该论文来自瑞典皇家理工学院（KTH）相关研究团队，聚焦于「自主网络事件响应智能体」在真实度较高的网络靶场中的能力评估。研究动机在于：尽管自动化入侵响应（如自动封禁、隔离、限速）在学术与工业界被广泛讨论，但缺乏一个既能模拟真实网络拓扑变化、又包含人类用户行为的可重复评测环境，导致不同策略之间难以公平比较。作者构建并复用了原本面向人类操作员培训的网络靶场，其中包含仿真网络环境、可变网络拓扑、红队模拟器以及模拟用户智能体（simulated user agents），从而在防御动作产生可用性代价的前提下评估防御方的收益。防御智能体的目标是在红队智能体无法访问内网主机的同时，尽量降低防御措施带来的业务可用性损失。告警由 SIEM 平台生成，并映射为智能体可消费的数据建模语言，使智能体能够在结构化事件流上进行决策。论文对比了两类策略：一类是人工设计的启发式（heuristic）策略，另一类是通过强化学习（RL）训练得到的策略；RL 策略的优化目标是在一个网络攻击仿真器上最小化「入侵损失＋可用性损失」的联合代价函数。实验结果表明：总体而言，强化学习智能体的防御效率优于启发式策略；但性能高度依赖于对手（红队）所采用的策略，并与模拟用户的行为模式存在强耦合，说明在自适应对手和含噪人类行为的环境下，单点最优策略并不稳健。论文的贡献在于提供了一套可复现的靶场评测方法学与对比结果，指出对手建模和用户行为建模是自动响应智能体评估中不可忽略的变量，为后续构建更鲁棒的自动化防御决策系统提供了实证基线。

该论文提出了一种名为 RAM-Weaver 的系统，旨在解决从内存转储中检索应用程序用户活动信息的传统难题。内存取证领域长期以来面临两大挑战：一是内存数据量庞大，二是应用程序内部的数据结构往往不透明且复杂，导致人工分析过程耗时且容易出错。RAM-Weaver 的核心思路是先从原始内存转储中蒸馏出关键信息，再借助大型语言模型（LLM）来理解这些不透明的数据结构，并支持用户以自然语言进行上下文交互式查询。论文指出，这一蒸馏过程可将数据量压缩最高达 99.9%，同时将信噪比提升近 37 dB，从而使得在资源受限的小型离线模型上运行成为可能；当与云端全规模模型配合使用时，RAM-Weaver 能够以极高的准确率检索用户活动数据。该研究的主要贡献在于：提出了一种结合 LLM 的自动化内存取证框架，显著降低了内存数据分析的复杂度和资源需求，并展示了从原始内存转储中提取高层语义用户活动的可行性。适合内存取证研究人员、恶意软件分析人员以及数字取证工程师阅读。

本文针对工业物联网（IIoT）环境中的数字取证（Digital Forensics, DF）挑战，提出了一套专门设计的十二步取证流程（Twelve-Step Process, TSP）。研究背景是IIoT在制造业、医疗、交通等关键基础设施中的广泛部署，带来了设备异构性强、数据规模大、环境动态复杂等新问题，而传统数字取证方法论难以有效应对。论文首先阐述了IIoT在工业生态系统中的重要性，并分析了现有DF方法在应对这些新型环境时的不足。核心贡献是给出一个从取证准备（forensic readiness）到调查结束（investigation closure）的完整流程，每一步都强调潜在数字证据（Potential Digital Evidence, PDE）的可靠收集、分析和法律合规性，以提升证据在法庭上的可采性。该流程旨在为IIoT事件提供系统化的调查框架，弥补传统方法在可扩展性和异构性方面的缺陷。本文适合数字取证研究人员、工业安全工程师以及负责关键基础设施事件响应的从业者阅读。由于仅基于摘要，具体各步骤的技术细节和实验验证未详细呈现，但提出的框架具有很强的实践导向意义。

