Recognizing and Extracting Cybersecurtity-relevant Entities from Text
University of Maryland, Baltimore County（马里兰大学巴尔的摩县分校）
网络威胁情报（CTI）是描述威胁向量、漏洞和攻击的信息，通常用作基于AI的网络防御系统（如网络安全知识图谱（CKG））的训练数据。迫切需要开发社区可访问的数据集，以训练现有的基于人工智能的网络安全管道，从而从CTI中高效准确地提取有意义的见解。我们已经创建了一个初始的非结构化CTI语料库，我们正在使用各种开放源代码来训练和测试网络安全实体模型，使用spaCy框架和探索自学习方法来自动识别网络安全实体。我们还描述了将网络安全领域实体与维基数据中现有的世界知识相链接的方法。我们未来的工作将调查和测试spaCy NLP工具，并创建从文本中提取的新信息的持续集成方法。
2022-08-02 cs.AI cs.CL cs.CR
Indiscriminate Data Poisoning Attacks on Pre-trained Feature Extractors
University of Waterloo（滑铁卢大学）
本文研究针对预训练特征提取器下游任务的无差别数据投毒攻击，提出输入空间攻击和特征定向攻击两类方法，并通过实验证明迁移学习更易受攻击、特征定向攻击在有防御时更具威胁。
2024-02-20 cs.CR cs.LG
From Threat Intelligence to Firewall Rules: Semantic Relations in Hybrid AI Agent and Expert System Architectures
Department of Control and Computer Engineering（控制与计算机工程系）
本文提出利用语义关系从威胁情报中提取信息，通过神经符号方法生成防火墙规则以缓解网络威胁。
2026-03-04 cs.AI cs.CL cs.CR
Looking Beyond IoCs: Automatically Extracting Attack Patterns from External CTI
Rochester Institute of Technology（罗切斯特理工学院）；IBM Research（IBM研究院）
本文提出 LADDER 知识提取框架，从外部 CTI 报告中大规模提取攻击各阶段并映射至 MITRE ATT&CK，辅以真实用例和开放恶意软件基准数据集。
2023-07-11 cs.CR cs.LG
AttacKG: Constructing Technique Knowledge Graph from Cyber Threat Intelligence Reports
网络攻击变得越来越复杂和多样化，使检测变得越来越具有挑战性。为了应对这些攻击，安全从业人员积极总结和交流他们对网络威胁情报（CTI）报告形式的跨组织攻击的知识。然而，由于以自然语言文本编写的CTI报告不具有用于自动分析的结构，因此报告的使用需要繁琐的手动网络威胁情报恢复工作。此外，单个报告通常仅涵盖攻击模式（技术）的有限方面，因此不足以提供对多种变体攻击的全面了解。为了利用CTI报告提供的威胁情报，我们提出AttacKG自动提取结构化的攻击行为图从CTI报告，并确定所采用的攻击技术。然后，我们汇总报告中的网络威胁情报，以收集技术的不同方面，并将攻击行为图增强为技术知识图谱（TKG）。在我们对来自不同情报来源的1，515份真实CTI报告的评估中，AttacKG有效地识别了28，262种攻击技术和8，393种独特的妥协指标（IoC）。为了进一步验证AttacKG在提取威胁情报方面的准确性，我们在16个手动标记的CTI报告上运行AttacKG。实证结果表明，AttacKG准确地识别了攻击相关的实体、依赖关系和技术，F1得分为0.887、0.896和0.789，优于最先进的方法Extractor和TTPDrill。此外，独特的技术级智能将直接有利于依赖技术规范的下游安全任务，例如，APT检测和网络攻击重建。
2022-05-29 cs.CR
Towards a scalable AI-driven framework for data-independent Cyber Threat Intelligence Information Extraction
CY4GATE S.p.A.（CY4GATE股份公司）
针对CTI信息抽取依赖标注数据的痛点，提出首个支持监督与零样本学习的模块化框架0-CTI，可无数据运行且监督模式性能超SOTA，输出对齐STIX标准，适配不同数据场景。
2025-01-08 cs.AI cs.CL cs.CR
Bandit on the Hunt: Dynamic Crawling for Cyber Threat Intelligence
本文提出基于多臂老虎机和SBERT的动态爬虫ThreatCrawl，用于识别网络威胁情报新来源，收获率超25%，种子集扩大300%以上。
2025-04-25 cs.CR
