论文提出评估自主防御代理配置商用EDR的框架并报告三点发现。
资讯摘要
论文提出首个评估自主防御代理加固商用EDR的框架，在GOAD实验环境中以Horizon3的NodeZero作为自主渗透测试方、Microsoft Defender XDR为主要被测EDR，并扩展到CrowdStrike Falcon和SentinelOne Singularity。作者用Claude Sonnet 4.6和Cisco Foundation-Sec-8B两个LLM后端运行样本基准，报告三点发现：商用EDR遥测面向SOC分析师工作流而非衡量策略有效性；逐策略归因对区分防御代理与EDR自主行为很重要；EDR行为在多次运行间存在差异，主要因遏制效果不同且会累积。
要点速读
- 论文提出首个评估自主防御代理加固商用EDR的框架，实验在GOAD实验室进行，NodeZero为自主渗透测试方，Microsoft Defender XDR为主要被测EDR。
- 框架扩展至CrowdStrike Falcon和SentinelOne Singularity，以检验Defender XDR的发现是否跨厂商成立。
- 作者用Claude Sonnet 4.6和Cisco Foundation-Sec-8B两个LLM后端运行样本基准，并报告三点经验教训。
中文摘要由 AI 根据公开来源生成，可能存在理解偏差；具体能力、数字、开放时间等信息请以原文为准。
采集于 2026/10/23 08:00:11（北京时间）。 arXiv 日期为本次公告时间，论文初次投稿日期请查看原文版本记录。