В последние годы центры операций безопасности (SOC) сталкиваются с проблемой избыточного количества оповещений, превышающего возможности аналитиков. В ответ на это многие компании начали предлагать языковые модели (LLM) как решение для автоматизации обработки этих оповещений. Однако новое исследование, проведенное учеными из Университета Осло и Норвежского оборонного научного учреждения, ставит под сомнение эффективность такого подхода.
Исследование показало, что при использовании одной и той же языковой модели с одинаковыми данными разница между бесполезным и точным выводом зависит в первую очередь от структуры, в которой эта модель работает. В ходе эксперимента были протестированы четыре популярных языковых модели, которые получили описание инцидента и сводку сетевых логов. Результаты оказались разочаровывающими: ни одна из моделей не смогла правильно идентифицировать вредоносную активность, что подчеркивает необходимость более продуманного подхода.
Однако во втором тесте, где модели были интегрированы в структурированный рабочий процесс, результаты значительно улучшились. Одна из моделей планировала расследование, выбирая из заранее определенных SQL-запросов, а другая обобщала полученные данные. В результате точность определения вредоносных случаев возросла до 93%. Это показывает, что добавление четких инструментов и шагов в процесс работы модели позволяет ей более эффективно анализировать данные, подобно тому, как это делает младший аналитик.
Тем не менее, стоит отметить, что модели проявили осторожность в классификации безвредных случаев, что может привести к увеличению нагрузки на человеческих аналитиков. Авторы исследования подчеркивают, что такая осторожность может быть оправданной, так как она помогает избежать пропуска реальных угроз.
Это исследование подчеркивает важность не только самих языковых моделей, но и системы, которая их окружает. Вопрос, который стоит задать при разработке любого продукта в области кибербезопасности на основе ИИ, заключается в том, какие возможности предоставляет система вокруг модели.