Rethinking the Vulnerabilities of Face Recognition Systems:From a Practical Perspective
本文从实践视角重新审视人脸识别系统脆弱性，提出注册阶段面部身份后门攻击 FIBA，通过投毒特征数据库使特定触发器成为通用绕过钥匙，突破了传统攻击在资源、特权和泛化性上的限制。
2024-06-08 cs.CR
From Text to Actionable Intelligence: Automating STIX Entity and Relationship Extraction
本文提出 AZERG 工具，通过微调大语言模型将非结构化威胁报告自动转换为 STIX 结构化数据，并在四个子任务上取得优于现有方法的性能。
2025-07-22 cs.CR
SCRIPTIOC-BENCH: A Benchmark for Recognizing Actionable Threat Intelligence from Script-Based Malware using LLMs
KAIST（韩国科学技术院）；University of Illinois Urbana-Champaign（伊利诺伊大学厄巴纳-香槟分校）；ETRI（韩国电子通信研究院）
针对脚本恶意软件中IOC静态恢复难题，提出包含634个样本的基准SCRIPTIOC-BENCH，评估多种LLM，最强模型F1仅65.4，并引入误报分类法及两种缓解措施以提升恢复性能。
2026-09-09 cs.AI cs.CR
No Provenance Left Behind: Revisiting Reference Monitor Guarantees with Learned Kernel Scheduling
University of Massachusetts Amherst（马萨诸塞大学阿默斯特分校）；Georgetown University（乔治城大学）
本文提出了一种基于强化学习的 Linux 内核调度器 Aegis，通过动态优化资源分配来缓解溯源收集中的“超级生产者威胁”，显著提升了溯源系统的完整性与效率。
2026-10-27 cs.CR cs.OS
Merging Cyber Threat Intelligence Through Retrieval-Augmented Generation and Small Language Models for Rich Threat Representation
University of Cagliari（卡利亚里大学）；IMT School for Advanced Studies Lucca（卢卡高等研究学院）；Consorzio Interuniversitario Nazionale per l’Informatica（意大利国家大学计算机联盟）
提出一种结合检索增强生成与小语言模型的自动化流水线，从异构CTI来源生成增强攻击图，以支持预防、检测和响应，并在10个真实案例中验证其有效性。
2026-09-09 cs.CR
Data-Driven Threat Hunting Using Sysmon
威胁行为者可以坚持不懈，积极主动和敏捷，并利用多样化和广泛的战术和技术来实现其目标。作为回应，防御者建立了威胁情报计划，以保持对威胁的了解并降低风险。可操作的威胁情报集成到安全信息和事件管理系统（SIEM）中，或通过威胁情报平台等更专用的工具访问。威胁情报平台通过聚合、处理、关联和分析来自多个来源的实时数据和信息来访问上下文威胁信息，并且在许多情况下，它提供组织安全事件的集中分析和报告。Sysmon日志是一种数据源，它在端点可见性方面受到了相当大的关注。已经提出了使用Sysmon进行威胁检测的方法，主要集中在搜索引擎技术，如NoSQL数据库系统。本文展示了Sysmon和网络威胁情报的众多用例之一。特别是，我们提出了一个威胁评估系统，依赖于网络威胁情报本体自动执行的软件分为不同的威胁级别通过分析Sysmon日志流。所提出的系统和方法通过态势感知、预测和自动化行动方案增强了网络防御能力。
2021-03-28 cs.CR
Rethinking Security in Semantic Communication: Latent Manipulation as a New Threat
College of Computer Science and Technology, Nanjing University of Aeronautics and Astronautics（南京航空航天大学计算机科学与技术学院）
本文提出两种攻击方法，揭示语义通信中潜在空间的安全漏洞，通过操纵潜在表示来改变传输语义，且不易被检测。
2025-12-03 cs.CR cs.IT math.IT
Rethinking On-Device LLM Reasoning: Why Analogical Mapping Outperforms Abstract Thinking for IoT DDoS Detection
San Francisco State University（旧金山州立大学）；Stanford University（斯坦福大学）；University of Texas Dallas（德克萨斯大学达拉斯分校）；Virginia Polytechnic Institute and State University（弗吉尼亚理工大学）
本文提出一种结合Co_T和RAG的物联网边缘DDoS检测框架，通过示例驱动推理提升小型ODLLMs在资源受限下的检测性能。
2026-01-20 cs.CR cs.SY eess.SY
CLIProv: A Contrastive Log-to-Intelligence Multimodal Approach for Threat Detection and Provenance Analysis
本文提出多模态方法CLIProv，利用对比学习对齐溯源日志与威胁情报语义，将威胁检测转化为语义搜索问题，有效识别攻击行为并生成简明攻击场景，在标准数据集上实现了更高的精确度和检测效率。
