Fugu-MT 論文翻訳(概要): RuleAutoPilot: Synthesizing Deployable Suricata Rules from Network Traffic

論文の概要: RuleAutoPilot: Synthesizing Deployable Suricata Rules from Network Traffic

arxiv url: http://arxiv.org/abs/2609.16231v1
Date: Mon, 14 Sep 2026 18:58:58 GMT
ステータス: 翻訳完了
システム内更新日: 2026-09-16 14:56:08.183558
Title: RuleAutoPilot: Synthesizing Deployable Suricata Rules from Network Traffic
Title（参考訳）: RuleAutoPilot: ネットワークトラフィックからデプロイ可能なSuricataルールを合成する
Abstract要約: RuleAutoPilotは、マルウェアネットワークトラフィックから直接デプロイ可能なSuricataルールを生成する。ノイズ: ネットワークトラフィックのキャプチャには、少量のセキュリティ関連トラフィックと大量のバックグラウンドトラフィックが混在することが多い。 1,296のマルウェアPCAPにまたがって、実行基盤検証はルール品質(F1)を 0.443 から 0.539 に引き上げる。
参考スコア（独自算出の注目度）: 10.864772278390129
License: http://arxiv.org/licenses/nonexclusive-distrib/1.0/
Abstract: Rule-based Intrusion Detection Systems (IDS) such as Suricata are central to network security, yet crafting effective detection rules demands deep expert knowledge and cannot keep pace with emerging threats. Existing LLM-based approaches can reduce analyst effort, but they either rely on curated threat intelligence that is produced only after the underlying traffic artifacts already exist, or they require costly LLM use without sufficient quality control. We present RuleAutoPilot, an end-to-end agentic framework that generates deployable Suricata rules directly from malware network traffic, with no prior threat intelligence required. A key challenge is noise: network traffic captures often contain a small amount of security-relevant traffic mixed with large volumes of background traffic, which reduces LLM reasoning quality and increases cost. RuleAutoPilot addresses this challenge with a Benign Traffic Fingerprinting stage that removes known benign background flows before LLM processing. Rules that fail syntax checks, do not trigger on the source traffic, or generate false positives on a benign corpus are automatically repaired using structured feedback. Across 1,296 malware PCAPs, execution-grounded verification raises rule quality (F1) from 0.443 to 0.539. On a stratified 200-PCAP subset, RuleAutoPilot on the open-weight gpt-oss-120b reaches near-frontier quality, 0.524 F1 against Claude Opus 5 under Claude Code's 0.623, at 52x lower billed-token cost. Swapping only the backbone to Claude Opus 5, RuleAutoPilot surpasses Claude Code outright, 0.656 F1 against 0.623, at 40x fewer tokens. A stronger backbone raises RuleAutoPilot's own ceiling, but at the same backbone, our scaffold still outperforms Claude Code's, showing the scaffold contributes independently of the backbone.
Abstract（参考訳）: Suricataのようなルールベースの侵入検知システム(IDS)は、ネットワークセキュリティの中心であるが、効果的な検出ルールを作成するには、深い専門家の知識が必要であり、出現する脅威に追従できない。既存のLLMベースのアプローチは、アナリストの努力を削減できるが、それらは、基盤となるトラフィックアーティファクトが既に存在する後にのみ生成される、キュレートされた脅威インテリジェンスに依存するか、あるいは十分な品質管理を必要としないコストを要する。本稿では,マルウェアネットワークトラフィックから直接,デプロイ可能なSuricataルールを生成するエンドツーエンドのエージェントフレームワークであるRe RuleAutoPilotを提案する。ノイズ: ネットワークトラフィックのキャプチャには、少量のセキュリティ関連トラフィックと大量のバックグラウンドトラフィックが混在していることが多いため、LCMの推論品質が低下し、コストが上昇する。 RuleAutoPilotはこの課題に,LLM処理前に既知の良質なバックグラウンドフローを削除する,Benign Traffic Fingerprintingステージで対処する。構文チェックを失敗させたり、ソーストラフィックをトリガーしなかったり、良質なコーパスで偽陽性を発生させたりするルールは、構造化されたフィードバックを使って自動的に修復される。 1,296のマルウェアPCAPにまたがって、実行基盤検証はルール品質(F1)を 0.443 から 0.539 に引き上げる。階層化された200PCAPサブセットでは、オープンウェイト gpt-oss-120b の RuleAutoPilot が、Clude Code の 0.623 で Claude Opus 5 に対して 0.524 F1 を52倍のコストで、最前線に到達した。 Claude Opus 5へのバックボーンのみをスワップすると、TrueAutoPilotはClaude Codeを抜いて0.656 F1、0.623、トークンは40倍少ない。強いバックボーンはルールAutoPilot自身の天井を上昇させるが、同じバックボーンでは、私たちの足場は依然としてClaude Codeよりも優れており、足場はバックボーンとは独立して貢献していることを示している。