本文针对网络应急响应中人工推断多阶段攻击耗时费力的问题，提出了一种层次化智能体响应框架。该框架融合了大语言模型（LLM）攻击推断、滚动规划（rollout planning）和数字孪生验证。首先，一个微调的LLM从安全告警和系统测量数据中推断攻击进展及受影响主机；随后，一个模拟企业网络的数字孪生重放推断出的攻击，并通过比对预测效果与实际观察效果的差异来校准推断结果。在战术层，另一个微调的规划智能体利用滚动规划方法对受影响组件进行优先级排序；在操作层，规划智能体提出高层级恢复动作，执行智能体将这些动作转换为恢复和验证命令，并在数字孪生中验证其有效性。框架在包含33个组件的企业网络测试台上，针对三个多阶段攻击场景进行了评估，结果显示其恢复成功率比前沿LLM基线高出18%至31%。该研究为自动化应急响应规划提供了新的思路，通过数字孪生验证提高了LLM决策的可靠性，减少了幻觉对响应操作的影响。

事件响应规划（Incident Response Planning）是网络攻击后恢复受损系统的关键环节。传统上依赖专家编写的剧本（playbook），但这些静态工作流难以适应不断变化的事件状态、恢复目标和执行反馈。近年来，基于大语言模型（LLM）的规划器和工具使用代理虽能提升自动化程度，但在长周期响应中仍不稳定，原因是缺乏统一的基础设施来维护事件状态、将行动与当前恢复阶段对齐，以及复用历史经验。为此，作者提出 STAIR——一个端到端的代理式规划框架，专门面向事件响应。STAIR 将当前事件状态建模为“图即状态”（Graph-as-State），通过“阶段路由器”（Stage Router）将规划任务分发到针对特定恢复阶段优化的代理，并从历史经验库中检索相似场景以指导动作选择。此外，框架中的“执行引擎”（Execution Harness）负责执行动作、收集反馈以更新事件状态，并验证动作效果以便将来复用。在 100 个基于 Docker 的网络靶场实验中，STAIR 取得了 0.94 的归一化防御分数，比最强基线提升了 9.5%。这项研究适用于安全运营中心（SOC）分析人员、安全工程师以及关注 LLM 自主代理的研究者，尤其是那些希望将静态响应预案升级为动态自适应流程的团队。

该论文系统性地探讨了人工智能系统的取证调查问题。随着AI系统越来越多地参与决策和行动，事后调查其行为原因、系统组件及供应链责任成为重要挑战。当前AI取证研究分散，多聚焦于特定系统类型、工件或分析技术，缺乏统一框架。作者提出以调查者的访问权限作为组织该领域的起点，区分白盒、灰盒和黑盒三种访问模式，并分析每种模式对证据收集、保存、分析和报告的影响。基于此，论文提出一个跨越收集、保存、分析和报告四个阶段的AI取证过程模型矩阵，并引入AI系统挥发性顺序（order of volatility），涵盖运行时状态、上下文窗口、日志、检索库、模型工件和训练谱系。进一步，作者推导出访问条件化的检查框架，并识别若干开放研究问题，包括黑盒证据保存、模型版本证明、基于替代模型分析的不确定性量化、以及可变AI工件的监管链。该论文的主要贡献在于：为AI取证建立一个结构化的研究议程，强调访问权限作为核心分类维度，并整合既有分散研究。适合数字取证研究者、AI安全工程师以及负责AI事故响应的蓝队人员阅读，可作为建立内部AI取证能力的理论起点。

该论文针对当前事件响应（Incident Response）依赖安全运营人员按预定义剧本（playbook）手动执行，导致决策过程缓慢且劳动密集的问题，提出了一种基于大语言模型（LLM）的智能体化事件响应规划方法。现有自动化方案中，基于控制、优化和强化学习的决策理论方法虽具有坚实的理论保证，但往往局限于抽象模型，难以直接应用于实际运行系统；而基于LLM的智能体方法虽然可以利用安全知识生成响应计划，但过度依赖重复调用LLM，存在幻觉问题，导致规划可靠性不足和规划视野受限。为此，作者提出将决策理论规划与LLM生成的响应命令相结合的原则性规划方法。具体架构是：使用一种基于 rollout 的规划器（rollout planner）在战术层面计算高层响应策略，负责分配安全资源；然后通过一个轻量级 LLM 智能体在操作层面将该策略转换为可执行的命令。同时，论文引入数字孪生（digital twin）技术，既支持战术规划阶段的模拟仿真，也支持操作执行阶段的仿真运行。在三个攻击场景的实验评估中，该方法相比现有的前沿LLM基线，平均恢复执行时间减少了15.1%，恢复成功率提升了33.6%。论文的核心贡献在于融合了决策理论的稳健性与LLM的灵活性，并通过数字孪生桥接抽象规划与真实系统，从而提升了事件响应自动化的实用性和可靠性。该研究适用于关注安全自动化、LLM智能体及事件响应规划的蓝队人员、安全架构师和学术研究者。

