Towards Small Language Models for Security Query Generation in SOC Workflows
تقترح هذه الورقة إطار عمل ثلاثي المقابض منخفض التكلفة يستفيد من النماذج اللغوية الصغيرة مع التلقين المدرك للخطأ، وتقطير المبررات، وبنية تنقية ثنائية المراحل لتحقيق ترجمة عالية الدقة من اللغة الطبيعية إلى لغة KQL لمراكز عمليات الأمن، مما يقلل تكاليف الرموز (tokens) بشكل كبير مقارنة بالنماذج اللغوية الكبيرة مع الحفاظ على أداء قوي عبر المقاييس النحوية والدلالية.
البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل
تخيل أنك محقق في مركز شرطة ضخم وعالي التقنية (مركز عمليات أمنية، أو SOC). كل يوم، تتدفق الملايين من "شهادات الشهود" الرقمية (السجلات/Logs) من الكاميرات، وأجهزة الكمبيوتر، والشبكات. وللعثور على مجرم معين، تحتاج إلى طرح سؤال محدد للغاية على قاعدة البيانات باستخدام كود سري ومعقد يسمى KQL.
المشكلة؟ كتابة هذا الكود تشبه التحدث بلغة أجنبية لا يعرفها إلا قلة من الخبراء. إذا طرحت السؤال الخاطئ، فلن تحصل على إجابات. وإذا طرحت سؤالاً خاطئاً قليلاً، فقد تغلق على نفسك النظام بالخطأ أو تحصل على مشتبه به خاطئ.
هذه الورقة البحثية تطرح سؤالاً بسيطاً: هل يمكننا تعليم "عقل كمبيوتر" صغير ورخيص وسريع (نموذج لغوي صغير أو SLM) كيفية ترجمة أسئلتنا باللغة الإنجليزية العادية إلى هذا الكود السري، لكي يتمكن المحققون العاديون من حل الجرائم بشكل أسرع؟
إليك تفصيل حلهم، باستخدام بعض التشبيهات من الحياة اليومية:
1. المشكلة: "عنق الزجاجة" الناتج عن وجود الخبراء
في الوقت الحالي، تحتاج إلى "ساحر أكواد" رفيع المستوى لترجمة سؤالك ("أظهر لي جميع أجهزة الكمبيوتر التي اتصلت بعنوان الـ IP المشبوه هذا بالأمس") إلى لغة KQL.
- الطريقة القديمة: توظف "عقلاً خارقاً" (نموذج لغوي كبير أو LLM) باهظ الثمن وبطيئاً ويستهلك الكثير من الطاقة للقيام بالترجمة. إنه رائع، لكنه يكلف ثروة ويستغرق وقتاً.
- الفكرة الجديدة: هل يمكننا استخدام "محقق مبتدئ" (نموذج لغوي صغير أو SLM)؟ هم سريعون، ورخيصون، ويمكنهم العمل على جهاز كمبيوتر محمول عادي، لكنهم ليسوا أذكياء جداً بمفردهم. غالباً ما يهلوسون (يختلقون معلومات) أو يخطئون في القواعد.
2. الحل: معسكر تدريبي من ثلاث خطوات
لم يكتفِ المؤلفون بإلقاء المحقق المبتدئ في قلب المشكلة، بل بنوا له معسكراً تدريبياً من ثلاث خطوات لتحويله إلى محترف.
الخطوة (أ): "ورقة الغش" (التوجيه - Prompting)
تخيل إعطاء المحقق المبتدئ ورقة غش تقول: "مهلاً، لا تنسَ وضع الفاصلة المنقوطة في النهاية، ولا تخلط بين أسماء الجداول!"
- ما فعلوه: حددوا أكثر الأخطاء شيوعاً التي ترتكبها هذه النماذج الصغيرة (مثل نسيان الأقواس أو أسماء الجداول الخاطئة) وأضافوا تعليمات محددة "واعية بالأخطاء" إلى التوجيه.
- النتيجة: توقف المحقق المبتدئ عن ارتكاب أخطاء قواعدية سخيفة دون الحاجة إلى مزيد من القدرات الذهنية.