関連論文リスト

From Production Traffic to Post-Training: Building a Self-Hosted LLM That Covers the Corporate Request Mix [55.08143827481755]
200以上の内部アプリケーションから1つのモデルにトラフィックを集約します。我々は、各軸ごとに別々のGRPOエキスパートを訓練し、2段階のSLERPを介してそれらをマージする。このモデルは、プラットフォームトラフィックの50%、月1億6600万リクエストをサービスコストのごく一部で吸収する。
論文参考訳（メタデータ） (2026-09-01T17:39:26Z)
CyberLLM: A Multi-Agent LLM Framework for Autonomous Detection and Guarded Response in Automotive Cybersecurity [22.68559728326395]
CyberLLMは、脆弱性を自律的に検出し、正式なランタイム安全ガードの下で修正を実行するフレームワークである。決定エージェントは発見を集約し、人間中心のアセット分類でタグ付けし、タイレッド応答を選択する。対称攻撃パイプラインはエクスプロイトを生成し再生し、両方のサイドを同じシナリオで実行することができる。
論文参考訳（メタデータ） (2026-08-06T23:39:13Z)
Beyond the Syntax: Do Security Experts Trust LLMs for NIDS Rule Engineering? [70.17374586573033]
本稿では,Large Language Models(LLMs)に基づくNIDSルールエンジニアリングを人間中心で調査する。 LLMは構文的に正しい規則を生成するが、専門家は部分的にしか展開できないと考えている。大規模モデルは構文的に有効な規則を一貫して生成するが、小型モデルはIDSルールの生成にはほとんど効果がない。
論文参考訳（メタデータ） (2026-07-07T07:09:56Z)
Understanding and Evaluating Claw-like Agent Security Through a Computer-Systems Lens [65.53494487819053]
クローのようなAIエージェント(OpenClawなど)は、認証情報、ファイル、ツール、外部サービスへの永続的なアクセスを伴う、常にオンのプロセスである。我々はClawのようなエージェントをエージェントコンピュータシステムとして扱い、そのゲートウェイランタイムがOSのような仲介の役割を担っている。我々は、4つの攻撃面にわたる406の敵タスクのベンチマークであるSafeClawArenaを開発した。
論文参考訳（メタデータ） (2026-06-29T18:00:45Z)
AutoSpec: Safety Rule Evolution for LLM Agents via Inductive Logic Programming [21.12573593471532]
既存の安全アプローチは基本的なトレードオフに直面している。本稿では,ユーザセーフ/アンセーフアノテーションから専門家が指導する安全ルールを自動生成するフレームワークであるAutoSpecを紹介する。コード実行とエンボディエージェントドメインにまたがる291の実行トレース上でAutoSpecを評価する。
論文参考訳（メタデータ） (2026-06-23T07:31:03Z)
COBALT-TLA: A Neuro-Symbolic Verification Loop for Cross-Chain Bridge Vulnerability Discovery [0.0]
COBALT-TLAは、TLC(TLA+モデルチェッカー)とLCMをペアリングする神経象徴的検証ループである。我々は,Nomad $190Mエクスプロイトの忠実なモデルを含む,3つのクロスチェーンブリッジターゲットに対してシステムを評価する。
論文参考訳（メタデータ） (2026-04-14T00:56:58Z)
Guardrails as Infrastructure: Policy-First Control for Tool-Orchestrated Workflows [0.0]
Policy-First Toolingは、明示的な制約、リスク認識ゲーティング、リカバリコントロール、監査可能な説明を通じて、ツールの実行を仲介する。制御された5つのポリシーパックと3つの障害プロファイルをまたいだ225の運用では、厳格なパックにより、違反防止はP0の0.000からP4の0.681に改善され、タスク成功は0.356から0.067に減少した。
論文参考訳（メタデータ） (2026-03-18T01:19:33Z)
IntelliSA: An Intelligent Static Analyzer for IaC Security Smell Detection Using Symbolic Rules and Neural Inference [2.651906108763802]
Infrastructure as Code (IaC)は、大規模クラウドとオンプレミス環境の自動プロビジョニングを可能にする。 IaCスクリプトの単一の設定ミスが広く普及し、システムのダウンタイムとセキュリティリスクが深刻になる。我々は、IaCセキュリティの臭い検知のためのインテリジェントな静的解析器であるIntelliSAを、シンボリックルールとニューラル推論を統合した。
論文参考訳（メタデータ） (2026-01-21T02:27:54Z)
The Trojan Knowledge: Bypassing Commercial LLM Guardrails via Harmless Prompt Weaving and Adaptive Tree Search [58.8834056209347]
大規模言語モデル(LLM)は、有害な出力を誘導するために安全ガードレールをバイパスするジェイルブレイク攻撃に弱いままである。 CKA-Agent(Correlated Knowledge Attack Agent)は、ターゲットモデルの知識基盤の適応的木構造探索としてジェイルブレイクを再構成する動的フレームワークである。
論文参考訳（メタデータ） (2025-12-01T07:05:23Z)
DRIFT: Dynamic Rule-Based Defense with Injection Isolation for Securing LLM Agents [52.92354372596197]
大規模言語モデル(LLM)は、強力な推論と計画能力のため、エージェントシステムの中心となってきています。この相互作用は、外部ソースからの悪意のある入力がエージェントの振る舞いを誤解させる可能性がある、インジェクション攻撃のリスクも引き起こす。本稿では,信頼に値するエージェントシステムのための動的ルールベースの分離フレームワークを提案する。
論文参考訳（メタデータ） (2025-06-13T05:01:09Z)
SafeAuto: Knowledge-Enhanced Safe Autonomous Driving with Multimodal Foundation Models [63.71984266104757]
我々は、構造化されていない知識と構造化されていない知識の両方を取り入れることで、MLLMベースの自動運転を強化するフレームワークであるSafeAutoを提案する。安全知識を明示的に統合するため,交通ルールを一階述語論理に変換する推論コンポーネントを開発した。我々のマルチモーダル検索・拡張生成モデルは、過去の運転経験から学ぶために、ビデオ、制御信号、環境特性を活用する。
論文参考訳（メタデータ） (2025-02-28T21:53:47Z)

関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。

指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。