Agentic Incident Response through Digital Twin-Enhanced Multiscale Planning

📄 arXiv: 2608.02422v1 📥 PDF

作者: Yiran Gao, Tao Li, Kim Hammar

分类: cs.CR, cs.AI

发布日期: 2026-08-03

备注: 31st European Symposium on Research in Computer Security (ESORICS) 2026

💡 一句话要点

提出基于数字双胞胎的多尺度规划以优化事件响应

🎯 匹配领域: 支柱二：RL算法与架构 (RL & Architecture) 支柱九：具身大模型 (Embodied Foundation Models)

关键词: 事件响应 数字双胞胎 多尺度规划 大型语言模型 自动化决策 网络安全 强化学习

📋 核心要点

  1. 现有的事件响应方法依赖于预定义剧本，导致决策过程缓慢且劳动密集，亟需自动化解决方案。
  2. 本文提出了一种结合决策理论规划与LLM生成命令的代理事件响应方法，通过数字双胞胎支持战术规划与操作执行。
  3. 在三个攻击场景中，提出的方法平均减少了15.1%的恢复执行时间，并提高了33.6%的恢复率，显示出显著的性能提升。

📝 摘要（中文）

事件响应目前由安全操作员使用预定义的剧本进行管理，这导致了缓慢且劳动密集的安全决策过程。因此，自动化事件响应规划的需求日益增长。尽管基于控制、优化和强化学习的决策理论方法已被提出以自动化这些规划任务，但大多数方法仅限于抽象模型，无法直接应用于操作系统。本文提出了一种基于大型语言模型（LLM）的规划方法，通过将决策理论规划与LLM生成的响应命令相结合，开发了一种代理事件响应系统。实验结果表明，该方法在三个攻击场景中平均减少了15.1%的恢复执行时间，并提高了33.6%的恢复率。

🔬 方法详解

问题定义：本文旨在解决现有事件响应方法的效率低下问题，尤其是依赖于预定义剧本的决策过程，导致响应时间长和资源分配不合理。

核心思路：通过结合决策理论规划与大型语言模型生成的响应命令，提出了一种新的代理事件响应方法，旨在提高响应速度和准确性。

技术框架：整体架构包括两个主要模块：战术规划模块和操作执行模块。战术规划模块使用回滚规划器计算高层响应策略，而操作执行模块则通过轻量级LLM代理将策略转化为可执行命令。

关键创新：最重要的技术创新在于将数字双胞胎技术引入事件响应中，通过仿真支持战术规划，并通过仿真执行支持操作执行，从而提高了整体响应效率。

关键设计：在设计中，关键参数包括回滚规划器的策略评估标准和LLM生成命令的准确性，确保在不同攻击场景下的有效性和可靠性。具体的损失函数和网络结构细节在论文中进行了详细描述。

🖼️ 关键图片

img_0
img_1
img_2

📊 实验亮点

实验结果显示，提出的代理事件响应方法在三个攻击场景中平均减少了15.1%的恢复执行时间，并提高了33.6%的恢复率，相较于现有的前沿LLM基线，表现出显著的性能提升。

🎯 应用场景

该研究的潜在应用领域包括网络安全、应急响应和智能监控等。通过提高事件响应的自动化水平，可以显著减少人力成本，提高响应速度和准确性，具有重要的实际价值和未来影响。

📄 摘要（原文）

Incident response is currently managed by security operators using predefined playbooks, resulting in slow, labor-intensive security decision-making processes. Consequently, there is a growing need for automated incident response planning. Decision-theoretic approaches based on control, optimization, and reinforcement learning have been proposed to automate such planning tasks with well-grounded approaches, yet most of which, while guaranteeing strong performance, are limited to abstract models and cannot be directly applied to operational systems. A promising approach to mitigate this limitation is to use the security knowledge embedded in large language models (LLMs) to develop agentic response systems. However, current agentic approaches rely on repeated invocations of the LLM to generate a response plan, which is unreliable and limits the planning horizon due to hallucination. In this paper, we develop a principled LLM-based planning method by combining decision-theoretic planning with LLM-generated response commands. The proposed agentic incident response approach uses a rollout planner to compute a high-level response strategy that allocates security resources (the tactical scale), which is then translated into executable commands by a lightweight LLM agent (the operational scale). Within this architecture, we use a digital twin that supports tactical planning through simulation and operational execution through emulation. Across three attack scenarios, our agentic approach reduces recovery execution time by 15.1\% on average and increases the recovery rate by 33.6\% over frontier LLM baselines.