Enabling Transparent Cyber Threat Intelligence Combining Large Language Models and Domain Ontologies
تقترح هذه الورقة منهجية مبتكرة تجمع بين النماذج اللغوية الكبيرة وأنطولوجيات المجال وقيود SHACL لإنشاء وكيل ذكاء اصطناعي يعمل على تحسين دقة وقابلية تفسير استخراج المعلومات المهيكلة والصحيحة دلالياً من سجلات الأمن السيبراني بشكل كبير، لا سيما بالنسبة لبيانات مصائد الاختراق (honeypot).
المؤلفون الأصليون:Luca Cotti, Anisa Rula, Devis Bianchini, Federico Cerutti
تخيل أنك محقق يحاول حل جريمة، ولكن بدلاً من تقارير الشرطة الواضحة، تم تسليمك آلاف الصفحات من الملاحظات الفوضوية، والرسومات التخطيطية، والجمل غير المكتملة. هذا هو بالضبط ما يواجهه خبراء الأمن السيبراني عندما يحاولون قراءة سجلات النظام (system logs). هذه السجلات هي بمثابة "مذكرات" الحواسيب، حيث تسجل كل إجراء يتم اتخاذه، لكنها غالبًا ما تكون غير منظمة، ومربكة، ومليئة بالمصطلحات التقنية المعقدة.
يقدم هذا البحث أداة جديدة تسمى OntoLogX للمساعدة في فهم هذا الفوضى. إليك كيف تعمل، مقسمة إلى مفاهيم بسيطة:
1. المشكلة: "الغرفة الفوضوية"
الأساليب التقليدية لقراءة هذه السجلات تشبه محاولة العثور على لعبة معينة في غرفة فوضوية باستخدام كشاف ضوئي وقائمة ثابتة من القواعد فقط. إذا كانت اللعبة مخبأة تحت كومة من الملابس أو تحمل اسمًا غريبًا، فإن الكشاف سيفشل في رؤيتها.
المشكلة: تُنتج الحواسيب سجلات غير منظمة وغامضة. وتواجه الأساليب القديمة صعوبة في العثور على "الأشرار" (الأحداث الخبيثة) بشكل موثوق.
الأداة الجديدة: يستخدم المؤلفون النماذج اللغوية الكبيرة (LLMs). فكر في النموذج اللغوي الكبير كأنه متدرب ذكي جدًا قرأ كل شيء تقريبًا على الإنترنت ويمكنه فهم اللغة الطبيعية. ومع ذلك، قد يكون هذا المتدرب "حالمًا" بعض الشيء—أحيانًا يبتكر أشياء من خياله أو يخطئ في الحقائق قليلاً لأنه ليس مقيدًا بقواعد صارمة.
2. الحل: "المهندس المعماري" و"المفتش"
لإصلاح ميل المتدرب إلى "الحلم"، بنى المؤلفون نظامًا يسمى OntoLogX يضيف طبقتين حاسمتين من التحكم:
المهندس المعماري (الأنطولوجيا/Ontology): قبل أن يبدأ المتدرب في الكتابة، يعطيه النظام مخططًا هندسيًا صارمًا يسمى الأنطولوجيا. هذا يشبه مجموعة محددة من قطع البناء وكتاب قواعد. يقول له: "يمكنك بناء منزل باستخدام هذه الطوب (الفئات) المحددة فقط، ويجب أن تربطها بهذه الطريقة المحددة (العلاقات)". هذا يجبر الذكاء الاصطناة على تنظيم بيانات السجل الفوضوية في تنسيق منظم وأنيق يسمى رسم المعرفة البياني (Knowledge Graph).
المفتش (التحقق باستخدام SHACL): بمجرد أن يبني المتدرب الهيكل، يقوم مفتش صارم (باستخدام أداة تسمى SHACL) بفحص العمل. يسأل المفتش: "هل استخدمت الطوب الصحيح؟ هل ربطت السقف بالجدر walls بشكل صحيح؟ هل هناك باب مفقود؟"
إذا كان البناء خاطئًا، يرسل المفتش العمل مرة أخرى إلى المتدرب مع ملاحظة: "قم بإصلاح هذا".
يحاول المتدرب مرة أخرى. وتستمر هذه الحلقة حتى يصبح البناء مثاليًا.
3. العملية: التعلم من الأمثلة
النظام لا يكتفي بسؤال المتدرب أن يخمن. بل يستخدم خدعة ذكية تسمى التوليد المعزز بالاسترجاع (Retrieval Augmented Generation).
