CIRCL/vulnerability-attack-techniques-llm-scaling

一个基于MITRE CTID方法的漏洞攻击技术LLM生成扩展数据集，包含984个CVEs，使用ATT&CK版本19.1进行标注，用于训练增强。An LLM-generated expansion dataset for vulnerability attack techniques, based on MITRE CTID methodology, containing 984 CVEs with ATT&CK version 19.1 labels.

搜集汇总

数据集介绍

构建方式

该数据集由大语言模型自动标注生成，基于MITRE CTID的“将ATT&CK映射至CVE以评估影响”方法论，对精选黄金数据集CIRCL/vulnerability-attack-techniques进行扩展。具体而言，利用ollama/qwen3.5:122b模型对984个CVE漏洞进行攻击技术标注，每个样本均包含漏洞标识符、标题、描述、利用技术、主要及次要影响、攻击版本与模型来源等信息。数据集中每条记录的label_sources字段均标记为“llm”，并记录所用大语言模型的具体版本，便于后续区分与过滤。

使用方法

该数据集主要用作训练数据增强，与人工精选的黄金数据集配合使用。研究者可通过label_sources列过滤出仅含人工标注的样本，亦可保留大语言模型生成的扩充样本以提升模型覆盖度。数据集以HuggingFace格式提供，默认配置下包含训练集，可直接加载用于多标签分类任务的训练与评估，支持与CIRCL/vulnerability-attack-techniques数据集联合使用，构建更丰富的漏洞攻击技术识别模型。

背景与挑战

背景概述

随着大语言模型（LLM）在网络安全领域的广泛应用，自动化漏洞分析与攻击技术映射成为缓解日益增长的网络威胁的关键手段。该数据集创建于2024年，由CIRCL（计算机事件响应中心卢森堡）等机构的研究人员开发，旨在通过大规模标签化CVE（通用漏洞披露）条目，将漏洞与其对应的MITRE ATT&CK攻击技术进行关联。核心研究问题聚焦于利用LLM自动化生成高覆盖率的攻击技术标注，以弥补传统人工标注的规模与效率不足。该数据集基于先前精心策划的黄金标准数据集进行扩展，提供了984个CVE条目的多维度技术标签，涵盖攻击手段、影响类型及版本信息，为构建更智能的漏洞分析模型奠定了数据基础，在威胁情报自动化与攻防知识图谱构建领域具有重要影响力。

当前挑战

该数据集面临的核心挑战在于所解决的领域问题：如何准确地将海量CVE漏洞映射到细粒度ATT&CK攻击技术，传统方法依赖人工专家费时费力，且难以覆盖快速增长的漏洞库。具体挑战包括：1) 标签质量与一致性，当前数据集的验证实验显示，LLM生成的标签与黄金标准数据集的F1微平均仅为0.392，表明自动化标注的准确性仍有显著提升空间，容易引入噪声并误导下游任务。2) 模型泛化性与偏差，标签仅由单一模型（qwen3.5:122b）生成，可能导致对特定攻击模式的偏好或遗漏，且缺少跨模型交叉验证。3) 构建过程中，数据集的扩展虽提升了规模，但缺乏对异常或低置信度标签的人工校验机制，使得噪声标签可能累积，影响后续训练与推理的可靠性。

常用场景

经典使用场景

在网络安全与人工智能的交叉领域中，该数据集主要用于训练和评估大语言模型（LLM）在漏洞攻击技术自动标注任务上的性能。其经典使用场景是利用LLM对通用漏洞披露（CVE）条目进行ATT&CK框架下的攻击技术映射，从而构建一个规模达984条CVE的机器标注扩展集。研究者常以此数据集作为训练增强数据，与人工精选的黄金标准集协同使用，推动漏洞情报分析的自动化进程。

解决学术问题

该数据集直面网络安全领域中漏洞与攻击技术关联分析的效率瓶颈问题。传统上，将CVE映射至MITRE ATT&CK技术分类依赖安全专家的手动分析，耗时且覆盖有限。通过引入大语言模型进行自动化标注，数据集探索了机器智能在复杂领域知识分类中的可行性与局限性，揭示了LLM在微观准确率（f1_micro=0.392）与扩展覆盖率之间的权衡，为后续提升弱监督学习在安全领域的鲁棒性提供了重要基准。

实际应用

在实际应用中，该数据集可赋能安全运营中心（SOC）的威胁情报流水线。安全分析师能借助基于此数据集训练的模型，快速将新发现的CVE自动归类至ATT&CK技术节点，缩短漏洞严重性评估与响应策略制定的时间窗口。此外，数据集中的“exploitation_techniques”与“primary_impact”字段可用于构建攻击链预测系统，辅助企业优先修复那些可能被大规模利用的漏洞。

数据集最近研究

最新研究方向

随着大型语言模型在安全领域的广泛应用，利用LLM自动化标注漏洞攻击技术成为前沿研究方向。该数据集基于MITRE ATT&CK框架，通过Qwen3.5模型对984个CVE条目进行机器生成的技术映射，探索了将LLM作为标注工具在漏洞分类与攻击技术识别中的可行性。这一方向与当前热点事件——如NIST AI风险管理框架的推进、漏洞自动化分析需求激增——紧密相连。尽管机器标注与专家标注的一致性（F1值为0.392）仍有提升空间，但其作为数据增强手段，为缓解安全领域标注数据稀缺问题提供了新路径，对推动AI辅助的威胁情报分析具有深远意义。