该论文将勒索软件事件重新定义为“暴发”而非单纯的检测问题，并提出一个运营网络流行病学框架，以流行病学方法改进事件响应。核心思想是将经典的易感-暴露-感染-移除（SEIR）模型适配到勒索软件事件管理中：其中“暴露”指潜在入侵与暂存阶段，包含在确认二次失陷前的驻留期；“感染”指活跃的横向传播。论文基于ISO 5477:2023（公共卫生应急准备与响应信息管理指南）以及2025年UNDRR-ISC灾害信息概况，定义了可互操作的勒索软件病例定义和跨事件比较所需的基本信息要素。同时，引入基本繁殖数R0和有效繁殖数Re作为安全运营中心近实时、方向性的决策辅助指标，并将传播状态与观察状态分离，以避免将检测能力与扩散动态相混淆。通过对WannaCry、NotPetya、SolarWinds、MGM和Caesars等公开事件的分析，展示了此类暴发式措施如何支持早期隔离、凭据遏制和恢复排序。论文还推导了实际保护阈值启发式方法，目标是将Re降至1以下，并提供一张与工具无关的剧本卡，将运营信息与明确的行动触发条件相关联。主要贡献在于建立了一种共享语言，将技术遥测与资源约束下的遏制决策联系起来，使不同组织的安全团队能够基于统一术语进行协同响应。

本文提出了 SecRespond，据作者称这是首个用于评估大语言模型（LLM）智能体在后渗透（post-compromise）事件响应工作流中能力的基准测试。当前大多数网络安全基准测试聚焦于攻击发生前的“预渗透”场景，智能体被放置在一个干净且理想化的环境中，而真实世界中更常见的场景是主机已经被入侵，安全分析师必须基于磁盘快照、告警、漏洞扫描和基线条目来还原入侵路径、评估风险并制定修复方案。SecRespond 针对这一缺口，构建了包含 10 个网络靶场的任务集，每个靶场基于一个真实受损的云主机镜像，覆盖 4 种初始入口类型、21 个 ATT&CK 技术和 5 种操作系统。智能体需要根据主机安全产品提供的告警、漏洞扫描结果和基线检查结果，对磁盘快照进行取证分析，输出入侵取证报告、基线风险报告、漏洞风险报告以及修复计划。作者在 OpenCode agent harness 上评估了 23 个前沿 LLM（包括各类闭源和开源模型）。实验结果显示，当前智能体虽然能够可靠地发现告警直接暴露的问题，但在主动探查磁盘上未告警的“静默入侵”方面表现不佳，并且难以产出全面且经过验证的修复计划。没有任何一个模型能在任何一个靶场上同时实现完整的检测和修复。这表明在构建面向真实世界事件响应的智能体时，仍存在根本性瓶颈。该基准已开源，项目地址为 https://github.com/Alibaba-NLP/qqr/tree/main/data/secrespond。本文适合安全运营研究者、LLM 智能体开发者以及事件响应工具设计者阅读，以了解当前模型在后渗透场景下的能力边界和未来改进方向。

该论文对网络安全事件响应剧本（playbooks）进行了系统性的实证研究。事件响应剧本是组织用于指导人工或自动化系统执行安全对抗措施的结构化操作流程，通常整合了威胁信息与组织特定上下文。尽管实践者对剧本兴趣浓厚，但学术界对其特性缺乏深入探讨。为此，研究者采用混合方法：首先从公开来源收集并分析了1217个剧本（包括结构化与非结构化格式），进行内容编码与主题分析；随后开展了一项包含147名安全从业者的在线问卷调查，量化了剧本定义、使用与共享中的共性模式；最后通过与9名资深安全专家的半结构化访谈，验证并深化了定量发现。主要发现包括：1）组织与从业者对“剧本”的定义存在内在歧义，缺乏统一标准；2）现有剧本无法直接套用，往往需要大量自定义修改，这限制了跨组织共享与自动化执行；3）组织虽然声称“按本操作”，但实际上各自为政，内部定义剧本内容与覆盖的事件响应阶段（如检测、遏制、根除）差异显著。研究贡献在于揭示了剧本管理与标准化中的现实挑战，为未来制定更可互操作的剧本格式与最佳实践提供了实证基础。

