MEvince: Knowledge-Constrained LLM Reasoning for Technique Identification from Malware Reports
Pubblicata su AIChronos il · fonte del · Hongyu She, Yiling He, Mengda Xie, Yiping Liu, Xingzhi Qian, Zhan Qin
MEvince è un framework di ragionamento per LLM basato su conoscenza che mira a identificare le tecniche malware dai report analizzando prove sparse in documenti eterogenei. Il sistema utilizza una rappresentazione comportamentale condivisa costruita tramite mining agentic della documentazione delle tecniche, collegando osservazioni dei report alle definizioni ATT&CK. Questo approccio permette di strutturare evidenze e recuperare candidati tecnici allineati senza aggiornare i parametri del modello durante l'adattamento.
- MEvince supera le limitazioni degli LLM standard che tendono a basarsi su associazioni plausibili invece che su prove sufficienti per l'identificazione delle tecniche.
- Il framework implementa due stadi online: estrazione guidata da primitive comportamentali e recupero allineato alle evidenze tramite concetti condivisi.
- L'adattamento avviene offline attraverso audit agentic che diagnosticano debolezze concettuali, migliorando le politiche di estrazione senza fine-tuning dei parametri.
- Su un dataset di 610 report MITRE ATT&CK, MEvince migliora l'F1 esatto-ID del 17.4% rispetto alla baseline più forte e aumenta la copertura delle candidate gold-label dal 31.6% al 47.9%.
Perché conta. Per gli sviluppatori che lavorano con LLM, agenti AI locali o sistemi di difesa cibernetica, MEvince offre un metodo robusto per ancorare il ragionamento dell'AI a prove concrete e documentazione tecnica specifica, riducendo allucinazioni e migliorando l'affidabilità nell'analisi del malware.
Scheda generata automaticamente da un modello AI locale a partire dalla fonte originale: può contenere imprecisioni.