DOI: https://doi.org/10.1002/aisy.202501381
تاريخ النشر: 2026-04-23
المؤلف: Luca Cotti وآخرون
الموضوع الرئيسي: أمن المعلومات والأمن السيبراني
نظرة عامة
تقدم ورقة البحث OntoLogX، وهو وكيل ذكاء اصطناعي مستقل مصمم لتعزيز استخراج معلومات التهديد السيبراني (CTI) من سجلات النظام غير المنظمة. هذه السجلات، رغم غناها بالمعلومات المتعلقة بسلوكيات المهاجمين والثغرات المستغلة، غالبًا ما تعاني من مشكلات مثل نقص الهيكل وعدم التناسق الدلالي. تتناول OntoLogX هذه التحديات من خلال استخدام نماذج اللغة الكبيرة (LLMs) لتحويل السجلات الخام إلى رسوم بيانية معرفية قائمة على الأنطولوجيا (KGs). يستخدم النظام أنطولوجيا سجلات خفيفة، وتوليد معزز بالاسترجاع (RAG)، وعمليات تصحيح تكرارية لضمان أن تكون KGs الناتجة صحيحة من الناحية النحوية والدلالية. بالإضافة إلى ذلك، تجمع OntoLogX KGs في جلسات وتتنبأ بتكتيكات MITRE ATT&CK، مما يربط بفعالية الأدلة السجلية منخفضة المستوى بالأهداف العدائية عالية المستوى.
تظهر تقييمات OntoLogX على كل من مجموعات بيانات honeypot العامة والواقعية قدرته على إنتاج KGs متوافقة مع الأنطولوجيا ورسم الأنشطة العدائية بدقة على تكتيكات MITRE ATT&CK. تشير النتائج إلى أن دمج آليات الاسترجاع والتصحيح يعزز بشكل كبير من دقة واسترجاع المعلومات الناتجة. ومع ذلك، تعترف الورقة أيضًا بالتحديات المتعلقة بالمتطلبات الحاسوبية لـ LLMs، والتي قد تعيق قابلية التوسع في البيئات ذات الإنتاجية العالية. ستركز الأعمال المستقبلية على تحسين هذه العمليات وتوسيع الأنطولوجيا لتشمل مصادر سجلات إضافية ومعايير CTI، مما يحسن من التوافق. بشكل عام، تمثل OntoLogX تقدمًا كبيرًا في استخراج معلومات CTI القابلة للتنفيذ من البيانات غير المنظمة، مما يساهم في استراتيجيات الدفاع السيبراني الاستباقية.
مقدمة
تسلط مقدمة الورقة الضوء على تزايد تعقيد التهديدات السيبرانية، مما يستدعي التحول من الدفاعات التقليدية التفاعلية إلى استراتيجيات استباقية في الأمن السيبراني. تلعب معلومات التهديد السيبراني (CTI) دورًا حاسمًا في هذا الانتقال من خلال تمكين المؤسسات من توقع الهجمات والتخفيف منها من خلال جمع وتحليل سلوكيات الفاعلين في التهديد. من بين المصادر المختلفة لـ CTI، يتم التأكيد على سجلات النظام، وخاصة تلك القادمة من honeypots، لقدرتها على التقاط التفاعلات العدائية. ومع ذلك، فإن الطبيعة غير المنظمة والمجزأة لهذه السجلات تعقد التحليل الآلي، مما يدفع إلى استكشاف الرسوم البيانية المعرفية (KGs) لتعزيز CTI من خلال هيكلة وإثراء البيانات.
يقدم المؤلفون OntoLogX، وهو وكيل ذكاء اصطناعي مستقل يستخدم نموذج لغة كبير (LLM) لاستخراج CTI من السجلات الخام وبناء KGs مفصلة تتوافق مع أنطولوجيا محددة المجال للأمن السيبراني. يسمح هذا النهج بالاستعلام الدلالي والتفكير الآلي، مما يعالج التحديات التي تطرحها بيانات السجلات الخام. توضح الورقة المساهمات الرئيسية، بما في ذلك تطوير أنطولوجيا خفيفة لسجلات الأمن السيبراني، وتصميم OntoLogX، والتقييمات التجريبية التي تظهر فعاليته في استخراج المعلومات المنظمة من كل من مجموعات بيانات honeypot العامة والواقعية. ستتناول الأقسام التالية من الورقة المفاهيم الأساسية، وتفاصيل التصميم، والتقييمات التجريبية المتعلقة بـ OntoLogX.
