CyTReX usa LLM com evidencias estruturadas para transformar alertas de rede em hipoteses de ataque rastreaveis em redes de energia distribuida

Redes de Recursos Energeticos Distribuidos (DER) coordenam comandos de controle, medicoes e estados de dispositivos entre ativos de borda (como inversores solares e baterias) e sistemas em nuvem, formando uma infraestrutura critica cuja seguranca depende de deteccao de anomalias de rede confiavel. O problema pratico que o CyTReX ataca e que sistemas de deteccao de anomalias tipicamente entregam uma unica classificacao de ataque por alerta, o que e insuficiente para um analista humano decidir como responder: uma classificacao isolada nao diz por que o sistema chegou aquela conclusao, nem quais outras explicacoes alternativas sao plausiveis.

A abordagem tecnica central e usar um LLM como camada de raciocinio, mas restringindo rigidamente suas entradas a um 'pacote de evidencias' estruturado, em vez de deixa-lo inferir livremente. Esse pacote consolida evidencias de deteccao de anomalias na camada de borda, interpretacoes de ataque geradas por uma camada de raciocinio em nuvem, atribuicoes de features de rede via SHAP (Shapley Additive Explanations, uma tecnica consolidada de explicabilidade de modelos de ML), regras de decisao substitutas (surrogate rules) e enriquecimento de inteligencia de ameacas obtido via Model Context Protocol (MCP). O resultado e uma arvore de hipoteses de ataque ranqueadas, onde cada ramo e explicitamente rastreavel a uma evidencia concreta, em vez de depender de inferencia livre do LLM -- um design deliberado para mitigar o risco de alucinacao em um contexto de infraestrutura critica, onde uma hipotese de ataque inventada pode levar a uma resposta de incidente equivocada.

Os autores testaram cinco configuracoes diferentes do pipeline, mostrando que adicionar componentes de raciocinio (as camadas SHAP, regras substitutas e enriquecimento de CTI) melhora progressivamente a especificidade das hipoteses geradas, a rastreabilidade da evidencia e o embasamento analitico, com a configuracao completa produzindo o suporte investigativo mais abrangente para analistas de Security Operations Center (SOC).

Na pratica, esse tipo de sistema interessa a operadores de infraestrutura de energia que lidam com volume de alertas maior do que suas equipes de analise conseguem triar manualmente: ao transformar um alerta binario em um conjunto de hipoteses explicaveis e ranqueadas, o CyTReX reduz o tempo que um analista humano gasta reconstruindo o contexto de um incidente do zero. O ponto de atencao e que a confiabilidade desse tipo de ferramenta depende inteiramente da qualidade e integridade do 'pacote de evidencias' alimentado ao LLM -- se qualquer uma das fontes (deteccao de borda, SHAP, CTI via MCP) estiver comprometida ou desatualizada, as hipoteses geradas, embora rastreaveis, ainda podem direcionar o analista para uma conclusao errada.