A Hybrid LLM-Based Framework for Automated Security Annotation Generation in Business Process Models

📄 arXiv: 2608.14370v1 📥 PDF

作者: Md Kamrul Islam, Tiphaine Henry, Mattia Salnitri, Julius Köpke, Sami Souihi

分类: cs.CR, cs.AI, cs.SE

发布日期: 2026-08-14

💡 一句话要点

提出混合LLM框架以自动生成业务流程模型的安全注释

🎯 匹配领域: 支柱九：具身大模型 (Embodied Foundation Models)

关键词: 安全注释 业务流程模型 大型语言模型 自动化生成 SecBPMN2 规则基础验证 流程管理

📋 核心要点

  1. 现有方法在从自然语言中提取安全注释时，依赖人工操作，效率低且易出错。
  2. 本文提出的混合框架结合了LLM语义提取与规则基础的验证，自动生成安全注释。
  3. 实验结果显示，该系统在注释生成的精确度上显著高于人工分析，且速度更快。

📝 摘要（中文）

安全业务流程的建模与分析需要将安全注释纳入流程模型中。尽管存在包括SecBPMN2在内的BPMN扩展，但从自然语言规范中提取准确且完整的安全注释仍然是一个手动、专家密集且容易出错的任务。本文提出了一种混合框架，该框架以BPMN流程模型和安全需求文档为输入，自动生成符合SecBPMN2规范的安全注释。该方法结合了基于大型语言模型（LLM）的语义提取、模式约束映射、基于规则的规范化和确定性验证。通过对来自多个领域的27个流程模型的综合评估，结果表明该系统在结构上始终生成有效的SecBPMN2注释，并且具有较高的模式完整性。

🔬 方法详解

问题定义：本文旨在解决从自然语言规范中自动生成安全注释的难题，现有方法依赖人工，效率低且易出错。

核心思路：论文提出的混合框架结合了大型语言模型（LLM）进行语义提取，并通过规则基础的验证和规范化来确保生成的安全注释的准确性和完整性。

技术框架：该框架的整体架构包括四个主要模块：输入的BPMN流程模型和安全需求文档、LLM语义提取模块、规则基础的规范化模块，以及最终的注释验证模块。

关键创新：最重要的技术创新在于将LLM与规则基础的验证相结合，显著提高了注释生成的精确度和一致性，区别于传统的完全依赖人工的方法。

关键设计：在设计中，采用了特定的模式约束映射和损失函数，以确保生成的注释符合SecBPMN2规范，同时优化了生成速度和准确性。通过这些设计，系统能够在保持高召回率的同时，显著提高精确度。

🖼️ 关键图片

fig_0
fig_1
fig_2

📊 实验亮点

实验结果表明，该系统在注释生成的精确度上达到了0.58，显著高于人工分析的0.29，同时保持了相似的召回率（0.52对比0.50）。此外，系统减少了近50%的错误或错误放置的注释，注释生成速度也显著快于人工方式。

🎯 应用场景

该研究的潜在应用领域包括企业流程管理、信息安全合规性检查和自动化文档生成等。通过自动生成安全注释，企业能够更高效地实现安全设计，降低人为错误的风险，提升整体安全性和合规性。未来，该框架有望扩展到更多领域，推动安全设计的自动化进程。

📄 摘要（原文）

The modelling and analysis of secure business processes require the incorporation of security annotations into process models. Although BPMN extensions, including SecBPMN2, exist for this purpose, the derivation of accurate and complete security annotations from natural-language specifications remains a manual, expert-intensive, and error-prone task. This paper presents a hybrid framework that takes a BPMN process model and a security requirements document as input and automatically generates security annotations adhering to the SecBPMN2 specification. The approach combines Large Language Model (LLM)--based semantic extraction with schema-constrained mapping, rule-based normalization, and deterministic validation. The framework is evaluated comprehensively on a curated dataset of 27 process models from various domains. The results indicate that it consistently produces structurally valid SecBPMN2 annotations with high schema completeness. Compared to human security analysts, the system achieves substantially higher precision (0.58 vs. 0.29) while maintaining comparable recall (0.52 vs. 0.50) and reduces erroneous or misplaced annotations by nearly 50%. In addition, annotation generation is significantly faster than manual annotation. These findings demonstrate that hybrid LLM- and rule-based automation can reduce modeling effort while improving consistency and reliability, thereby providing a scalable foundation for security-by-design BPM.