TTPrint：基于发散后收敛验证的证据落地 TTP 提取

从网络威胁情报报告中提取 MITRE ATT&CK 技术是一项开放集多标签任务，需兼顾高召回率与高精确度。现有方法难以两全：规则与监督方法泛化性差，而单步 LLM 方法易产生幻觉且精度不足。本文提出 TTPrint，模仿人类分析师工作流程，采用“先发散后收敛”策略：首先将报告分解为原子行为并广泛生成候选技术；随后通过确定性跨度定位将候选锚定至具体证据窗口；最后在收敛验证阶段，仅保留同时具备局部证据支持且符合权威定义的技术。实验表明该方法在多个基准上显著优于现有基线。