Trường Đại học Công nghệ thông tin - Đại học Quốc gia Thành phố Hồ Chí Minh

 Bài báo: Action-Graph: A Graph-Aware Multi-Step LLM Pipeline for MITRE ATT&CK TTP Extraction from Cyber Threat IntelligenceNhóm tác giả:- Võ Nguyễn Ngọc Thuỳ – ATTT2023 – Tác giả chính- Đậu Đức An Phú – ATTT2023 – Đồng tác giảGiảng viên hướng dẫn:- TS. Phan Thế Duy- ThS. Đỗ Hoàng HiểnTóm tắt:Mặc dù các pipeline LLM kết hợp truy xuất đã giúp giảm đáng kể hiện tượng ảo giác khi trích xuất kỹ thuật MITRE ATT&CK từ báo cáo tình báo an ninh mạng (CTI), việc thẩm định từng hành động tấn công một cách độc lập khiến các hệ thống này dễ mất ngữ cảnh và khó phân biệt những kỹ thuật có bề mặt ngôn ngữ tương tự nhau.Nghiên cứu này đề xuất ACTION-GRAPH, một pipeline LLM đa bước có nhận thức đồ thị (graph-aware) nhằm khắc phục tình trạng mất ngữ cảnh nói trên. Nhóm tác giả xây dựng một đồ thị CTI dị thể (heterogeneous graph) lưu giữ mối liên hệ ngữ nghĩa cục bộ giữa câu văn, thực thể và hành động tấn công, kết hợp truy xuất kỹ thuật ứng viên từ một cơ sở dữ liệu quy trình tấn công có gán kiểu (typed procedure database), và sử dụng một bộ thẩm định có nhận thức đồ thị dựa trên mạng nơ-ron đồ thị (GNN) cùng cơ chế kiểm tra phản chứng (counterfactual) bằng LLM để xếp hạng và lọc dự đoán cuối cùng.Kết quả thực nghiệm trên bộ dữ liệu CTI-Bench cho thấy hệ thống đạt độ chính xác (precision) 85,82%, độ bao phủ (recall) 80,94% và điểm F1 vi mô (micro-F1) 83,30%, vượt trội hơn Multi-Step LLM Pipeline 11,7 điểm F1 và IntelEX 72,7 điểm F1.Nghiên cứu cũng chỉ ra rằng phần lớn mức cải thiện này đến từ việc cắt giảm 65,2% số dự đoán sai (false positive), thay vì phát hiện thêm nhiều kỹ thuật tấn công mới.Đặc biệt, phân tích loại bỏ thành phần (ablation) cho thấy ngữ cảnh đồ thị từ GNN và bộ thẩm định có cấu trúc mang lại hiệu quả bổ trợ lẫn nhau chứ không thể thay thế nhau: khi kết hợp cả hai, mức tăng F1 đạt được còn cao hơn tổng mức tăng riêng lẻ của từng thành phần.Kết quả này khẳng định việc kết hợp ngữ cảnh đồ thị cục bộ với cơ chế truy xuất quy trình có gán kiểu là một hướng đi hiệu quả để nâng cao độ tin cậy và khả năng diễn giải của các hệ thống trích xuất TTP tự động từ tài liệu CTI phi cấu trúc.Tác giả chia sẻ:“Nhóm chúng em xin gửi lời cảm ơn chân thành đến Thầy Phan Thế Duy và Thầy Đỗ Hoàng Hiển. Cảm ơn các Thầy đã luôn kiên nhẫn hướng dẫn, chỉ ra từng điểm cần cải thiện và tạo mọi điều kiện tốt nhất cho chúng em trong suốt thời gian làm nghiên cứu. Đồng thời, nhóm cũng xin gửi lời cảm ơn đến Phòng Thí nghiệm An toàn Thông tin (InSecLab) cùng Trường Đại học Công nghệ Thông tin – ĐHQG-HCM đã tạo ra một môi trường học thuật tuyệt vời và luôn hỗ trợ chúng em trong suốt quá trình hoàn thành công trình này.”Thông tin hội nghị:The 32nd IEEE International Conference on Parallel and Distributed Systems (ICPADS 2026)IEEE International Conference on Parallel and Distributed Systems (ICPADS 2026) là kỳ hội nghị lần thứ 32 do IEEE Computer Society, Technical Committee on Parallel Processing (TCPP) và Technical Community on Distributed Processing (TCDP) hỗ trợ chuyên môn.Hội nghị đạt xếp hạng CORE B (lĩnh vực Distributed Computing and Systems Software) và nằm trong danh mục CCF C.ICPADS 2026 dự kiến diễn ra từ ngày 22–26/11/2026 tại International Conference Center, Waseda University (Tokyo, Nhật Bản) với chủ đề "Ubiquitous Computing for Global Communities".Chương trình tập trung vào các hướng nghiên cứu trọng tâm: hạ tầng và hệ thống AI, Trí tuệ biên (Edge Intelligence), AIoT, điều phối tài nguyên Biên – Đám mây (Edge–Cloud), hạ tầng điện toán bền vững, hệ thống đa tác tử, bảo mật Web3 và các phiên hội thảo kết nối doanh nghiệp.Thông tin chi tiết tại: https://www.facebook.com/share/p/1SvbjBUSna/ Đông Xanh - Cộng tác viên truyền thông Trường Đại học Công nghệ Thông tin