2025-07-12 cs.CR
Intelligence-based Cybersecurity Awareness Training- an Exploratory Project
网络安全培训应适应不断变化的网络威胁形势，具有成本效益，并与其他企业管理组件集成良好。不幸的是，很少有网络安全培训平台能够满足这些要求。本文提出了一种新型的网络安全培训模式，主要目标有三个：（i）培训应通过新出现的相关威胁发起，并首先交付给最脆弱的成员（ii）过程必须敏捷（iii）培训结果必须能够提供可操作的情报。本文首次建立了一个类型系统（本体和相关关系），将网络安全意识培训领域与网络威胁情报领域联系起来。在IBM Watson Knowledge Studio平台的支持下，发现所提出的方法是实用的和可扩展的。主要贡献，如类型系统的导出，100份威胁报告和127个网络安全评估结果的手动注释语料库，用于预注释的词典等都已公开。
2018-12-11 cs.CR
TIBlender: Early-Warning Threat Intelligence from Cross-Platform Social Media Evidence
NTT Security Holdings Corporation & NTT, Inc.（NTT安全控股公司）；Tokyo Metropolitan University（东京都立大学）
提出多智能体系统TIBlender，通过角色专业化LLM代理整合四个社交媒体平台的威胁信号，生成结构化威胁情报报告，在真实部署中提前检测到所有四类威胁，且大多数IoC未被现有情报源覆盖。
2026-10-13 cs.CR
Expected Harm: Rethinking Safety Evaluation of (Mis)Aligned LLMs
National Taiwan University（台湾大学）
本文提出预期危害指标，通过分析发现模型对高成本低可能性威胁的拒绝行为与高可能性低成本威胁的易受攻击现象，揭示模型对执行成本的
2026-11-02 cs.CL cs.CR cs.CY
ThreatPilot: Attack-Driven Threat Intelligence Extraction
National University of Singapore（新加坡国立大学）；Nanyang Technological University（南洋理工大学）；Fudan University（复旦大学）；Cyber Special Ops-R&D, NCS Group（NCS集团网络特种作战研发部）
ThreatPilot通过提取分层的攻击驱动威胁情报，提升威胁检测准确性和效率，生成更精确的检测规则和攻击命令。
2025-12-21 cs.CR
A Practical Honeypot-Based Threat Intelligence Framework for Cyber Defence in the Cloud
School of Information Technology, Whitecliffe College（怀特克利夫学院信息技术学院）
本文提出一种基于蜜罐的云安全框架，利用自动化工具和MITRE ATT&CK框架提升云环境中的威胁检测与响应能力。
2025-12-04 cs.CR
EventHunter: Dynamic Clustering and Ranking of Security Events from Hacker Forum Discussions
College of Computing, Mohammed VI Polytechnic University (UM6P)（计算机学院，穆莱·伊斯梅尔理工大学（UM6P））；Deloitte Morocco Cyber Center（德意志会计师事务所摩洛哥网络安全中心）；Deloitte Conseil（德意志咨询）
本文提出无监督框架EventHunter，利用对比学习微调的Transformer嵌入对黑客论坛安全事件进行动态聚类，并结合每日排名机制优先处理高威胁事件，有效转化为可操作情报以支持主动防御。
2025-07-13 cs.AI cs.CL cs.CR
STINER: Automated Extraction of Strategic Cyber Threat Intelligence from X
College of Computing, Mohammed VI Polytechnic University (UM6P)（莫罕默德六世理工大学计算学院）；Deloitte Conseil（德勤咨询）
该研究针对社交媒体CTI提取难题，提出STINER分类体系与语料库，经测试DarkBERT等领域适配编码器表现最优，还利用STINER-DarkBERT完成了2025年上半年欧洲威胁态势分析。
2026-08-17 cs.CR
Evaluating the Usability of LLMs in Threat Intelligence Enrichment
School of Computer Science University of Guelph Guelph, Canada
本研究对五种LLM在威胁情报富化中的可用性进行了全面评估，通过启发式走查和用户研究识别关键问题并提出改进建议，旨在弥合功能与用户体验的差距，促进更高效准确的威胁情报实践。
2024-09-23 cs.CL cs.CR cs.HC
Cyber-All-Intel: An AI for Security related Threat Intelligence
University of Maryland, Baltimore County（马里兰大学巴尔的摩郡分校）