Automated Attack Testflow Extraction from Cyber Threat Report using BERT for Contextual Analysis
针对手动提取APT攻击测试流程耗时易错的问题，提出FLOWGUARDIAN，利用BERT和NLP自动化从威胁报告提取流程，经实证验证准确高效，增强安全团队能力。
2025-07-09 cs.CR
CTI2TTP: Evidence-Grounded TTP Extraction from Cyber Threat Intelligence via Diverge-then-Converge Verification
Virginia Tech（弗吉尼亚理工大学）；Universitas Ary Ginanjar（阿里甘jar大学）；Amazon（亚马逊）
提出TTPrint方法，采用先广泛提取后严格验证的发散-收敛设计，结合确定性证据定位与权威定义验证，在文档级TTP提取任务上显著提升宏F1分数。
2026-10-14 cs.AI cs.CL cs.CR
Discerning Reliable Cyber Threat Indicators for Timely Cyber Threat Intelligence
本研究利用CNN从社交媒体提取失陷指标，以99.65%检出率识别IP、URL等威胁，并评估其有效性与自动账户传播作用，为主动防御提供可靠情报。
2025-08-11 cs.CR
Multi-features based Semantic Augmentation Networks for Named Entity Recognition in Threat Intelligence
University of Chinese Academy of Sciences（中国科学院大学）；Institute of Information Engineering, Chinese Academy of Sciences（中国科学院信息工程研究所）
从非结构化网络文本中提取攻击者和漏洞等网络安全实体是安全分析的重要组成部分。然而，由于网络安全实体名称的高频变化和随机性导致情报数据的稀疏性，使得现有方法难以很好地提取安全相关概念和实体。为此，我们提出了一种语义增强方法，该方法结合了不同的语言特征来丰富输入令牌的表示，以检测和分类非结构化文本上的网络安全名称。特别是，我们编码和聚合的组成特征，形态特征和部分语音特征为每个输入令牌，以提高该方法的鲁棒性。更重要的是，令牌从网络安全领域语料库中最相似的K个词中获得增强的语义信息，其中注意模块被用来衡量词的差异，以及基于大规模一般领域语料库的上下文线索。在网络安全数据集DNRTI和MalwareTextDB上进行了实验，结果表明了该方法的有效性。
2022-07-01 cs.CL cs.CR cs.IR
Ranked by the Matcher: A Reproducibility Audit of Knowledge Graph Extraction from Threat Reports
University of Maryland, Baltimore County（马里兰大学巴尔的摩县分校）
本研究针对威胁报告知识图谱抽取工具的可复现性展开审计，构建CTIForge分离组件效应，发现匹配器会影响F1分数排序，LLM评审器一致性优于机械匹配器，相关成果已公开。
2026-09-09 cs.AI cs.CL cs.CR
ThreatCrawl: A BERT-based Focused Crawler for the Cybersecurity Domain
Technical University of Darmstadt（达姆施塔特工业大学）；Science and Technology for Peace and Security (PEASEC)（和平与安全科学技术研究所（PEASEC））
针对网络安全领域威胁相关文档检索难的问题，提出基于BERT的聚焦爬虫ThreatCrawl，可动态调整爬取路径，最高收获率达52%，优于现有技术水平。
2025-03-24 cs.CL cs.CR cs.LG
Securing Cryptography in the Age of Quantum Computing and AI: Threats, Implementations, and Strategic Response
Decentralized Science Lab, College of Computing and Software Engineering, Kennesaw State University（肯尼索州立大学计算与软件工程学院去中心化科学实验室）
本文探讨了量子计算和人工智能对密码学的威胁，分析了后量子算法、实现加固和密码学敏捷性等防御措施，强调密码安全需持续更新以应对不断变化的威胁。
2026-03-07 cs.CR
The CTI Echo Chamber: Fragmentation, Overlap, and Vendor Specificity in Twenty Years of Cyber Threat Reporting
