开源 cti-hunt：CTI 报告转威胁狩猎并评测 LLM 作用
先了解这件事
Nguyễn Hoàng Duy 发布开源项目 cti-hunt，将 CTI 报告端到端转化为 IOC、ATT&CK 技术假设、Sigma 规则和查询，并在自身 Windows 日志上运行，以测试 LLM 在哪些阶段优于不使用 LLM 的方法。评测显示 Claude 识别出 45/48 个父级 TTP 技术；Claude 写的 Sigma 规则检出 12/25，与 SigmaHQ 混合模式达 16/25，qwen2.5:7b 为 0/25。 该项目是作者在 VinSOC 实习期间（2026 年 9 月 18 日至 10 月 22 日）的独立研究项目，于 10 月 26 日作为单一快照发布；不使用公司数据或系统，也非 VinSOC 产品。项目提供 FastAPI 服务（6 个端点、不调用 LLM）、LangGraph agent 模式与 Docker 部署，付费模型调用需配置 LLM_API_KEY，未加 --send 时抽取仅以 dry-run 模式运行；评测数据集不随项目再分发，全部 API 调用成本约 44 美元。
AI 根据报道生成 · 9 小时前更新
报道时间线
沿着报道，了解事件的不同侧面。
- GitHub · 灵魂体仓库cti-hunt 开源：将 CTI 报告转化为经过验证的威胁狩猎流程，并评测 LLM 在各阶段的实际作用
cti-hunt 是一个端到端威胁狩猎项目，将 CTI 报告转化为 IOC、ATT&CK 技术假设、Sigma 规则和查询，并在自身 Windows 日志上运行。评测显示 Claude 识别出 45/48 个父级 TTP 技术，Claude 写的 Sigma 规则检出 12/25，与 SigmaHQ 混合模式达 16/25；qwen2.5:7b 仅检出 0/25。项目提供 FastAPI 服务（6 个端点、不调用 LLM）、LangGraph agent 模式与 Docker 部署，全部 API 调用成本约 44 美元。
本事件热度走势
- 可比范围当前
- 4
- 可比范围峰值
- 511月5日 05:00
- 近 24 小时变化
- –
趋势仅比较持续完整观测到的相同主体，范围可能小于当前热度统计。移动指针或点击图表查看每小时热度；键盘可用左右方向键切换。