サイバー脅威情報からの攻撃手法抽出を最適化するTTP-R1

サイバー脅威インテリジェンス（CTI）分析の現状と課題

サイバー脅威インテリジェンス（CTI）は、現代のデジタル社会において企業や組織をサイバー攻撃から守るための羅針盤です。攻撃者の動機、手法、ツールに関する洞察を提供するCTIは、プロアクティブな防御戦略を構築する上で不可欠な情報源となります。特に、CTIテキストから具体的な攻撃手法を抽出し、MITRE ATT&CKフレームワークにマッピングする作業は、脅威を構造化して理解し、適切な防御策を講じるための基盤となります。MITRE ATT&CKは、既知の攻撃者の戦術と技術を体系的に分類したグローバルな知識ベースであり、セキュリティアナリストが脅威を共通の言語で議論し、防御策を計画する上で広く利用されています。

しかし、このCTIからMITRE ATT&CKへのマッピング作業は、手動で行うには非常にコストがかかり、時間も膨大です。数百に及ぶ攻撃手法が存在し、一つのCTIの記述が複数の手法に関連する場合も多いため、正確かつ網羅的な抽出は人間の手ではスケーラビリティに限界があります。既存の自動化アプローチも、それぞれ異なる課題を抱えていました。例えば、マルチラベル分類器は、数百という大規模なラベル空間と深刻なクラス不均衡に直面し、十分な性能を発揮することが困難です。また、大規模言語モデル（LLM）ベースの手法、例えば検索パイプラインやファインチューニングされたジェネレーターは、トークンレベルの目的関数を最適化する傾向があります。これは、攻撃手法の注釈を単なるシーケンス生成として捉えてしまい、予測された手法のセットが全体として正確であるか、または完全であるかという点について、直接的な監督が不足しているという根本的な問題がありました。

TTP-R1の革新的な2段階フレームワーク

私たちは、これらの既存手法の限界を乗り越えるため、TTP-R1という画期的な2段階フレームワークを提案しました。このフレームワークは、「Retrieval-Augmented Supervised Fine-tuning (SFT)」と「Reinforcement Learning using Verifiable Rewards (RLVR)」という二つの強力な技術を組み合わせることで、CTIからの攻撃手法抽出の精度と効率を飛躍的に向上させます。

第1段階：ハイブリッドリトリーバーによる候補絞り込み TTP-R1の最初の段階では、ハイブリッドリトリーバーが機能します。これは、数百に及ぶ広大なMITRE ATT&CKのラベル空間から、入力されたCTIテキストに最も関連性の高い攻撃手法の候補セットを効率的に絞り込む役割を担います。このステップは非常に重要です。なぜなら、LLMが最初からすべての攻撃手法の中から正解を探すのではなく、より限定された、関連性の高い候補の中から選択することで、LLMの推論負担を大幅に軽減し、検索の精度を向上させることができるからです。これにより、後続のLLMはより集中して、正確な判断を下すことが可能になります。

第2段階：ファインチューンLLMと強化学習による最終選択 第2段階では、ファインチューンされたLLMが、第1段階で絞り込まれた候補セットの中から、CTIテキストに記述されている正しい攻撃手法を最終的に選択します。ここでTTP-R1の真骨頂とも言えるのが、強化学習（RLVR）の導入です。具体的には、「Group Relative Policy Optimization」という手法を採用し、分解された報酬（decomposed reward）を適用します。この報酬は、予測された攻撃手法のセットの「精度（Precision）」、「再現率（Recall）」、そして「出力形式（Output Format）」を直接的に監督します。従来のLLMベース手法がトークンレベルの最適化に終始していたのに対し、TTP-R1は、予測された手法の「セット」全体が正確であるか、そしてCTIが記述するすべての関連手法を網羅しているかという、タスクの本質的な目標を直接的に最適化します。これにより、単なるテキスト生成ではなく、構造化された情報抽出タスクにおいて、LLMがより賢く、より正確な判断を下せるようになります。

TTP-R1がもたらす性能向上と実用性

TTP-R1は、その革新的なアプローチにより、サイバーセキュリティ分析に大きな進歩をもたらします。4つのCTIベンチマークにおいて、TTP-R1は最高の平均F1スコアを達成しました。特に注目すべきは、サブテクニックレベルのF1スコアにおいて、既存の検索拡張型Claude Sonnet 4.5と比較して7.4パーセンテージポイントもの改善を記録した点です。これは、より詳細なレベルでの攻撃手法の特定において、TTP-R1が圧倒的な優位性を持つことを示しています。

さらに、実用性という観点でもTTP-R1は大きなメリットを提供します。8Bパラメータモデルとして単一のGPU上で運用した場合、既存のClaude Sonnet 4.5よりも28倍高速に動作するという驚異的な速度向上を実現しました。サイバーセキュリティの分野では、脅威の検出と分析の速度が非常に重要です。この速度と精度の両立は、アナリストがより迅速に脅威を特定し、対応策を講じることを可能にし、結果として組織の防御能力を大幅に向上させます。低コストで高精度な運用が可能になることで、より多くの組織が高度な脅威分析を導入できるようになるでしょう。

私の見方：AIによるサイバー防御の進化

私の経験上、LLMは万能ではありません。特に、構造化された情報抽出や特定の基準に沿った出力が求められるタスクでは、その限界が見えてきます。TTP-R1のアプローチは、まさにそのLLMの課題を強化学習で補うという、現在のAI開発における最も有効なトレンドの一つを具現化したものだと考えます。単なるテキスト生成ではなく、「セット予測」というタスクに対して直接的に最適化を行うことで、AIはより賢く、より信頼性の高い結果を導き出せるようになります。

サイバーセキュリティ分野では、情報が常に更新され、脅威は日々進化します。そのため、最速で一次情報を取得し、それを正確に分析して防御に活かすことが不可欠です。TTP-R1が示した速度と精度の両立は、リアルタイム性が求められるこの分野において、AIが実用的な価値を提供するための重要なマイルストーンです。私も自社プロダクト開発において、このような「LLMと強化学習をぐるぐる回す」アプローチを積極的に取り入れ、常に最先端の技術で課題解決を目指します。この技術は、サイバー防御の未来を大きく変える可能性を秘めていると断言します。