الخطوة (ب): "الإرشاد" (الضبط الدقيق عبر التقطير - Fine-Tuning with Distillation)
تخيل المحقق المبتدئ وهو يدرس للاختبار. بدلاً من مجرد حفظ نموذج الإجابة، يقوم مُوجّه (نموذج لغوي قوي أو LLM) بشرح كيف قام بحل المشكلة.
- ما فعلوه: استخدموا ذكاءً اصطناعياً قوياً لتوليد آلاف الأسئلة والإجابات التدريبية، لكنهم أضافوا "عملية تفكير" (شرح منطقي) لكل منها. ثم علموا النموذج الصغير محاكاة هذا التفكير.
- النتيجة: تعلم النموذج الصغير كيف يفكر، وليس فقط ما يجب أن يخرجه.
الخطوة (ج): "خط تجميع من مرحلتين" (البنية الهيكلية - Architecture)
هذا هو الابتكار الأكبر في الورقة البحثية. تخيل خط مصنع:
- المرحلة الأولى (العامل السريع): المحقق المبتدئ (SLM) الرخيص والسريع يقوم بسرعة بصياغة 5 إجابات مختلفة. إنه سريع ورخيص، لكنه قد يكون غير دقيق قليلاً.
- المرحلة الثانية (مفتش الجودة): "مفتش" (نموذج لغوي صغير) أكثر ذكاءً قليلاً، ولكنه لا يزال ميسور التكلفة، ينظر إلى المسودات الخمس. يختار الأفضل منها، ويصلح أي أخطاء متبقية، ويتحقق من مطابقتها لـ "كتاب القواعد" (مخطط قاعدة البيانات - Schema) للتأكد من أنها منطقية.
- النتيجة: تحصل على سرعة وانخفاض تكلفة المحقق المبتدئ، ولكن مع دقة "مفتش الجودة".
3. النتائج: سريع، رخيص، ودقيق
لقد اختبروا هذا النظام مقابل "العقول الخارقة" (مثل GPT-5).
- الدقة: كان النظام الجديد جيداً تقريباً مثل "العقول الخارقة" الباهظة الثمن. لقد ضبط القواعد بنسبة 98.7% من المرات، وضبط المعنى بنسبة 90.6% من المرات.
- التكلفة: هذا هو الفوز الكبير. كلف النظام الجديد 10 أضعاف أقل من "العقول الخارقة" الباهظة الثمن.
- السرعة: كان أسرع بكثير، وهو أمر بالغ الأهمية عندما تحاول إيقاف هجوم سيبراني في الوقت الفعلي.
الصورة الكبيرة
فكر في هذا الأمر مثل الطبخ.
- الطريقة القديمة: توظف طباخاً عالمياً حاصلاً على نجمة ميشلان (LLM) ليطبخ كل وجبة في مطعمك. المذاق مذهل، لكنه مكلف للغاية وبطيء.
- الطريقة الجديدة: توظف طباخاً محلياً سريعاً (SLM) لتجهيز المكونات وطبخ الأساسيات. ثم، لديك رئيس طهاة (العرّاف - Oracle) الذي يتذوق الطبق فقط، ويضيف رشة ملح، ويضبط طريقة التقديم.
- النتيجة: الطعام مذاقه جيد تماماً، ولكن يمكنك إطعام 10 أضعاف عدد الناس بنفس السعر.
باخت-صار: تثبت هذه الورقة البحثية أننا لسنا بحاجة للاعتماد على عمالقة الذكاء الاصطناعي الباهظين والبطيئين للتعامل مع المهام الأمنية. من خلال الجمع بين ذكاء اصطناعي صغير وسريع وخطوة "فحص جودة" ذكية، يمكننا جعل الأمن السيبراني أسرع، وأرخص، ومتاحاً للجميع.
غارق في أبحاث مجالك؟
تصلك نشرة يومية بأحدث الأبحاث المطابقة لكلماتك البحثية المفتاحية — مع ملخصات تقنية، بلغتك.