跟上威胁情报是今天的安全分析师必须。有大量的信息存在于“野生”，影响到一个组织。我们需要开发一个人工智能系统来搜索情报来源，让分析师了解对她的组织构成风险的各种威胁。一个更好地“利用”的安全分析师可能更有效。在本文中，我们提出，网络全英特尔人工智能系统，以帮助安全分析师。它是一个基于网络安全信息学领域的端到端管道中的知识提取，表示和分析系统。它使用多个知识表示，如向量空间和“VKG结构”中的知识图谱来存储传入的情报。该系统还使用神经网络模型来主动改进其知识。我们还创建了一个查询引擎和一个警报系统，分析师可以使用它们来查找可操作的网络安全见解。
2019-05-07 cs.AI cs.CL cs.CR
A Global Analysis of Cyber Threats to the Energy Sector: "Currents of Conflict" from a Geopolitical Perspective
KASTEL Security Research Labs（KASTEL安全研究实验室）；Karlsruhe Institute of Technology (KIT)（卡尔斯鲁厄理工学院）
本文利用生成式人工智能结构化网络威胁情报，结合多数据库地缘政治比较与检测工具评估，揭示能源领域网络威胁趋势及基于学习技术的防御价值。
2025-09-26 cs.AI cs.CR
The Dark Side of the Web: Towards Understanding Various Data Sources in Cyber Threat Intelligence
本研究分析了来自地下论坛、聊天和暗网等“第一手”数据源的千万级数据，结合NLP工具解决过滤与分类挑战，发现20%内容与CTI相关且多聚焦战略讨论，揭示了不同平台在犯罪活动复杂性与风险上的差异。
2025-04-27 cs.CR
A Crawler Architecture for Harvesting the Clear, Social, and Dark Web for IoT-Related Cyber-Threat Intelligence
University of the Peloponnese（伯罗奔尼撒大学）
最近，透明、社交和暗网被认为是有价值的网络安全信息的丰富来源，如果有适当的工具和方法，这些信息可以被识别、抓取并随后利用为可操作的网络威胁情报。在这项工作中，我们专注于信息收集任务，并提出了一种新的爬行架构，透明地收获数据从安全网站在明确的网络，安全论坛在社会网络，黑客论坛/市场在暗网。建议的架构采用两阶段的方法来收集数据。最初，一个基于机器学习的爬虫被用来指导收获感兴趣的网站，而在第二阶段，最先进的统计语言建模技术被用来表示在潜在的低维特征空间中收获的信息，并根据其潜在的相关性进行排名手头的任务。所提出的架构是使用完全开源的工具来实现的，并与众包的结果进行了初步评估，证明了其有效性。
2021-09-14 cs.CR cs.LG
Cybersecurity in the Quantum Era: Assessing the Impact of Quantum Computing on Infrastructure
University of Montreal（蒙特利尔大学）；Canadian Institute for Cybersecurity (CIC), University of New Brunswick（加拿大网络安全研究所（CIC），新不伦瑞克大学）
本文探讨量子计算对关键基础设施和云服务的影响，提出九个关键组件的安全蓝图，以增强对量子威胁的防御能力。
2024-04-16 cs.CR
Lazarus Group Targets Crypto-Wallets and Financial Data while employing new Tradecrafts
本报告通过静态与动态分析一份恶意软件样本，识别其持久化、C2通信和数据窃取功能，关联已知TTP以推断Lazarus Group的能力与动机，并提供检测假设和告警优化建议以增强对高级持续性威胁的主动防御。
2025-06-30 cs.CR cs.OS
Evidence-Grounded Retrieval for Investigation Hunt Lead Generation from CTI Reports
Concordia University（康考迪亚大学）；Ericsson Security Research（爱立信安全研究院）
针对威胁报告人工生成调查线索繁琐且难以扩展的问题，提出AHLERT系统，通过混合检索与本体接地生成环境感知的可操作线索，将平均F1提升约2倍并取得最高效能。
2026-09-09 cs.AI cs.CR
AthenaBench: A Dynamic Benchmark for Evaluating LLMs in Cyber Threat Intelligence
Rochester Institute of Technology（罗切斯特技术学院）
AthenaBench通过改进的数据集和评估指标，评估了LLM在网络安全威胁情报中的表现，揭示了当前LLM在推理任务上的不足。
2026-02-14 cs.AI cs.CR
MM-AttacKG: A Multimodal Approach to Attack Graph Construction with Large Language Models
针对现有攻击图构建仅利用文本而忽略图像威胁信息的问题，提出MM-AttacKG框架，通过多模态大语言模型解析威胁图像并整合进攻击图，显著提升构建质量。
2025-06-20 cs.CR cs.CY
Showcasing standards and approaches for cybersecurity, safety, and privacy issues in connected and autonomous vehicles
本文梳理汽车领域风险评估与威胁建模的最新标准和方法，衔接网联自动驾驶汽车的网络安全、安全与隐私问题，为业界提供方法清单以对齐利益相关方预期、应对复杂攻击面。
2025-08-02 cs.CR
Advanced Anomaly Detection and Threat Intelligence in Zero Trust IoT Environments Using Machine Learning
