Know the Normal, Track the Attack: Context-Grounded and Stateful LLM Investigation over System Provenance

arXiv cs.CR · 30 sept, 06:00

ANCHOR es un sistema de investigación basado en proveniencia que combina curación de evidencia con razonamiento LLM para analizar flujos de auditoría y reconstruir narrativas de ataque. El sistema calibra anomalías según tipo de relación y mantiene contexto de despliegue específico junto con estado de ataque persistente, mejorando la recuperación de indicadores de compromiso respecto a líneas base anteriores.