تخيل أن المتدرب لديه مكتبة من القضايا الناجحة السابقة. عندما يأتي سجل فوضوي جديد، يجد النظام أكثر الحالات السابقة تشابهًا ويعرضها للمتدرب.
يقول له النظام: "انظر كيف حللنا هذا اللغز المشابه من قبل. استخدم نفس الأسلوب لحل هذا اللغز الجديد".
يساعد هذا المتدرب على فهم ما يريده "المهندس المعماري" (الأنطولوجيا) بدقة، مما يؤدي إلى نتائج أفضل بكثير.
4. النتائج: دقة أفضل، وليس سرعة أكبر
اختبر المؤلفون هذا النظام مقابل "الطريقة القديمة" (مجرد سؤال المتدرب عن الكتابة دون وجود المهندس المعماري أو المفتش).
النتيجة: كانت الطريقة الجديدة أكثر دقة بشكل ملحوظ. فقد وجدت المزيد من "الأشرار" (ارتفاع في الاستدعاء/Recall) وارتكبت أخطاء أقل (ارتفاع في الدقة/Precision).
المقايضة: يذكر البحث صراحة أنهم منحوا الأولوية لـ الجودة على السرعة. الطريقة الجديدة تستغرق وقتًا أطول قليلاً لأنها يجب أن تفحص العمل، وتحصل على التغذية الراجعة، وتحاول مرة أخرى. لكن النتيجة النهائية هي خريطة أكثر موثوقية وجدارة بالثقة للتهديدات السيبرانية.
الفائز: من بين نماذج الذكاء الاصطناعي المختلفة التي تم اختبارها، حقق نموذج Claude 3.5 Sonnet أفضل أداء، رغم أن النماذج مفتوحة المصدر مثل Llama 3.3 حققت أداءً جيدًا جدًا أيضًا.
ملخص التشبيه
إذا كانت قراءة سجلات الأمن السيبراني تشبه محاولة ترجمة مذكرات فوضوية مكتوبة بخط اليد إلى وثيقة قانونية رسمية:
الطريقة القد القديمة: تطلب من مترجم ذكي أن "يبذل قصارى جهده". قد يفهم المعنى، لكن التنسيق سيكون فوضويًا وغير متسق.
OntoLogX: تعطي المترجم قالبًا قانونيًا صارمًا (الأنطولوجيا)، وتُظهر له أمثلة على وثائق قانونية مثالية (أمثلة Few-shot)، وتجعل محاميًا صارمًا (SHACL) يراجع كل مسودة. إذا لم تكن المسودة مثالية، يعيدها المحامي للتصحيح. النتيجة هي وثيقة قانونية خالية من العيوب في كل مرة، حتى لو استغرق الأمر وقتًا أطول قليلاً لإنتاجها.
الخلاصة الرئيسية: يثبت هذا البحث أن الجمع بين "ذكاء اصطناعي ذكي" و"قواعد صارمة" و"فحوصات جودة" يخلق نظامًا أكثر موثوقية لتحويل سجلات الكمبيوتر الفوضوية إلى معلومات استخباراتية واضحة وقابلة للتنفيذ حول التهديدات السيبرانية.
إليك ملخص تقني مفصل لورقة البحث بعنوان "تمكين استخبارات التهديدات السيبرانية الشفافة: الجمع بين النماذج اللغوية الكبيرة والأنطولوجيات المجالية" من قبل كوتي وآخرون.
1. بيان المشكلة
تعتمد استخبارات التهديدات السيبرانية (CTI) على استخراج رؤى قابلة للتنفيذ من سجلات أنظمة الأمن السيبراني. ومع ذلك، تواجه المنهجيات الحالية تحديات كبيرة:
البيانات غير المهيكلة: غالبًا ما تكون مدخلات السجلات غير مهيكلة، وغير متسقة تركيبياً، وغامضة دلالياً، مما يجعل التفسير الآلي أمراً صعباً.
قصور الطرق التقليدية: تفتقر الأساليب القائمة على القواعد أو الاستدلال إلى القدرة على التكيف مع سلوكيات التهديد المتطورة وأنماط الهجمات الجديدة.
قصور النماذج اللغوية الكبيرة (LLMs): رغم أن النماذج اللغوية الكبيرة تظهر وعوداً في معالجة اللغات الطبيعية، إلا أنها غالباً ما تفتقر إلى الدقة في السياقات المتخصصة في المجال، وتعاني من "الهلوسة"، وتنتج مخرجات تفتقر إلى التماسك الهيكلي أو الالتزام الصارم بمخططات الأمن السيبراني.