Universidad Carlos III de Madrid（马德里卡洛斯三世大学）；University of Padova（帕多瓦大学）
本文研究了二十年来网络威胁报告中的碎片化、重叠和供应商特定性问题，通过大规模自动化分析揭示了CTI信息密度和专业性的演变，识别了CTI行业中的碎片化生态系统和供应商的地理和行业偏见。
2026-08-20 cs.CR
CTINexus: Automatic Cyber Threat Intelligence Knowledge Graph Construction Using Large Language Models
Virginia Tech（弗吉尼亚理工大学）；UC Berkeley（加州大学伯克利分校）
CTINexus利用大语言模型的优化上下文学习，无需大量数据即可自动从CTI报告中提取知识并构建高质量网络安全知识图谱，显著优于现有方法。
2025-04-21 cs.AI cs.CR cs.LG
TapTree: Process-Tree Based Host Behavior Modeling and Threat Detection Framework via Sequential Pattern Mining
针对审计日志底层事件到高层行为映射难的问题，提出基于进程树的TapTree框架，通过序列模式挖掘等技术自动提取主机行为，在APT检测上精度高且支持在线更新。
2023-12-10 cs.CR
CRUcialG: Reconstruct Integrated Attack Scenario Graphs by Cyber Threat Intelligence Reports
针对现有CTI报告构建图存在的NLP能力弱和语义不足等问题，提出CRUcialG系统，通过提取攻击知识、四阶段合理性验证及序列化图生成模型，自动重构攻击场景图，在召回率和F1分数上显著优于SOTA。
2024-10-15 cs.CR
Orchestrating Collaborative Cybersecurity: A Secure Framework for Distributed Privacy-Preserving Threat Intelligence Sharing
Tune Insight SA（Tune Insight股份公司）；Cyber-Defence Campus, armasuisse Science and Technology（瑞士国防装备采购局科技处网络防御园区）；École polytechnique fédérale de Lausanne (EPFL)（洛桑联邦理工学院）
网络威胁情报（CTI）共享是减少攻击者和防御者之间信息不对称的重要活动。然而，由于数据共享和保密性之间的紧张关系，这一活动带来了挑战，导致信息保留往往导致搭便车问题。因此，共享的信息仅代表冰山一角。目前的文献假设可以访问包含所有信息的中央数据库，但由于上述紧张关系，这并不总是可行的。这会导致不平衡或不完整的数据集，需要使用技术来扩展它们;我们展示了这些技术如何导致有偏见的结果和误导性的性能预期。我们提出了一种新的框架，用于从分布式数据中提取CTI事件，漏洞和指标的妥协，并展示了它的使用在几个实际情况下，与恶意软件信息共享平台（MISP）。CTI共享的政策影响和讨论。所提出的系统依赖于隐私增强技术和联邦处理的有效组合。这使组织能够控制其CTI并最大限度地降低暴露或泄漏的风险，同时实现共享、更准确和更具代表性的结果以及更有效的预测性和预防性防御的好处。
2022-09-06 cs.AI cs.CR cs.DB
APT-CGLP: Advanced Persistent Threat Hunting via Contrastive Graph-Language Pre-Training
College of Computer Science and Technology, Zhejiang University of Technology（浙江工业大学计算机科学与技术学院）；College of Geoinformatics, Zhejiang University of Technology（浙江工业大学地理信息学院）；College of Computer Science and Technology, Zhejiang University（浙江大学计算机科学与技术学院）
APT-CGLP通过对比图-语言预训练实现高级持续威胁狩猎，提升跨模态语义匹配的准确性和效率。
2025-12-31 cs.CR
Semantic Ranking for Automated Adversarial Technique Annotation in Security Text
提出基于多阶段排序架构的方法，从威胁情报文本中提取结构化威胁行为，在零样本设置下性能优于大型语言模型，top-3召回率达81%。
2024-03-25 cs.CR
