Framework hierárquico de resposta a incidentes usa gêmeo digital para validar inferências de ataque feitas por LLM antes de agir
Um framework de resposta a incidentes combina um LLM ajustado que infere a progressão de ataques multi-estágio com um gêmeo digital da rede que replica o ataque inferido e confronta o resultado com o que foi observado, calibrando a inferência antes de qualquer ação de remediação. Em um testbed corporativo de 33 componentes, a abordagem superou baselines de LLMs de fronteira em 18 a 31 pontos percentuais na taxa de sucesso de recuperação, atacando diretamente o problema de agentes autônomos que alucinam cadeias de ataque inexistentes.
O trabalho propõe um framework de resposta a incidentes de rede que combina agentes baseados em LLM com um "gêmeo digital" (digital twin) da rede para validar hipóteses sobre ataques multi-estágio antes de qualquer ação de remediação automatizada ser aplicada ao ambiente real.
Na arquitetura, um LLM ajustado (fine-tuned) analisa alertas de segurança e medições do sistema para inferir a progressão do ataque e os hosts afetados a partir de observações parciais — exatamente o tipo de reconstrução de cadeia de ataque que um analista de DFIR faz manualmente ao cruzar logs, alertas de EDR e indicadores de rede. A diferença é que aqui essa inferência é conferida por um gêmeo digital, uma réplica emulada da rede que "reproduz" o ataque inferido e compara os efeitos previstos com os efeitos realmente observados, retroalimentando o modelo com as discrepâncias encontradas. A arquitetura é hierárquica: uma camada tática prioriza componentes afetados via planejamento por "rollout", enquanto a camada operacional propõe ações de recuperação de alto nível que um agente de execução traduz em comandos concretos de recuperação e verificação, também validados no gêmeo digital antes de qualquer aplicação real.
A avaliação ocorreu em um testbed de rede corporativa com 33 componentes, sob três cenários de ataque multi-estágio, e a abordagem superou baselines de LLMs de fronteira (sem essa camada de validação) em 18 a 31 pontos percentuais na taxa de sucesso de recuperação.
Do ponto de vista de forense e resposta a incidentes, o ponto mais relevante não é a automação da remediação em si, mas o uso do gêmeo digital como mecanismo de verificação de hipótese de ataque antes da ação — um paralelo direto ao processo de reconstrução de timeline e teste de hipóteses que compõe uma investigação de intrusão, mas aqui aplicado para conter o risco de um agente autônomo alucinar uma cadeia de ataque inteira e, a partir dela, executar ações de contenção ou remediação equivocadas contra a infraestrutura real. Para equipes que avaliam adoção de IA generativa em SOC/IR, esse tipo de camada de validação factual antes da ação é um requisito de segurança prático, não um detalhe de engenharia.