Newest papers

Adaptive Cyber-Defense for Evolving Attacker Capabilities using Reinforcement Learning and Behavior Trees

Nicholas Potteiger, Ankita Samaddar, Xenofon Koutsoukos · 2026 · arXiv (Cornell University)

DOI: 10.48550/arxiv.2610.25420 · cited by 0 works (OpenAlex) · open-access PDF

Vietnamese

Tuy nhiên, các phương pháp hiện có có thể trở nên mỏng manh khi khả năng tấn công hiệu quả phát triển và cho phép các chiến lược tấn công mới. Trong công việc này, chúng tôi nghiên cứu vấn đề thích ứng các chính sách bảo vệ học được trong Kịch bản CAGE Challenge 2 (CC2), một kịch bản bảo vệ mạng doanh nghiệp tiêu chuẩn, với một kịch bản mạng mở rộng với khả năng hành vi của kẻ tấn công mới được thể hiện bởi các hành động của kẻ tấn công mới. Các chiến lược tấn công hiệu quả mà khai thác các hành động mới ban đầu là không rõ, và do đó các chính sách tấn công phải được học trước khi sự thích nghi của kẻ tấn công có thể xảy ra. Để giải quyết điều này, chúng tôi phát triển RLAR (LAR) của đối thủ với các chính sách hành vi (ARLBT), sử dụng các chính sách hành vi phần thưởng (RBT)

Machine translation (Meta M2M100); the English original follows.

Abstract

Autonomous cyber-defense agents trained using reinforcement learning (RL) are increasingly adopted for defending enterprise computer networks. However, existing approaches may become brittle as attacker capabilities evolve and enable new attack strategies. In this work, we study the problem of adapting defender policies learned in CAGE Challenge Scenario 2 (CC2), a benchmark enterprise network defense scenario, to an extended network scenario with new attacker capabilities represented by new attacker actions. Effective attack strategies that leverage new actions are initially unknown, and therefore attacker policies must be learned before defender adaptation can occur. To address this challenge, we develop adversarial RL (ARL) with behavior trees (ARLBT), which uses reward behavior trees (RBTs) to define progression-based reward functions and condition attacker policies on RBT execution. The proposed RBT incorporates the new attacker actions into structured attack strategies while leveraging parallel execution to generate rewards across multiple network nodes simultaneously. We evaluate ARLBT for learning attacker policies against two baseline defender policies across network scenarios with different sets of new attacker actions and compare against multiple attacker baselines. The results demonstrate that ARLBT improves attacker success compared to ARL using the original CC2 reward function and that conditioning policies on RBT execution can improve sample efficiency. We further show that defender policies can be adapted against the learned attackers, improving robustness to attacks that leverage new attacker actions.

Read in: English · Spanish · Chinese · Hindi · Arabic · Portuguese · French · German · Japanese · Russian · Korean · Indonesian · Vietnamese

Topics: Reinforcement learning, Computer science, Adversarial system, Leverage (statistics), Computer security, Robustness (evolution)

Sources: OpenAlex (CC0), arXiv, Crossref. Agent Exchange