Understanding Real-world Threats to Deep Learning Models in Android Apps
深度学习（DL）以其卓越的性能而闻名，在许多应用中得到了广泛的应用，但同时也给模型带来了各种各样的威胁。一个主要威胁来自对抗攻击。多年来，研究人员一直在深入研究这种威胁，并提出了数十种创建对抗性示例（AE）的方法。但大多数方法仅在有限的模型和数据集上进行评估（例如，MNIST，CIFAR-10）。因此，攻击现实世界深度学习模型的有效性还不太清楚。在本文中，我们对真实世界的DNN模型进行了首次系统的对抗攻击研究，并提供了一个名为RWM的真实世界模型数据集。特别是，我们设计了一套方法，以适应当前的AE生成算法，以不同的现实世界的DL模型，包括自动提取DL模型从Android应用程序，捕获应用程序中的DL模型的输入和输出，生成AE和验证他们通过观察应用程序的执行。对于黑盒DL模型，我们设计了一种基于语义的方法来构建合适的数据集，并在执行基于传输的攻击时使用它们来训练替代模型。在分析了从62，583个真实世界应用程序中收集的245个DL模型后，我们有一个独特的机会来了解真实世界DL模型和当代AE生成算法之间的差距。令人惊讶的是，目前的AE生成算法只能直接攻击6.53%的模型。受益于我们的方法，成功率上升到47.35%。
2022-09-28 cs.CR
From Threat Reports to Continuous Threat Intelligence: A Comparison of Attack Technique Extraction Methods from Textual Artifacts
North Carolina State University（北卡罗来纳州立大学）
网络威胁形势在不断演变。因此，持续监控和共享威胁情报已成为组织的优先事项。网络安全供应商发布的威胁报告包含以非结构化文本格式编写的攻击策略、技术和程序（TTP）的详细描述。从这些报告中提取TTP有助于网络安全从业人员和研究人员学习和适应不断变化的攻击，并规划威胁缓解。研究人员在文献中提出了TTP提取方法，然而，并非所有这些提出的方法都相互比较或与基线进行比较。\textit{The goal of this study is to aid cybersecurity researchers and practitioners choose attack technique extraction methods for monitoring and sharing threat intelligence by comparing the underlying methods from the TTP extraction studies in the literature.}在这项工作中，我们确定了十个现有的TTP提取研究的文献，并实施五种方法，从十项研究。我们发现两种方法，基于词频逆文档频率（TFIDF）和潜在语义索引（LSI），优于其他三种方法的F1得分分别为84%和83%。我们观察到所有方法的性能在F1分数下降的情况下，类标签呈指数增长。我们还实施和评估过采样策略，以减轻类不平…
2022-10-05 cs.CR cs.LG
A Novel Approach for Detection and Ranking of Trendy and Emerging Cyber Threat Events in Twitter Streams
Kansas State University（堪萨斯州立大学）
我们提出了一种新的机器学习和文本信息抽取方法来检测Twitter中的网络威胁事件，这些事件是新颖的（以前不存在的）和发展中的（以与以前检测到的事件的相似性为标志）。虽然一些现有的事件检测方法测量新颖性和趋势性，通常作为独立的标准，偶尔作为一个整体的措施，这项工作的重点是使用无监督的机器学习方法检测新的和发展中的事件。此外，我们提出的方法，使网络威胁事件的排名的基础上的重要性分数提取的鸣叫的条款，其特征在于命名的实体，关键字，或两者兼而有之。我们还将影响力归因于用户，以便根据用户影响力和命名实体和关键字的相应事件得分，为名词短语分配加权得分。为了评估我们提出的方法的性能，我们测量的效率和检测出错率的事件在指定的时间间隔，相对于人类注释地面真相。
2019-07-12 cs.CR cs.IR cs.LG
Defending Against Adversarial Denial-of-Service Data Poisoning Attacks
Fraunhofer AISEC（弗劳恩霍夫应用集成安全研究所）；Technical University of Munich（慕尼黑工业大学）
数据投毒是针对机器学习和数据驱动技术的最相关的安全威胁之一。由于许多应用程序依赖于不可信的训练数据，攻击者可以轻松地制作恶意样本并将其注入训练数据集中，从而降低机器学习模型的性能。正如最近的工作所示，这种拒绝服务（DoS）数据投毒攻击非常有效。为了减轻这种威胁，我们提出了一种新的方法来检测DoS中毒的实例。在相关工作相比，我们偏离聚类和异常检测的方法，往往遭受灾难的维数和任意的异常阈值选择。相反，我们的防御是基于从训练数据中提取信息，以这样一种通用的方式，我们可以识别中毒样本的基础上存在的信息在未中毒的数据部分。我们评估了我们对两个DoS中毒攻击和七个数据集的防御，并发现它可靠地识别中毒的实例。与相关工作相比，我们的辩护将假阳性/假阴性率降低了至少50%，通常更多。