النتائج
تظهر نتائج تجارب توليد KG فعالية OntoLogX في إنتاج رسوم بيانية معرفية متوافقة مع الأنطولوجيا (KGs)، مع أداء متباين عبر نماذج وتكوينات مختلفة. من الجدير بالذكر أن نماذج مثل Claude Sonnet 4، Qwen3 Coder (32B)، Llama 3.3 (80B)، وClaude 3.5 Haiku تحقق معدلات نجاح عالية في بناء KG، بينما تظهر Llama 3.1 (8B) وMistral Large (123B) إخفاقات كبيرة، وغالبًا ما تنتج مخرجات غير صالحة أو حرة الشكل. تكافح نماذج التفكير، وخاصة gpt-oss (120B) وgpt-oss (20B)، بسبب استدعاءات الدوال غير الصحيحة، مما يؤدي إلى معدل فشل مرتفع على الرغم من إنتاج رسوم بيانية صالحة في بعض الأحيان. تظل نسب انتهاك SHACL منخفضة عبر التكوينات، مما يشير إلى أن هندسة المطالبات توجه نماذج اللغة الكبيرة (LLMs) بفعالية نحو إنتاج هياكل صالحة، على الرغم من أن المخرجات المنظمة وآليات التصحيح تعزز الأداء بشكل أكبر.
فيما يتعلق بتوقع تكتيكات MITRE ATT&CK من جلسات honeypot، تتفوق OntoLogX على الخط الأساسي، خاصة في الكشف عن التكتيكات المعقدة المعتمدة على السياق التي تتطلب تفكيرًا متعدد الأحداث. بينما ينجح التكوين الأساسي في تحديد التكتيكات ذات الحبيبات الخشنة، فإنه يكافح مع السلوكيات الأكثر دقة، والتي تلتقطها OntoLogX من خلال تمثيلها المنظم للكيانات والإجراءات. ومع ذلك، لا تزال هناك تحديات في الكشف عن التكتيكات التي تتطلب ارتباطًا طويل الأمد، مثل الاستمرارية وتجنب الدفاع، بسبب دقة التعديلات البيئية التي لا تمثل بالكامل في سجلات honeypot. بشكل عام، يعزز نهج OntoLogX القائم على الأنطولوجيا من دقة وقابلية تفسير استخراج معلومات التهديد السيبراني (CTI)، مما يمكّن من استنتاج أفضل للأهداف الهجومية الكامنة ويظهر أهمية التمثيلات المنظمة في تفكير LLM.
المناقشة
في قسم المناقشة، تسلط الورقة الضوء على قدرات وقيود نماذج اللغة الكبيرة (LLMs) وأنظمة التوليد المعزز بالاسترجاع (RAG) في مهام معالجة اللغة الطبيعية، خاصة في سياقات الأمن السيبراني. تتفوق LLMs، مثل GPT وLlama، في توليد وتفسير النصوص ولكنها غالبًا ما تكافح مع الاتساق الواقعي والدقة المحددة للمجال بسبب التحيزات في بيانات التدريب. للتخفيف من هذه المشكلات، يجمع RAG بين LLMs مع استرجاع المعلومات، مما يسمح للنماذج بالوصول إلى الوثائق ذات الصلة من قاعدة المعرفة، مما يعزز من أساس المخرجات الناتجة. هذا النهج مفيد بشكل خاص في الأمن السيبراني، حيث تعتبر المصطلحات الدقيقة ضرورية لتفسير البيانات المعقدة.
تناقش الورقة أيضًا دور وكلاء الذكاء الاصطناعي، وهم أنظمة مستقلة مصممة لأداء مهام محددة مع الحد الأدنى من التدخل البشري. تتميز هذه الوكلاء بالاستقلالية، وتخصص المهام، والقدرة على التكيف، مما يميزها عن سكربتات الأتمتة التقليدية. يتم التأكيد على دمج الأنطولوجيات في بناء الرسوم البيانية المعرفية (KG)، حيث توفر إطارًا منظمًا لتنظيم المعرفة السيبرانية، مما يضمن الاتساق والوضوح الدلالي. تقدم الورقة OntoLogX، وهو إطار يستفيد من LLMs لتحليل السجلات عبر الإنترنت، مما ينتج KGs من بيانات السجلات الخام مع الالتزام بأنطولوجيا مخصصة. لا يعزز هذا النظام فقط استخراج وتمثيل المعلومات السيبرانية، بل يتضمن أيضًا عمليات تحقق تكرارية لضمان دقة وموثوقية المعرفة الناتجة.