该论文提出了一个名为 Secret Scanner Agent (SSA) 的多智能体大语言模型系统，旨在从非结构化的暴露文档（如电子邮件、聊天记录、工单、事件笔记）中提取泄漏的凭据及其关联的访问上下文（即“门”）。传统的秘密扫描器依赖正则表达式或训练分类器，在格式化代码上表现良好，但当凭据被碎片化、重新格式化或远离其解锁的资源时，难以有效工作，且仅报告秘密字符串而不指明其开启的资源。SSA 采用两个智能体协作：一个检测智能体优先保证高召回率，一个审查智能体负责过滤误报并恢复缺失的上下文。由于真实凭据数据敏感，研究团队在生成的合成基准上评估 SSA，涵盖 23 种秘密类型和多种文档格式，并通过程序匹配、LLM 裁判和人工审核的三步流水线评分。实验表明，跨六个模型，多智能体 SSA 相比单智能体变体提高了提取精度，尤其在门提取上提升了最多 16 个百分点。与正则表达式扫描器相比，SSA 的召回率提高了三倍以上，同时保持相当的精度；与十三名安全分析师相比，SSA 更精确，恢复的秘密-门对数量接近两倍，且速度快 5 至 17 倍。SSA 最终输出秘密、其对应的门以及支持证据，将凭据检测转化为可操作的发现，便于分类和修复。该工作为安全运营中的凭据泄漏检测提供了新的自动化方法，尤其适用于事件响应场景。

本文是一篇系统化知识综述（SoK），旨在解决网络安全事件响应领域缺乏统一框架来系统组织累积知识的问题。事件响应涉及技术、人机交互、组织理论和人为因素等多个领域，需要一个综合性的视角。作者通过对417篇学术文献和40篇非科学出版物的系统回顾，推导出“网络安全事件响应影响因素分类法”（CIR-IF Taxonomy）。该分类法将现有的实证研究结果纳入其中，提供了从1999年到2024年中期的全面知识概览。作者还将该分类法与七种既有的科学框架以及NIST SP 800-61r3事件响应概况中引用的NIST网络安全框架要素进行了系统比较。比较结果显示，CIR-IF分类法在事件响应驱动和塑造因素方面提供了更丰富、更严谨、更系统化的视图。该研究适合事件响应研究人员、安全从业人员以及希望提升组织事件响应准备度的管理者阅读。主要贡献在于建立了一个统一、可扩展的分类体系，有助于识别未充分探索的研究方向，并指导未来的实证和理论研究。

本文提出了一种将检测工程与数字取证深度融合的统一方法论，基于Velociraptor平台实现。传统上，实时告警与事后取证分析各自独立发展，导致安全运维中两者脱节。作者设计了四阶段方法论：(1) 基线建立——通过收集正常系统状态（如Prefetch、USN日志）构建行为基准；(2) 证据关联——将检测到的异常与具体工件（如WMI事件）建立关联；(3) 攻击链分析——基于时间线还原攻击步骤；(4) 场景标记与置信度评估——将分析结果转化为可复用、可测试的检测规则。该方法的核心贡献有三：一是将工件知识转化为同时适用于事后处置和实时监控的检测规则；二是通过三个实际可部署的Velociraptor VQL日志源（Prefetch、USN、WMI）展示了基于工件的检测如何实现可扩展的取证分诊，而无需完整磁盘采集；三是证明周期性工件分析能提供持续监控，同时大幅减少数据量。两个案例分别展示了：在Windows事件日志被清除或不可用时，利用Prefetch/USN基线进行快速分诊；以及通过WMI持久性关联实现周期性工件的持续监控。实验表明，该方法能有效降低存储成本，提升检测与取证的一体化效率。本文适合安全运维工程师、取证分析师及检测工程研究人员阅读。

