CALDERAのAI支援業務 チャット主導のワークフローは、CTIをSTIXに誘導し、ADVERSARYエミュレーションを計画・実行し、MCPツールをベースとしたLLMと、オペレータのコピーペーストではなくCALDERA状態を稼働させます。

ワークフロー

| ワークフロー | お問い合わせ | お問い合わせ |Author | 自然言語のプロンプトから CALDERA の能力と広告を作成・更新する | |CTI アップロード | HTML、PDF、TXT、Markdown のインジェスト、STIX 2.1 のバンドルを生成 | |Plan and Execute | STIXのバンドル、ヒューズのレポートを1つのアクターで選択し、観察された技術から広告を作成し、操作を実行し、カバレッジギャップを報告します。 お問い合わせ

Plan で STIX を選択し、 Execute を使用すると、CTI が実行できるようにします。ワークフローが選択されていない場合は、ワークフローが実行されません。 各実行は、そのトランスクリプト、ツールコール、およびレビューのためのアーティファクトを保持します。

パイプラインが生成するもの

脅威レポートでは、what が実行するように指示します。 あなたの環境は、whereを教えてくれます。

抽出は ATT&CK テクニック、名前付き脅威の俳優とファイルハッシュ オブザーブブル、他に何もありません.

Caldera MCP Plugin

An AI-assisted operations workspace for CALDERA. Chat-driven workflows create adversary content, ingest CTI into STIX, and plan and run adversary emulation, with the LLM grounded in MCP tools and live CALDERA state instead of operator copy-paste.

Workflows

Selecting STIX in Plan and Execute enables CTI retrieval for that run; with none selected the workflow runs without it. Every run keeps its transcript, tool calls and artifacts for review.

What the pipeline produces

A threat report tells you what to run. Your environment tells you where.

Extraction yields ATT&CK techniques, the named threat actor and file hash observables, and nothing else. Hosts, accounts, domains, services and software describe the report’s victim rather than your estate, so they never become CALDERA facts. CALDERA discovers those at runtime, which is why the abilities that use them carry has_agent_copy and no_backwards_movement requirements.

The one insertion point into core CALDERA is the adversary profile:

upload report(s) -> clean -> IR -> ATT&CK techniques -> STIX bundle
                                                            |
  "build an adversary from this and run it"                 v
      build_adversary   attack-pattern -> ability.technique_id -> Adversary
                        + unmatched_techniques + platform_excluded
      run_operation     Adversary + your agents + runtime-discovered facts

Installation

Install like any CALDERA plugin, from the CALDERA root:

git clone https://github.com/mitre/mcp.git plugins/mcp
source venv/bin/activate
pip install -r plugins/mcp/requirements.txt
python -m spacy download en_core_web_lg
cp plugins/mcp/.env.example plugins/mcp/.env

The spaCy model needs its own command because pip cannot install it from requirements.txt. Then add mcp to the plugins: list in conf/local.yml, alongside magma, sandcat and stockpile. Do not commit that file.

Optional extras:

brew install poppler                              # macOS, supplies pdftotext
apt install poppler-utils                         # Debian/Ubuntu
pip install -r plugins/mcp/requirements-dev.txt   # to run the test suite

Without poppler, TXT, MD and HTML still ingest and PDF uploads report the missing dependency rather than failing silently.

LLM credentials