2021-11-30 cs.AI cs.CR
Cybersecurity Misinformation Detection on Social Media: Case Studies on Phishing Reports and Zoom's Threats
本研究针对社交媒体上网络安全与隐私威胁类错误信息，分别构建钓鱼声明和Zoom威胁检测框架，实现高准确率检测并明确多平台错误信息占比，助力识别传播活动与防范情报系统投毒攻击。
2022-08-17 cs.CR cs.CY cs.SI
STINER: Automated Extraction of Strategic Cyber Threat Intelligence from X
College of Computing, Mohammed VI Polytechnic University (UM6P)（莫罕默德六世理工大学计算学院）；Deloitte Conseil（德勤咨询）
该研究针对社交媒体CTI提取难题，提出STINER分类体系与语料库，经测试DarkBERT等领域适配编码器表现最优，还利用STINER-DarkBERT完成了2025年上半年欧洲威胁态势分析。
2026-08-17 cs.CR
MDHP-Net: Detecting an Emerging Time-exciting Threat in IVN
针对车载网络中的新型时间激发攻击，提出MDHP-Net检测方法，利用多维霍克斯过程与特征提取结构，并发布首个开源数据集STEIA9，实验证明其优于基线。
2025-04-22 cs.CR
TL-RL-FusionNet: An Adaptive and Efficient Reinforcement Learning-Driven Transfer Learning Framework for Detecting Evolving Ransomware Threats
Charles Sturt University（查尔斯史都华大学）
本文提出TL-RL-FusionNet框架，结合冻结的双迁移学习骨干和轻量残差MLP分类器，通过强化学习动态调整样本权重以应对勒索软件行为变化，实现高精度检测与高效处理。
2026-04-22 cs.CR
The Rise of GoodFATR: A Novel Accuracy Comparison Methodology for Indicator Extraction Tools
为了适应不断变化的网络威胁环境，组织需要积极收集危害指标（IOC），即，表明主机或网络可能已被破坏的取证工件。IOC可以通过开源和商业结构化IOC源来收集。但是，它们也可以从以自然语言编写的无数非结构化威胁报告中提取，并使用博客和社交媒体等广泛的来源进行分发。存在可以在自然语言报告中识别IOC的多个指示符提取工具。但是，由于难以构建大型地面真实数据集，因此很难比较它们的准确性。这项工作提出了一种新的多数表决方法，比较指标提取工具的准确性，这不需要一个手动构建的地面真相。我们将我们的方法实施到GoodFATR中，GoodFATR是一个自动化平台，用于从大量来源收集威胁报告，使用多种工具从收集的报告中提取IOC，并比较其准确性。GoodFATR支持6个威胁报告来源：RSS、Twitter、Telegram、Malpedia、APTnotes和ChainSmith。GoodFATR持续监控威胁源，下载新的威胁报告，从收集的报告中提取41种指标类型，并过滤非恶意指标以输出IOC。我们运行GoodFATR超过15个月，从6个来源收集了472，891份报告;从报告中提取了978，151个指标;并确定了618，217个IOC。我们分析收集的数据，以确定顶级IOC贡献者和IOC类分布。我们应用GoodFATR比较了7个流行的开源工具与GoodFATR自己的指标提取模块的IOC提取精度。
2023-03-08 cs.CR
LLMCloudHunter: Harnessing LLMs for Automated Extraction of Detection Rules from Cloud-Based CTI
Ben-Gurion University of the Negev（内盖夫本-古里安大学）
针对现有开源云威胁情报分析自动化方法的不足，研究提出LLMCloudHunter框架，利用大语言模型从多模态OSCTI数据生成检测规则，在API调用、IoC提取及规则编译上表现优异。
2024-07-06 cs.CL cs.CR cs.LG
Creating Android Malware Knowledge Graph Based on a Malware Ontology
本文通过扩展现有恶意软件本体提出AndMalOnt，并基于MalwareBazaar报告构建覆盖2600余个安卓恶意软件样本的开源知识图谱，以系统化组织威胁情报。