القيود
تتعدد قيود المنهجية المقترحة في OntoLogX. أولاً، يرث الإطار عبءًا حاسوبيًا كبيرًا مرتبطًا بنماذج اللغة الكبيرة (LLMs)، مما يؤثر على كل من وقت المعالجة وتكاليف التشغيل. هذا أمر حاسم بشكل خاص في تحليل السجلات الواقعية، حيث قد تولد الأنظمة آلاف الإدخالات في الثانية وتتطلب استجابات قريبة من الوقت الحقيقي. بينما يُقترح أن التنسيق الدقيق للموارد يمكن أن يخفف من بعض مشكلات وقت التنفيذ هذه، من المتوقع أن تعالج التطورات في تكنولوجيا LLM هذه القيود بشكل أكبر.
ثانيًا، يؤدي الاعتماد على LLMs إلى خطر الهلاوس، حيث قد ينتج النموذج معلومات قابلة للتصديق ولكنها غير صحيحة. على الرغم من أن دمج التوليد المعزز بالاسترجاع (RAG) والتعلم القليل يساعد في تأصيل المخرجات في المعرفة ذات الصلة، إلا أن خطر الهلاوس لا يمكن القضاء عليه تمامًا. بالإضافة إلى ذلك، تستخدم OntoLogX أنطولوجيا ثابتة مصممة لتحليل السجلات، والتي، رغم شمولها، قد تحتاج إلى تحسين أو توسيع لتطبيقات معينة أو التوافق مع معايير أخرى لمعلومات التهديد السيبراني (CTI). على الرغم من أن التصميم المعياري للإطار يسمح باستبدال الأنطولوجيا، فإن التكيف مع مخططات جديدة يتطلب تنسيقًا يدويًا واختبارًا. أخيرًا، كانت تقييمات OntoLogX محدودة بعدد صغير من مجموعات البيانات، بشكل أساسي سجلات honeypot وسجلات المعايير؛ من الضروري إجراء تحقق أوسع عبر بيئات تشغيل متنوعة، بما في ذلك الشبكات المؤسسية والبنى التحتية السحابية، لتأسيس قوتها العامة وقابليتها للتطبيق.
DOI: https://doi.org/10.1002/aisy.202501381
Publication Date: 2026-04-23
Author(s): Luca Cotti et al.
Primary Topic: Information and Cyber Security
Overview
The research paper introduces OntoLogX, an autonomous AI agent designed to enhance the extraction of Cyber Threat Intelligence (CTI) from unstructured system logs. These logs, while rich in information regarding attacker behaviors and exploited vulnerabilities, often suffer from issues such as lack of structure and semantic inconsistency. OntoLogX addresses these challenges by utilizing Large Language Models (LLMs) to convert raw logs into ontology-grounded Knowledge Graphs (KGs). The system employs a lightweight log ontology, Retrieval Augmented Generation (RAG), and iterative correction processes to ensure the generated KGs are both syntactically and semantically valid. Additionally, OntoLogX aggregates KGs into sessions and predicts MITRE ATT&CK tactics, effectively linking low-level log evidence to higher-level adversarial objectives.
The evaluation of OntoLogX on both public and real-world honeypot datasets demonstrates its capability in generating ontology-compliant KGs and accurately mapping adversarial activities to MITRE ATT&CK tactics. The results indicate that the integration of retrieval and correction mechanisms significantly enhances the precision and recall of the generated intelligence. However, the paper also acknowledges challenges related to the computational demands of LLMs, which may hinder scalability in high-throughput environments. Future work will focus on optimizing these processes and expanding the ontology to encompass additional log sources and CTI standards, thereby improving interoperability. Overall, OntoLogX represents a significant advancement in the automated extraction of actionable CTI from unstructured data, contributing to proactive cyber defense strategies.
Introduction
The introduction of the paper highlights the escalating sophistication of cyber threats, which necessitates a shift from traditional reactive defenses to proactive strategies in cybersecurity. Cyber Threat Intelligence (CTI) plays a crucial role in this transition by enabling organizations to anticipate and mitigate attacks through the collection and analysis of threat actor behaviors. Among the various sources of CTI, system logs, particularly those from honeypots, are emphasized for their ability to capture adversarial interactions. However, the unstructured and fragmented nature of these logs complicates automated analysis, prompting the exploration of Knowledge Graphs (KGs) to enhance CTI by structuring and enriching the data.