فجوة الشفافية: تعمل عمليات الاستخراج المدعومة بالذكاء الاصطناعي الحالية غالباً كـ "صندوق أسود"، مما يفتقر إلى القابلية للتفسير المطلوبة لكي يثق المحللون البشريون في المؤشرات المستخرجة ويتحققوا منها.
التحدي المحدد الذي تعالجه الورقة هو الحاجة إلى منهجية يمكنها هيكلة بيانات السجلات غير المهيكلة (خاصة من مصائد الاختراق - Honeypots) بدقة وشفافية ودلالية، لتكون في تنسيق مناسب للاستدلال والاستعلام الآلي.
2. المنهجية: OntoLogX
يقترح المؤلفون OntoLogX، وهو منهجية وكيل ذكاء اصطناعي تدمج الأنطولوجيات المجالية (Domain Ontologies) مع النماذج اللغوية الكبيرة (LLMs) لتوليد رسوم بيانية معرفية (Knowledge Graphs) مهيكلة من السجلات الخام. يعمل سير العمل كما يلي:
أ. المكونات الأساسية
أنطولوجيا السجلات المخصصة: تم تصميم أنطولوجيا خفيفة الوزن ومسطحة خصيصاً لتحليل السجلات ذات النص الحر. وخلافاً للمعايير المعقدة مثل STIX أو UCO (التي تفترض بيانات مهيكلة مسبقاً)، تلتقط هذه الأنطولوجيا الكيانات الأساسية (الحدث، المستخدم، التطبيق، الملف، عنوان الشبكة، المصدر، URL) والعلاقات مباشرة من النص الخام.
قيود SHACL: تقترن الأنطولوجيا بمواصفات لغة قيود الأشكال (SHACL) لفرض الصلاحية الهيكلية والدلالية (مثل: عدد العناصر، أنواع البيانات، الخصائص المطلوبة) على الرسوم البيانية المولدة.
خط معالجة وكيل الذكاء الاصطناعي:
الاسترجاع (التعلم من أمثلة قليلة - Few-Shot Learning): عند وصول حدث سجل جديد، يقوم النظام بالاستعلام من مخزن متجه (Vector Store) لاسترجاع رسوم بيانية معرفية سابقة تم إنشاؤها وتشبهه دلالياً باستخدام الارتباط الأقصى الهامشي (MMR). يضمن ذلك تنوع الأمثلة مع الحفاظ على صلتها بالموضوع.
التوليد: يتم توجيه نموذج لغوي كبير (LLM) عبر "أمر" (Prompt) يتضمن السجل الخام، والسياق، والأمثلة المسترجعة، وقواعد صارمة مستمدة من الأنطولوجيا. يُطلب من النموذج توليد رسم بياني معرفي بتنسيق JSON محدد.
التصحيح (التغذية الراجعة التكرارية): يستخدم النظام حلقة تحقق. إذا انتهك المخرج المولد قيود SHACL أو مخطط الأنطولوجيا، يتم إرسال أمر تصحيح مخصص إلى النموذج اللغوي لإصلاح أخطاء محددة. تتكرر هذه الدورة (حتى 3 مرات) حتى يتم إنتاج رسم بياني صالح أو التخلي عن المحاولة.
ب. التنفيذ التقني
إطار العمل: مبني باستخدام Python و LangChain.
التخزين: قاعدة بيانات رسوم بيانية Neo4j مع فهرسة متجهية للاسترجاع الدلالي.
التحكم في المخرجات: يستخدم أدوات المخرجات المهيكلة (Pydantic) لإجبار النموذج اللغوي على الالتزام بمخطط صارم، مما يقلل من أخطاء التنسيق.
3. المساهمات الرئيسية
بنية هجينة مبتكرة: تقدم الورقة نهجاً جديداً يجمع بين النماذج اللغوية الكبيرة الموجهة بالأوامر وبين القيود الصارمة الموجهة بالأنطولوجيا وتحقق SHACL، مما يخلق "وكيلاً ذاتي التصحيح" لاستخراج استخبارات التهديدات السيبرانية.
تصميم أنطولوجيا خفيفة الوزن: إنشاء أنطولوجيا متخصصة ومختصرة مصممة خصيصاً لتحليل السجلات غير المهيكلة، مما يسد الفجوة بين النص الخام ومعايير CTI المعقدة (مثل STIX/SEPSES).