2023-08-04 cs.CR
MAGIC: Detecting Advanced Persistent Threats via Masked Graph Representation Learning
Fudan University（复旦大学）；Sun Yat-sen University（中山大学）；National Key Laboratory of Science and Technology on Information System Security（国家信息系统安全科学技术重点实验室）；Shanghai University of Electric Power（上海电力大学）
针对现有APT检测依赖攻击数据、上下文提取不足及开销大的问题，提出自监督掩码图表示学习方法MAGIC，建模良性实体行为，实现多粒度检测，在三个数据集上优于现有方法且开销更低。
2023-10-15 cs.CR cs.LG
Time for aCTIon: Automated Analysis of Cyber Threat Intelligence in the Wild
NEC Laboratories Europe（NEC欧洲实验室）；NEC Corporation India（NEC印度公司）；NEC（NEC公司）
针对现有网络威胁情报自动化提取工具性能不足、缺乏通用评估基准的问题，该研究发布了规模大两个数量级的标注基准数据集，并提出基于GPT3.5的aCTIon工具，在10种对比方案中取得最优性能，F1值提升10至50个百分点。
2023-07-14 cs.CR cs.LG
A SoK for SoCs: Reading the TI Leaves on AI for Cyber Threat Intelligence Generation and Sharing
UC Santa Barbara（加州大学圣塔芭芭拉分校）；UIUC（伊利诺伊大学厄巴纳-香槟分校）；Georgia Tech（佐治亚理工学院）；Purdue University（普渡大学）；University of Chicago（芝加哥大学）；Broadcom（博通）；University of Virginia（弗吉尼亚大学）
该研究通过文献调查和从业者调研梳理CTI生成与共享的阶段与挑战，探究LLM在各步骤的可行性，发现其需专家监督并提出自动化研究方向。
2026-09-02 cs.CR
STIXnet: A Novel and Modular Solution for Extracting All STIX Objects in CTI Reports
本文提出STIXnet，首个用于自动提取CTI报告中所有STIX实体和关系的模块化框架，通过NLP技术和交互式知识库，在考虑更多类型实体和关系的同时实现了可比肩SOTA的提取性能。
2023-09-08 cs.CR cs.IR
Extracting Cloud-based Model with Prior Knowledge
针对现有云端模型提取攻击依赖后验知识存在开销高或泛化差的问题，提出结合自监督先验知识与熵采样的高效提取攻击，在真实平台API上验证了高保真、低成本及强对抗样本迁移性。
2023-06-13 cs.CR
MDHP-Net: Detecting an Emerging Time-exciting Threat in IVN
针对车载网络中的新型时间激发攻击，提出MDHP-Net检测方法，结合多维霍克斯过程与特征提取，并发布首个开源数据集STEIA9，实验证明其优于现有基线。
2025-04-22 cs.CR cs.LG cs.NI
From Text to Actionable Intelligence: Automating STIX Entity and Relationship Extraction
本文提出 AZERG 工具，通过微调大语言模型将非结构化威胁报告自动转换为 STIX 结构化数据，并在四个子任务上取得优于现有方法的性能。
2025-07-22 cs.CR
Physical Side-Channel Attacks on Edge LLMs: Extracting Output Tokens and User Prompts
Radboud University（拉德堡德大学）；University of Amsterdam（阿姆斯特丹大学）
本文针对边缘端LLM提出三种电磁侧信道攻击，可从树莓派5上运行的LLaMA-3.2-1B-Instruct的推理电磁轨迹中，高准确率提取输出令牌与用户提示，证明本地执行无法保障相关数据隐私。
2026-10-14 cs.CR
Rethinking Security in Semantic Communication: Latent Manipulation as a New Threat
本文提出两种攻击方法，揭示语义通信中潜在空间的安全漏洞，通过操纵潜在表示来改变传输语义，且不易被检测。
2025-12-03 cs.CR cs.IT math.IT
