AttackGen：基于LLM和MITRE ATT&CK的网络安全演练工具

AttackGen是一款由mrwadams开发维护、于2026-05-30在GitHub发布的网络安全事件响应测试工具（原始链接：https://github.com/mrwadams/attackgen）。它核心是结合大型语言模型（LLM）与MITRE ATT&CK框架，根据用户选择的威胁行为者组织和目标组织详情生成定制化演练场景，旨在解决传统安全演练的痛点，开创智能化安全演练新模式。

当今复杂威胁环境下，传统安全演练存在四大挑战：

1. 场景单一：预设场景过于通用，难以反映真实威胁复杂性；
2. 更新滞后：威胁态势变化快，演练内容难以及时跟进；
3. 资源密集：设计高质量演练需大量安全专家投入；
4. 针对性不足：通用场景无法满足不同行业、规模组织的特定需求。 AttackGen正是为解决这些问题而设计。

MITRE ATT&CK框架集成

MITRE ATT&CK是全球公认的攻击战术技术知识库，AttackGen深度集成后确保场景：基于真实情报、覆盖完整攻击生命周期、反映最新手法、具有可操作性与可验证性。

LLM驱动优势

• 动态场景生成：实时生成独特场景，每次演练体验不同；
• 上下文感知：理解组织环境（行业、规模、技术栈）生成相关场景；
• 自然语言描述：用专业术语清晰呈现，便于团队理解执行。

定制化威胁建模

允许选择特定威胁行为者，可针对APT组织、行业常见攻击者、特定TTPs演练，评估防御准备度。

典型使用流程

1. 输入组织信息（行业、规模、技术基础设施等）；
2. 选择MITRE ATT&CK库中的威胁行为者；
3. 生成定制化攻击场景；
4. 安全团队执行演练；
5. 复盘分析改进。

应用场景

• 红蓝对抗：红队模拟攻击，蓝队防御；
• 事件响应计划验证：测试计划应对特定威胁的有效性；
• 安全意识培训：制作真实场景培训材料；
• 安全工具评估：验证监控检测工具识别特定TTPs的能力。

结构化数据融合

需精确prompt工程、有效索引检索ATT&CK数据、生成内容约束验证机制，实现结构化数据与LLM能力的无缝融合。

可配置性与扩展性

可能提供：场景复杂度调节、技术栈定制、输出格式选项、与其他安全工具的集成接口。

威胁情报更新机制

定期同步MITRE ATT&CK更新、整合最新威胁情报、反映新攻击技术，保持场景现实性。

AttackGen对行业的意义在于：

1. 降低演练门槛：让中小企业也能开展高质量演练；
2. 提升演练真实性：基于真实情报和AI生成场景更贴近实际威胁；
3. 加速响应准备：快速生成新威胁场景，加快响应准备；
4. 促进知识传递：将ATT&CK专业知识转化为易理解的场景，普及安全知识。

使用AttackGen的建议：

1. 建立威胁情报输入流程：定期更新关注的威胁行为者清单；
2. 提供真实环境信息：准确技术栈信息生成更相关场景；
3. 多轮迭代优化：根据演练反馈调整参数优化场景；
4. 结合其他演练方式：与传统方式互补形成完整体系；
5. 记录和度量：建立演练效果指标，持续改进响应能力。

AttackGen通过结合MITRE ATT&CK权威框架与前沿LLM技术，创造出实用的安全工具。它不是替代专家，而是增强其能力，在复杂威胁环境下，这类工具对提升组织安全演练效率、建立有效防御能力具有重要意义。