KENSAI-Forschung: MARS² und H-TechniqueRAG zeigen den echten Entwicklungspfad für agentenbasierte Sicherheit

Die heutige Forschungsauswertung lässt sich einfach zusammenfassen: Wenn agentenbasierte Sicherheitssysteme unter Druck weiterhin versagen, ist die Lösung nicht noch eine zusätzliche Hülle. Nötig sind eine bessere Suche über verschiedene Verzweigungen hinweg, eine bessere Zuordnung von Erfolgsbeiträgen entlang langer Werkzeugpfade und ein Abrufsystem, das Cyberbeweise versteht, statt sich auf allgemeine Textähnlichkeit zu verlassen.

Was sich im heutigen Forschungszeitraum geändert hat

Bei den stärksten Veröffentlichungen des Tages handelte es sich nicht um allgemeines KI-Marketing. MARS² ist relevant, weil es die Suche mit mehreren Agenten als Baum betrachtet, der eine gezielte Erkundung von Verzweigungen und eine Zuordnung von Erfolgsbeiträgen auf Pfadebene erfordert. H-TechniqueRAG ist relevant, weil der Abruf von Cyberinformationen scheitert, wenn Beweise zu einer einzigen Sammlung von Textabschnitten verflacht und wie gewöhnlicher Text bewertet werden.

Dieses Paar weist KENSAI eine sinnvolle Produktrichtung. Agentenbasierte Sicherheit benötigt zwei Verbesserungen gleichzeitig: eine bessere Suche über mögliche Aktionspfade und einen besseren Abruf strukturierter Sicherheitsbeweise. Fehlt eine davon, wirken die Systeme zwar beschäftigt, bleiben aber oberflächlich.

1) MARS² bietet eine bessere Lösung für lange Werkzeugabfolgen

MARS² überzeugt, weil es nicht länger vorgibt, ein einzelner Agent müsse jeden guten Pfad selbst entdecken. Es behandelt die Problemlösung als gemeinsame Baumsuche, bei der mehrere Agenten Alternativen erkunden können und die Belohnung über den tatsächlichen Pfad verteilt wird, der zu einem nützlichen Ergebnis geführt hat.

Das ist für die Sicherheitsarbeit wichtig, weil der beste Schritt häufig erst nach mehreren mittelmäßigen Schritten erkennbar wird. Aufklärung, Validierung und Ausnutzung weisen allesamt verzweigte Zustände auf. Wenn das System nur die endgültige Antwort belohnt und den Pfad ignoriert, lernt es die falsche Lektion. Durch die Zuordnung von Erfolgsbeiträgen auf Pfadebene verhindert man, dass ein werkzeugnutzender Agent lediglich einmal Glück hat, statt wiederholt gute Ergebnisse zu erzielen.

2) H-TechniqueRAG löst ein reales Problem beim Abruf von Cyberinformationen

H-TechniqueRAG ist interessant, weil Cyberbeweise von Natur aus hierarchisch aufgebaut sind. ATT&CK-Techniken, Vorgehensweisen, Host-Artefakte, Kampagnennotizen und Erkennungshinweise befinden sich nicht alle auf derselben flachen Ebene. Wenn Abrufsysteme diese Struktur ignorieren, liefern sie nur vage zusammenhängende Texte statt der Beweiskette, die ein Analyst tatsächlich benötigt.

Für KENSAI ist die Lehre eindeutig: Die Abrufqualität im Sicherheitsbereich hängt davon ab, die Beziehungen zwischen Technik, Ziel, Beweisen und Maßnahmen zu bewahren. Eine bessere Aufteilung in Textabschnitte allein reicht nicht aus. Die Abrufschicht muss verstehen, dass eine gute Antwort im Cyberbereich normalerweise aus einer verknüpften Kette und nicht aus einem einzelnen Absatz besteht.

3) Die gemeinsame Produktauswirkung ist stärker als die jeder einzelnen Veröffentlichung

Zusammengenommen zeigen diese Veröffentlichungen einen echten Entwicklungspfad für agentenbasierte Sicherheitssysteme. Die Suche sollte mögliche Werkzeugpfade aufrichtig verzweigt untersuchen. Belohnungen sollten vollständigen Abläufen und nicht nur den Endergebnissen zugeordnet werden. Der Abruf sollte Beweise innerhalb einer auf Cyberinformationen zugeschnittenen Hierarchie bereitstellen, statt alles zu einem semantischen Brei zu verflachen.

Das ist eine bessere Roadmap, als noch eine weitere Agentenhülle oder Dashboard-Ebene hinzuzufügen. KENSAI wird leistungsfähiger, wenn es mehr als einen plausiblen Weg erkunden, lernen kann, welche Pfade tatsächlich erfolgreich waren, und Beweise in einer Form abruft, die fundierte Sicherheitsentscheidungen unterstützt.

Was KENSAI als Nächstes tun sollte

Der nächste Schritt ist praktisch. Es sollte eine Evaluierung entwickelt werden, die Belohnungen auf Pfadebene und die Erkundung von Verzweigungen bei einer realen Werkzeugaufgabe testet, sowie eine weitere Abrufevaluierung, die die Präzision von Beweisen im ATT&CK-Stil statt der allgemeinen sprachlichen Flüssigkeit einer Antwort bewertet.

Wenn sich diese beiden Schleifen verbessern, wird der restliche Technologie-Stack schnell weniger inszeniert wirken. Eine bessere Suche bedeutet weniger fragile Agentenläufe. Ein besserer Abruf bedeutet weniger plausibel klingende, aber falsche Antworten. Das ist die Art von Forschungsintegration, die das Produktverhalten und nicht nur Präsentationsfolien verändert.