة، مما يحسن الجودة العامة واكتمال الرسوم البيانية للهجمات.
يحدد المؤلفون ثلاثة تحديات رئيسية في هذا المجال: الحاجة إلى طرق فعالة لتحليل الصور، وتحسين المعلومات المستخرجة، وقابلية تعميم البيانات المعلّمة عبر مهام مختلفة. لمعالجة هذه التحديات، يدمج MM-AttacKG المعرفة في مجال الأمن السيبراني في تحليل الصور، ويعيد تعريف عملية التحليل كاستفسار تكراري، ويؤسس نماذج تحسين لتكرير المعلومات المستخرجة. يتم التحقق من فعالية الإطار من خلال إنشاء مجموعة بيانات (AG-LLM-mm) وتقييمات لاحقة، مما يظهر أن الرسوم البيانية للهجمات متعددة الأنماط، الغنية بالمعلومات البصرية، توفر فهمًا أكثر شمولية للتهديدات السيبرانية مقارنة بالطرق التقليدية المعتمدة على النص. يمثل هذا العمل تقدمًا كبيرًا في هذا المجال، مما يمهد الطريق للبحوث المستقبلية في الأساليب متعددة الأنماط في الأمن السيبراني.
DOI: https://doi.org/10.1016/j.knosys.2026.115483
Publication Date: 2026-02-04
Author(s): Yongheng Zhang et al.
Primary Topic: Information and Cyber Security
Overview
The section discusses advancements in Cyber Threat Intelligence (CTI) parsing, particularly focusing on the construction of attack graphs through the integration of multimodal data, including images. The proposed framework, MM-AttacKG, leverages Multimodal Large Language Models (MLLMs) to enhance the extraction of critical threat information from CTI images, which are often overlooked in traditional textual analyses. By employing a threat image parsing module and an iterative question-answering pipeline, MM-AttacKG effectively integrates image-derived insights into attack graph construction, thereby improving the comprehensiveness and accuracy of the resulting graphs. The authors introduce a new multimodal dataset, AG-LLM-mm, and validate the framework’s effectiveness through extensive experiments, demonstrating significant improvements in identifying key information from threat images.
In conclusion, this research marks the first integration of CTI images into attack graph construction, highlighting the potential of MLLMs in enhancing multimodal threat analysis. The multistage prompt scheme developed for MM-AttacKG facilitates the systematic processing of image data, leading to improved performance in attack graph quality. The findings underscore the importance of incorporating diverse data modalities in cyber threat analysis and suggest future avenues for research in multimodal attack graph construction.
Introduction
The introduction highlights the growing challenge posed by the increasing frequency and complexity of cyber attacks, emphasizing the importance of effective cybersecurity defenses. Attack graphs are presented as a valuable tool for visualizing the progression of these attacks, where interconnected nodes represent individual attack steps, exploited vulnerabilities, and targeted assets. The process of generating these attack graphs, known as Attack Graph Construction (AGC), utilizes various data sources, including system logs, curated knowledge, and Cyber Security Intelligence (CTI) reports. Notably, CTI reports are underscored for their ability to provide timely and accurate threat intelligence, which aids in identifying critical attack paths and prioritizing high-risk threats. This significance has led to considerable interest in AGC from both academic and industrial sectors.
Methods
In this section, the authors outline the baseline methods employed to evaluate the performance of MM-AttacKG in the context of threat information extraction and image-enhanced attack graph integration. The comparison involves four established text-based threat information extractors, specifically AttacKG, EXTROCTOR, and AttacKG+, which serve as benchmarks for assessing MM-AttacKG’s effectiveness. Additionally, the authors adapt two large language model (LLM)-based approaches, In-Context Learning (ICL) and Chain of Thought (CoT), to the multimodal task of threat information extraction and attack graph aggregation. Further details regarding these methods and their configurations are provided in Appendix Tables 7 and 8.
Discussion
In this section, the authors discuss the integration of images from Cyber Threat Intelligence (CTI) reports into the construction of attack graphs, highlighting the complexity and richness of threat information contained within these images. They outline the evolution of attack graph construction methods, transitioning from expert-driven frameworks reliant on fixed patterns to advanced techniques utilizing deep learning and Large Language Models (LLMs). The proposed multimodal attack graph construction framework, MM-AttacKG, aims to enhance the extraction of critical information from threat images through a systematic question-answering process, thereby improving the overall quality and completeness of attack graphs.
The authors identify three primary challenges in this domain: the need for effective image parsing methods, the optimization of extracted information, and the generalizability of labeled data across different tasks. To address these, MM-AttacKG incorporates cybersecurity knowledge into image parsing, redefines the parsing process as an iterative inquiry, and establishes optimization paradigms for refining extracted information. The framework’s effectiveness is validated through the creation of a dataset (AG-LLM-mm) and subsequent evaluations, demonstrating that multimodal attack graphs, enriched with visual information, provide a more comprehensive understanding of cyber threats compared to traditional text-based methods. This work represents a significant advancement in the field, paving the way for future research into multimodal approaches in cybersecurity.