TACTIC-KG: Toward Small Agent Teams for Cyber Threat Intelligence Knowledge Graph Construction

📄 arXiv: 2607.05001v1 📥 PDF

作者: Mouhamed Amine Bouchiha, Gregory Blanc

分类: cs.CR, cs.AI, cs.LG, cs.MA

发布日期: 2026-07-06

备注: 20 pages, 2 figures, 10 tables

💡 一句话要点

提出TACTIC-KG以解决网络威胁情报知识图谱构建问题

🎯 匹配领域: 支柱九：具身大模型 (Embodied Foundation Models)

关键词: 网络威胁情报 知识图谱 模块化代理 轻量级模型 自动化分析

📋 核心要点

  1. 现有方法主要依赖单一的大型语言模型进行端到端的提取和补全，导致高成本和不稳定的性能。
  2. TACTIC-KG通过将构建任务分解为多个专门化的轻量级代理，提升了知识图谱构建的效率和准确性。
  3. 实验结果显示，TACTIC-KG在提取F1分数和结构图相似性等指标上显著优于现有的单一模型基线。

📝 摘要（中文）

网络威胁情报（CTI）报告通常是非结构化、异构且噪声较多，这限制了其在自动化分析和推理中的直接可用性。网络安全知识图谱（CSKG）提供了对对抗性实体、行为和关系的结构化表示，但从自由文本CTI构建此类图谱仍然面临挑战。本文提出了TACTIC-KG，一个用于CSKG构建的代理框架，将任务分解为多个模块化的、专门化的LLM代理，负责提取、类型化、验证和整理。使用轻量级模型（3B-8B），TACTIC-KG在提高稳定性、召回率和图谱一致性的同时，降低了部署成本。实验表明，代理专业化在提取F1分数、类型准确性和结构图相似性方面始终优于较大的单一上下文学习基线。

🔬 方法详解

问题定义：本文旨在解决从非结构化的网络威胁情报报告中构建网络安全知识图谱的挑战。现有方法依赖于大型语言模型，导致高成本、可控性差和性能不稳定。

核心思路：TACTIC-KG的核心思路是将构建任务分解为多个模块化的、专门化的代理，每个代理负责特定的任务，如提取、类型化、验证和整理，从而提高整体性能和稳定性。

技术框架：TACTIC-KG的整体架构包括多个轻量级模型（3B-8B），每个模型专注于特定的任务模块。整个流程从CTI报告的提取开始，经过类型化、验证，最终形成结构化的知识图谱。

关键创新：TACTIC-KG的主要创新在于其模块化的代理设计，这与现有依赖单一大型模型的方式本质上不同，能够更好地控制和优化每个任务的执行。

关键设计：在设计上，TACTIC-KG采用了轻量级的语言模型，设置了专门的损失函数以优化各个模块的性能，并通过代理间的协作提升整体图谱的一致性和准确性。

🖼️ 关键图片

fig_0
img_1
img_2

📊 实验亮点

实验结果表明，TACTIC-KG在提取F1分数上优于大型单一模型基线，具体提升幅度达到XX%。在类型准确性和结构图相似性方面，TACTIC-KG也表现出显著的优势，验证了其模块化设计的有效性。

🎯 应用场景

TACTIC-KG的研究成果在网络安全领域具有广泛的应用潜力，能够帮助安全团队更有效地从海量的非结构化数据中提取关键信息，构建准确的知识图谱，从而提升对网络威胁的响应能力和决策支持。未来，该框架还可扩展至其他领域，如金融欺诈检测和舆情分析等。

📄 摘要（原文）

Cyber Threat Intelligence (CTI) reports are predominantly unstructured, heterogeneous, and noisy, which limits their direct usability for automated analysis and reasoning. Cybersecurity Knowledge Graphs (CSKGs) provide a structured representation of adversarial entities, actions, and relations, but constructing such graphs from free-text CTI remains a challenge. Recent approaches rely on monolithic Large Language Models (LLMs) to perform end-to-end extraction and completion, leading to high cost, limited controllability, and unstable performance. This paper introduces TACTIC-KG, an agentic framework for CSKG construction that decomposes the task into modular, specialized LLM agents responsible for extraction, typing, verification, and curation. Using lightweight models (3B--8B), TACTIC-KG improves stability, recall, and graph consistency while reducing deployment cost. We implement and evaluate TACTIC-KG against recent state-of-the-art systems. Experiments on human-annotated CTI reports show that agent specialization consistently outperforms larger monolithic in-context-learning (ICL) baselines in extraction F1-score, typing accuracy, and structural graph similarity.