该论文研究了网络服务账户被入侵后的修复建议问题。作者通过收集和分析多家主流网络服务提供商（如电子邮件、社交媒体、金融平台等）在其帮助中心、安全指南中提供的账户修复建议，评估了这些建议的完整性、准确性和实用性。研究发现，许多服务商的修复建议存在不一致、缺乏步骤细节、未考虑实际用户情境（如多设备、多账户）等问题。此外，论文还通过用户调研揭示了普通用户在遭受账户入侵后实际采取的修复行为与官方建议之间的差距，指出许多用户依赖非官方来源或自行摸索。作者提出了一套改进修复建议的框架，包括应覆盖的必选步骤（如密码重置、检查登录活动、撤销第三方应用权限等）和可选最佳实践，并呼吁行业统一标准。实验部分包括对100+服务商的建议进行编码分析，以及针对500名用户的问卷调查。主要贡献在于系统性地揭示了当前账户修复建议的不足，为服务商优化安全指南提供了数据驱动的建议。

该论文提出一个端到端统一框架，弥合了威胁检测与可操作响应之间的鸿沟。系统由两个紧密耦合的阶段组成：首先，一个由三个独立训练的二元深度神经网络（DNN）组成的集成模型对网络流量进行分类，区分良性、拒绝服务（DoS）和分布式拒绝服务（DDoS）攻击，在CICIDS2018数据集上达到99.84%的准确率，在UNSW-NB15数据集上达到95.30%的准确率。其次，一个检索增强生成（RAG）管道从排名前五的异常特征构建解释感知的提示，从权威来源的知识库中检索语义和词汇最相关的指导，并引导本地部署的语言模型合成结构化、引用依据的缓解报告。实验表明，RAG增强的缓解报告在所有自动评估指标上均优于普通的大语言模型输出。该框架旨在直接回答安全分析师最关心的问题：下一步该怎么做？

该论文提出 SOCpilot 框架，旨在解决大语言模型（LLM）辅助的应急响应计划中的策略合规性问题。安全运营中心（SOC）开始使用 LLM 作为副驾驶来起草应急响应计划，但这些计划可能包含在目录中有效但违反强制性步骤、顺序要求或审批门控的策略。SOCpilot 在计划边界处使合规性可衡量：它固定了事件包、动作目录、策略规则、验证器和公共证据面，然后验证副驾驶建议的动作轨迹。在金融部门的案例研究中，使用来自匿名化生产 SOC 的 200 个真实事件，评估了两个 LLM 提供商（例如 OpenAI 和 Anthropic 的模型）。将他们的计划与来自同一 SOAR 案例的分析师撰写的参考计划进行比较。发现相同的策略内联文本使两个提供商的合规性表现相反方向变化。确定性验证器移除了 466 个不合规、需要审批的动作，且未降低基线任务召回率。在固定语料库的三次重复运行中，聚合率保持稳定。官方证据侧重于涉及恢复和遏制的审批门控决策。此外，该工件暴露了对强制性和顺序修复的零成本就绪检查。作者发布了可运行的工件，使独立评审者能够在不访问私有事件数据的情况下重新推导公开结果。论文的核心贡献包括：定义了 SOC 中 LLM 辅助应急响应计划的合规性问题；提出了 SOCpilot 框架及其实例化；通过真实世界案例研究证明了方法的有效性；并公开了可复现的工件。

本文提出一种利用轻量级大型语言模型（LLM）进行事件响应规划的新方法，旨在解决现有基于前沿LLM的提示工程方法成本高且易产生幻觉的问题。该方法包含三个步骤：微调、信息检索和前瞻规划。首先，通过微调使模型适应安全领域；其次，检索相关历史事件和响应知识；最后，采用前瞻规划算法生成响应计划。作者在理论上证明了该方法生成的响应计划具有有界的幻觉概率，且通过增加规划时间可以使该概率任意小。实验基于文献报道的真实安全事件日志进行评估，结果表明：与前沿LLM相比，该方法恢复时间缩短最多22%，并能泛化到多种事件类型和响应动作。此外，该方法轻量级，可在普通硬件上运行。本文适合安全运营团队、LLM应用开发者以及关注自动化事件响应的研究人员阅读。