School of Information Technology, Whitecliffe（怀特克利夫信息技术学院）；Department of Electrical & Electronic Engineering, University of Nottingham Ningbo China (UNNC)（宁波诺丁汉大学电气与电子工程系）
本文研究了在零信任架构中利用SVM、随机森林和决策树等机器学习技术提升物联网环境中的威胁检测准确性，通过SMOTE技术解决类别不平衡问题，同时探讨边缘计算与区块链在恶意URL和APT检测中的应用。
2026-04-25 cs.CR cs.NI
An Adaptive Multi-Layered Honeynet Architecture for Threat Behavior Analysis via Deep Learning
Georgia Institute of Technology Atlanta, United States of America（佐治亚理工学院亚特兰大分校，美国）
本文提出了一种基于深度学习的自适应多层蜜罐架构，通过强化学习实现威胁行为分析，旨在提高威胁情报质量并降低运营成本。
2025-12-08 cs.CR cs.DC cs.LG
Advancing Autonomous Incident Response: Leveraging LLMs and Cyber Threat Intelligence
OODRIVE-Trusted Cloud Solutions（OODRIVE可信云计算解决方案）；L3i Lab, University of La Rochelle（L3i实验室，拉罗什-科尔贝尔大学）
提出基于RAG和LLM的框架，通过混合检索CTI并生成缓解策略，提升事件响应的准确性与效率，减轻分析师负担。
2025-08-14 cs.CR cs.LG
LRCTI: A Large Language Model-Based Framework for Multi-Step Evidence Retrieval and Reasoning in Cyber Threat Intelligence Credibility Verification
Central South University（中南大学）；Zhongguancun Laboratory（中关村实验室）
LRCTI是一个基于LLM的框架，通过文本摘要、自适应多步证据检索和提示式NLI模块，实现多步网络威胁情报可信度验证，在CTI-200和PolitiFact数据集上F1分数提升超5%，提供可扩展、准确且可解释的自动化解决方案。
2025-07-15 cs.CL cs.CR
From Threat Intelligence to Detection: Knowledge-driven Enrichment and Template-based Rule Grounding for Automated Sigma Rule Generation
Concordia University（康考迪亚大学）；Ericsson Research（爱立信研究院）
本研究设计了AUTOSIGMA，结合知识驱动丰富化等技术，将非结构化CTI报告自动生成Sigma规则，其在多项指标上优于其他方案。
2026-08-20 cs.AI cs.CR
Harnessing TI Feeds for Exploitation Detection
针对TI feeds数据量大、结构松散难以人工分析的问题，提出基于Doc2Vec和BERT嵌入建模的机器学习流水线，可自动检测漏洞利用事件，在191个TI feeds上验证有效，可支撑下游漏洞风险评估。
2024-09-12 cs.CR cs.IR
HuntGPT: Integrating Machine Learning-Based Anomaly Detection and Explainable AI with Large Language Models (LLMs)
本文提出HuntGPT入侵检测仪表板，将Random Forest、SHAP/Lime可解释性与GPT-3.5 Turbo结合，并通过CISM实践考试验证其可解释、可执行的威胁检测效果。
2023-09-27 cs.CR
CTIConnect: A Benchmark for Retrieval-Augmented LLMs over Heterogeneous Cyber Threat Intelligence
Virginia Tech Department of Computer Science（弗吉尼亚理工大学计算机科学系）；University of California, Berkeley Department of Computer Science（加州大学伯克利分校计算机科学系）
本文提出CTIConnect基准，用于评估检索增强型大语言模型在网络威胁情报任务中的表现，通过整合五个异构数据源构建了1860个专家验证的问答对，揭示了不同任务类别中跨源语义差距的差异以及检索策略和性能瓶颈的变化，展示了领域特定策略在提升性能上的优势。
2026-06-03 cs.AI cs.CR
From Sandbox to Enforcement: Confidence-Qualified Threat Intelligence for Critical Infrastructure
Clone Systems（克隆系统公司）；Romanian National Cyber Security Directorate (DNSC)（罗马尼亚国家网络安全局（DNSC））；Bolton Technologies（博尔顿技术公司）；International Hellenic University（国际希腊大学）
针对关键基础设施威胁数据难以转化为可操作情报的问题，提出CG-CTI管道，将沙箱输出转为STIX 2.1并关联传感器，以置信度门控自动化执行，经评估验证其有效性与可审计性。
2026-10-07 cs.AI cs.CR