The authors introduce OntoLogX, an autonomous AI agent that utilizes a large language model (LLM) to extract CTI from raw logs and construct detailed KGs that adhere to a domain-specific ontology for cybersecurity. This approach allows for semantic querying and automated reasoning, addressing the challenges posed by raw log data. The paper outlines key contributions, including the development of a lightweight ontology for cybersecurity logs, the design of OntoLogX, and empirical evaluations demonstrating its effectiveness in extracting structured intelligence from both public and real-world honeypot datasets. The subsequent sections of the paper will delve into the foundational concepts, design details, and experimental evaluations related to OntoLogX.
Results
The results of the KG generation experiments demonstrate the effectiveness of OntoLogX in producing ontology-compliant knowledge graphs (KGs), with varying performance across different models and configurations. Notably, models such as Claude Sonnet 4, Qwen3 Coder (32B), Llama 3.3 (80B), and Claude 3.5 Haiku achieve high success rates in KG construction, while Llama 3.1 (8B) and Mistral Large (123B) exhibit significant failures, often generating invalid or free-form outputs. The reasoning models, particularly gpt-oss (120B) and gpt-oss (20B), struggle due to incorrect function calls, leading to a high failure rate despite occasionally producing valid graphs. SHACL violation ratios remain low across configurations, indicating that prompt engineering effectively guides large language models (LLMs) toward generating valid structures, although structured output and correction mechanisms further enhance performance.
In terms of predicting MITRE ATT&CK tactics from honeypot sessions, OntoLogX outperforms the baseline, particularly in detecting complex, context-dependent tactics that require multi-event reasoning. While the baseline configuration successfully identifies coarse-grained tactics, it struggles with more nuanced behaviors, which OntoLogX captures through its structured representation of entities and actions. However, challenges remain in detecting tactics that require long-term correlation, such as Persistence and Defense Evasion, due to the subtlety of environmental modifications not fully represented in honeypot logs. Overall, OntoLogX’s ontology-guided approach enhances the granularity and interpretability of cyber threat intelligence (CTI) extraction, enabling better inference of latent attack objectives and illustrating the importance of structured representations in LLM reasoning.
Discussion
In the discussion section, the paper highlights the capabilities and limitations of Large Language Models (LLMs) and Retrieval-Augmented Generation (RAG) systems in natural language processing tasks, particularly in cybersecurity contexts. LLMs, such as GPT and Llama, excel in generating and interpreting text but often struggle with factual consistency and domain-specific accuracy due to biases in training data. To mitigate these issues, RAG combines LLMs with information retrieval, allowing models to access relevant documents from a knowledge base, thereby enhancing the grounding of generated outputs. This approach is particularly beneficial in cybersecurity, where precise terminology is crucial for interpreting complex data.
The paper also discusses the role of AI agents, which are autonomous systems designed to perform specific tasks with minimal human intervention. These agents are characterized by autonomy, task-specificity, and adaptability, distinguishing them from traditional automation scripts. The integration of ontologies in knowledge graph (KG) construction is emphasized, as they provide a structured framework for organizing cybersecurity knowledge, ensuring consistency and semantic clarity. The paper introduces OntoLogX, a framework that leverages LLMs for online log analysis, generating KGs from raw log data while adhering to a custom ontology. This system not only enhances the extraction and representation of cybersecurity information but also incorporates iterative validation processes to ensure the accuracy and reliability of the generated knowledge.
Limitations
The limitations of the proposed methodology in OntoLogX are multifaceted. Firstly, the framework inherits significant computational overhead associated with large language models (LLMs), impacting both processing time and operational costs. This is particularly critical in real-world log analysis, where systems may generate thousands of entries per second and require near real-time responses. While it is suggested that careful resource orchestration could alleviate some of these execution time issues, advancements in LLM technology are anticipated to further address these constraints.
Secondly, the reliance on LLMs introduces the risk of hallucinations, where the model may produce plausible yet incorrect information. Although the integration of retrieval-augmented generation (RAG) and few-shot learning helps ground outputs in relevant knowledge, the risk of hallucinations cannot be entirely eliminated. Additionally, OntoLogX utilizes a fixed ontology tailored for log analysis, which, while comprehensive, may need refinement or extension for specific domain applications or interoperability with other Cyber Threat Intelligence (CTI) standards. Although the framework’s modular design allows for ontology replacement, adapting to new schemas requires manual curation and testing. Lastly, the evaluation of OntoLogX has been limited to a small number of datasets, primarily honeypot and benchmark logs; broader validation across diverse operational environments, including enterprise networks and cloud infrastructures, is necessary to establish its robustness and generalizability.