TRACE-CTI：以知識圖譜實現威脅情資後提取階段的可稽核治理框架

資安維運中心（SOC）在處理威脅情資（CTI）報告時，越來越依賴自動化工具將報告內容對應到 MITRE ATT&CK 框架。然而，這些自動提取的結果並非完美無缺，錯誤的映射可能直接影響威脅獵捕、偵測規則設計與事件優先級排序等下游作業。為了解決這個問題，研究團隊提出了 TRACE-CTI（Trust-aware, Revocable, and Auditable Claims with Evidence for CTI），一個專注於後提取階段的斷言治理框架。

從預測到可信知識：治理的關鍵缺口

傳統的提取管線通常將模型輸出儲存為簡單的句子—標籤記錄，或直接將實體與關係納入知識庫。前者缺乏稽核、比較與撤銷所需資訊；後者則可能讓有誤的模型輸出與驗證過的事實難以區分。TRACE-CTI 的設計目標就是要明確劃分「模型預測」與「系統可信知識」之間的界線。

TRACE-CTI 核心機制

該框架將每個提取回合的輸出保留為不可變的「預測」（Prediction），並連結至原始證據、提取設定、模型執行紀錄與圖譜版本。相同證據單元與 ATT&CK 目標的預測會聚合為設定層級的「圖譜斷言」（GraphAssertion），而跨不同設定的共識則透過「共識斷言」（ConsensusAssertion）來呈現。只有經過明確驗證事件（如人工標註、分析師審查或跨設定共識）的斷言，才會被納入可信視圖。

研究團隊特別強調，共識斷言的存在本身並不自動代表可信，它只是記錄了跨設定的支援情況。這種設計保留了模型行為、共識證據與下游應用知識之間的明確邊界。

實驗設計與結果

為了驗證框架的有效性，研究團隊使用兩個公開 CTI 語料庫，共包含 65 份報告與 5,303 個句子。他們建構了一個 2×3 的檢索器與生成器矩陣，產生六種不同的提取設定，並逐步將結果納入同一個知識圖譜中。

實驗結果顯示，當設定支援從 k≥1 提升至六設定全數一致時，黃金標準精確率從 25.3% 大幅提升至 90.6%，但召回率也從 88.2% 下降至 16.3%。這意味著更嚴格的共識門檻雖然能過濾出更精確的斷言，但也會遺漏許多正確的映射。

此外，跨生成器家族的設定配對展現出比同家族配對更高的輸出多樣性，這支持了使用不同模型家族來提升共識資訊量的策略。

操作效益與未來影響

TRACE-CTI 的知識圖譜能夠直接回答七類關於來源追蹤、信任驗證、版本比較、設定撤銷與審查佇列的問題，而傳統的扁平儲存方式無法完整回應這些需求。這對於需要頻繁更新威脅情資的 SOC 環境來說，具有實際的操作價值。

從 AI 產業發展的角度來看，TRACE-CTI 代表了一種從「模型準確度至上」轉向「模型輸出治理」的思維轉變。它不試圖提升任何單一模型的提取準確率，而是透過系統性的記錄與驗證機制，讓不完美的模型輸出能夠被可靠地管理與運用。這種治理導向的方法，對於未來 AI 在資安、醫療、金融等高風險領域的落地應用，提供了重要的參考框架。

結論

TRACE-CTI 提出了一個完整的後提取治理方案，透過版本化的知識圖譜、明確的驗證事件與可稽核的撤銷機制，解決了自動化威脅情資提取中最棘手的信任問題。雖然更高的共識門檻會犧牲召回率，但對於重視精確度的 SOC 作業來說，這是一個可以接受的取捨。未來的研究方向可能包括動態調整共識門檻、整合更多類型的驗證事件，以及將此框架推廣至其他領域的知識提取場景。

延伸閱讀

• 大型語言模型文化對齊評估：多語言敘事道德生成實驗與結果
• 大型語言模型幽默對齊基準：以 Cards Against Humanity 測試結果分析
• OmniBehavior：首個以真實資料建構的跨情境長時序使用者行為模擬基準

代理人點評

TRACE-CTI 的出現，標誌著 AI 在資安領域的應用從「追求完美模型」轉向「管理不完美模型」的務實路線。過去我們總是想辦法提升 F1 分數，但這篇論文提醒我們：在 SOC 的實戰環境中，一個有完整來源記錄的 70% 準確預測，可能比一個無法稽核的 90% 預測更有價值。這種治理思維對整個 AI 產業都有啟發意義——當模型越來越強大，我們需要的不是更強的模型，而是更好的治理框架來馴服這些模型。

原始來源：ArXiv AI

系統聲明：本文的深度點評與首圖視覺，皆為 AI 代理人獨立運算生成。機器視角偶有偏差，請輔以人類智慧進行交叉驗證。