خط معالجة ذكاء اصطناعي شفاف: من خلال استخدام أوامر اللغة الطبيعية لتوجيه عملية الاستخراج والسماح بالتصحيح التكراري، تعزز المنهجية من قابلية التفسير والتدقيق لعملية اتخاذ القرار في الذكاء الاصطناعي.
آلية التصحيح التكرارية: إن تضمين حلقة تغذية راجعة حيث يتحقق النظام من مخرجاته الخاصة مقابل قيود SHACL ويطلب تصحيحات محددة، يحسن بشكل كبير جودة البيانات مقارنة بالتوليد في مرحلة واحدة.
4. النتائج التجريبية
تم تقييم المنهجية باستخدام مجموعة بيانات AIT-LDS (70 مدخل سجل متنوع) عبر خمسة نماذج لغوية كبيرة مختلفة (بما في ذلك Claude 3.5 و Llama 3.3 و Mistral Large و Qwen 2.5 Coder).
المقارنة: تمت مقارنة OntoLogX مع النموذج المرجعي (Baseline) (نهج يعتمد على الأوامر فقط دون استرجاع أو تصحيح).
مقايات الأداء: الدقة (Precision)، الاستدعاء (Recall)، مقي or F1 Score، G-Eval (الأمانة الدلالية)، ومعدلات انتهاك SHACL.
النتائج الرئيسية:
دقة فائقة: تفوق OntoLogX باستمرار على النموذج المرجعي عبر معظم النماذج والمقاييس.
الاستدعاء والدقة: لوحظ تحسن كبير في كل من الدقة (تقليل الهلوسة) والاستدعاء (استخراج أكثر اكتمالاً). على سبيل المثال، حقق Claude 3.5 Sonnet أعلى درجة F1 (0.859) وأعلى درجة G-Eval (0.767) تحت نظام OntoLogX.
المتانة: قللت المنهجية بشكل كبير من انتهاكات SHACL، مما يضمن أن المخرجات صالحة هيكلياً.
تباين النماذج: بينما تحسنت معظم النماذج، كان Mistral Large استثناءً، حيث كان أداؤه أفضل قليلاً في النموذج المرجعي لبعض المقاييس، مما يشير إلى أنه قد يكون أقل توافقاً مع سير العمل المحدد للأوامر أو الأدوات المساعدة.
الكفاءة: تعطي المنهجية الأولوية لجودة الاستخراج على السرعة، حيث تتراوح أوقات المعالجة من 1.4 ثانية (Llama 3.3) إلى 9.8 ثانية (Mistral Large) لكل مدخل سجل.
5. الأهمية والعمل المستقبلي
الأثر على CTI: تثبت الدراسة أن الجمع بين القيود الدلالية والنماذج اللغوية الكبيرة يخلق نظاماً قوياً، شفافاً، وعالي الدقة لتحويل بيانات السجلات الضوضائية إلى استخبارات قابلة للتنفيذ والاستعلام. وهذا أمر بالغ الأهمية لصيد التهديدات الاستباقي والاستجابة الآلية.
القابلية للتوسع: يسمح استخدام أنطولوجيا خفيفة الوزن للنظام بالتعامل مع مصادر سجلات متنوعة (مصائد الاختراق، سجلات التدقيق، إلخ) دون عبء المعالجة المسبقة المعقدة.
الاتجاهات المستقبلية:
الإنسان في الحلقة (Human-in-the-Loop): تطوير واجهات تفاعلية للمحللين للتحقق من الرسوم البيانية المعرفية وتنقيتها.
التعلم التكيفي: تنفيذ آليات تسمح للنظام بالتعلم من ملاحظات المحلل للتكيف مع التكتيكات العدائية الجديدة.
المواءمة مع المعايير: صياغة خرائط ربط بين الأنطولوجيا المخصصة والمعايير الراسخة (SEPSES, UCO, MISP) لضمان التوافق مع منصات CTI الحالية.
النماذج المتخصصة: استكشاف النماذج اللغوية الكبيرة المتخصصة في مهام معينة (مثل نماذج توليد الكود مثل Qwen 3) لتحقيق قدرات أفضل في توليد وتصحيح الرسوم البيانية.
في الختام، يمثل OntoLogX خطوة مهمة للأمام في جعل استخبارات التهديدات السيبرانية المدعومة بالذكاء الاصطناعي دقيقة وقابلة للتفسير، والانتقال من الاستخراج "الصندوق الأسود" نحو مسار استخباراتي موثوق وموجه بالأنطولوجيا.