kimburkeanalytics/beyond-phishing-llm-threat-actor-tracker

# 超越网络钓鱼：追踪威胁行为者在攻击生命周期中对 LLM 的使用 ## 项目摘要 本项目评估了威胁行为者如何在基础的社会工程学之外使用大型语言模型（LLM）。它将公开的威胁报告转换为结构化的、有据可查的数据集，然后生成能力矩阵、摘要表、来源参考文献和情报高管评估。 核心的分析问题不仅在于对手是否使用了 LLM，还在于 LLM 改变了对手的哪些能力：规模、速度、质量/精度、技能压缩以及工作流链接。 本项目使用自定义的基于 LLM 的能力分类法作为主要分析模型，并将发现结果映射到 MITRE ATT&CK 作为辅助操作层。这使得分析能够专注于与防御者相关的“实质性影响”，同时让发现结果能实际用于威胁狩猎、检测工程和面向客户的安全建议。 ## 为什么这很重要 许多关于 AI 驱动的威胁活动的讨论仍然局限于网络钓鱼、翻译和社会工程学。这些用途很重要，但它们并不能反映全部的操作风险。 本项目聚焦于一个影响更深远的问题：LLM 是否正在帮助对手以更快的速度、更大的规模、更高的质量，并在攻击生命周期的更多阶段中开展行动。 核心的分析判断是，LLM 并不需要创造出全新的攻击类别才能产生影响。它们仍然可以通过压缩执行现有对手工作流所需的时间、技能和劳动力，以可接受的质量实质性地改变威胁环境。 ## 分析论点 LLM 通过压缩以可接受的质量执行技术和影响力操作所需的时间、技能和劳动力，从而提升了对手的能力。 防御者的主要担忧并不是 LLM 会神奇地创造出顶级操作者。担忧在于，它们可能会让更多的行为者在攻击生命周期的更多阶段中变得更快、更具可扩展性、更精确，并在操作上达到合格水平。 本项目旨在避免两种常见的分析失误： 1. **炒作：** 将每一个 AI 滥用案例都视为完全自主网络行动的证明。 2. **自满：** 将 LLM 驱动的活动简化为网络钓鱼、翻译或普通的社会工程学。 ## 工具功能 该工具读取一个包含有据可查陈述的结构化数据集，并生成： - 能力矩阵 - 按能力类别和成熟度等级划分的摘要表 - 情报高管评估 - 用于可追溯性和可审计性的来源参考文献 ## 核心分析模型 本项目跨多个维度评估每项陈述： - 能力类别 - 攻击生命周期阶段 - MITRE ATT&CK 战术映射 - 技术深度 - 成熟度等级 - 证据评级 - 置信度水平 - 规模效应 - 速度效应 - 质量/精度效应 - 技能压缩效应 - 工作流链接效应 - 低估风险 - 防御者影响 ## 能力类别 本项目使用直观的分析类别来评估 LLM 似乎能够实现的功能： - 侦察和目标特征分析 - 漏洞研究和漏洞利用支持 - 恶意软件开发与修改 - 凭据和访问工作流 - 入侵后数据分析 - 操作决策支持 - 工作流链接/代理执行 - OPSEC、规避和安全防护绕过 - 社会工程学和内容生成 - 工具链集成 - 跨平台工作流集成 ## 成熟度模型 | 等级 | 含义 | |---|---| | 0 | 无实质性 LLM 使用 | | 1 | 内容辅助：网络钓鱼、翻译、角色文本、影响力内容 | | 2 | 技术辅助：编码、调试、CVE 研究、恶意软件修改 | | 3 | 操作赋能：支持侦察、访问、凭据窃取、数据筛选、勒索 | | 4 | 工作流链接：在人工监督下连接多个攻击阶段 | | 5 | 代理执行：在有限的人工干预下执行大部分操作 | ## MITRE ATT&CK 映射 本项目将 MITRE ATT&CK 作为辅助操作层，而不是主要的分析模型。 ATT&CK 对于将发现结果转化为防御者工作流（如威胁狩猎、检测工程和面向客户的建议）非常有用。然而，仅靠 ATT&CK 并不能解释 LLM 改变了行为者能力的哪些方面。 自定义的能力分类法回答了分析问题： ATT&CK 映射回答了操作问题： ## 方法论 该工作流特意设计得简单且可审计： 1. 收集有关威胁行为者使用 LLM 的公开报告。 2. 将相关报告转换为结构化的、有据可查的陈述。 3. 根据证据质量、置信度、技术深度和成熟度等级对每项陈述进行评分。 4. 评估能力效应：规模、速度、质量/精度、技能压缩和工作流链接。 5. 标记具有高低估风险的陈述。 6. 从结构化数据集生成分析输出。 目标不是为了取代人工判断。目标是为了让判断更加结构化、可重复且透明。 ## 如何运行 运行完整 pipeline： ``` python src/run_pipeline.py ``` 或手动运行每个步骤： ``` python src/validate_dataset.py python src/generate_outputs.py ``` ## 输出 生成的输出将写入 `outputs/` 文件夹： - `capability_matrix.csv` - `claims_by_capability_category.csv` - `claims_by_maturity_tier.csv` - `executive_assessment.md` - `source_bibliography.md` ## 项目结构 ``` threat-actor-llm-usage-tracker/ ├── data/ │ ├── llm_capability_claims.csv │ └── source_notes.md ├── outputs/ │ ├── capability_matrix.csv │ ├── claims_by_capability_category.csv │ ├── claims_by_maturity_tier.csv │ ├── executive_assessment.md │ └── source_bibliography.md ├── prompts/ ├── src/ │ ├── generate_outputs.py │ ├── run_pipeline.py │ └── validate_dataset.py ├── README.md └── requirements.txt ``` ## 来源可追溯性 结构化数据集中的每项陈述都包含来源信息、证据评级、置信度和分析注释。生成的来源参考文献支持可追溯性和可审计性。 应结合以下内容审查参考文献： ``` data/llm_capability_claims.csv ``` 以及： ``` outputs/executive_assessment.md ``` ## 分析标准 本项目旨在产生有据可查、经过置信度评分的分析，从而将观察到的行为与分析判断区分开来。 预期的标准不仅仅是总结 AI 威胁报告。目标是识别出与防御者相关的影响：即 LLM 可能如何改变对手的速度、规模、质量、精度、技能要求以及操作工作流集成。

标签：DLL 劫持, 代码示例, 大语言模型, 威胁情报, 开发者工具, 数据分析, 网络威胁追踪, 逆向工具