ThreatQwen: Domain-Adaptive Fine-Tuning of a 1.7B LLM for Security Event Classification and SOC Triage

تواجه الفرق الأمنية في البنوك والمستشفيات والوكالات الحكومية كل يوم فيضاً من الإنذارات الرقمية. تُطلق هذه التنبيهات بواسطة أنظمة آلية تمسح السجلات الحاسوبية بحثاً عن أنماط مشبوهة، مثل تحركات الملفات غير العادية أو الاتصالات الشبكية الغريبة. وبينما تبرع هذه الأنظمة في رصد التهديدات المحتملة، إلا أنها لا تستطيع اتخاذ قرار بشأن ما إذا كان التنبيه خطراً حقيقياً أم خطأً غير ضار. هذا الحكم النهائي، المعروف باسم "التصنيف" (triage)، تطلب تقليدياً من محلل بشري قراءة البيانات الخام والتفكير المنطقي في الموقف. وهذه العملية اليدوية بطيئة وغالباً ما تكون مثقلة بالكم الهائل من التنبيهات. وفي السنوات الأخيرة، أظهرت نماذج الذكاء الاصطناعي القوية قدرتها على القيام بهذا النوع من التفكير، لكن المنظمات التي تحتاج إلى هذه المساعدة غالباً ما تعجز عن استخدامها؛ إذ تمنع القواعد الأمنية الصارمة وقوان الخصوصية هذه الفرق من إرسال سجلاتها الحساسة إلى خوادم خارجية حيث توجد هذه النماذج الضخمة. إنهم بحاجة إلى حل يمكنه التفكير كخبير ولكن يظل تماماً داخل جدرانهم الآمنة.

تقدم دراسة جديدة حلاً يسمى "ThreatQwen"، وهو نموذج ذكاء اصطناعي صغير ومتخصص مصمم للعمل محلياً على أجهزة كمبيوتر قياسية دون الحاجة إلى اتصال بالإنترنت. قام الباحث بأخذ نموذج لغوي مدمج، وهو نوع من البرمجيات المدربة على فهم وتوليد اللغة البشرية، وعلمه تحديداً كيفية تحليل التنبيهات الأمنية. لقد غدّى النموذج بمجموعة هائلة من قواعد الكشف الواقعية وأمثلة اصطناعية للنشاط الحاسوبي الطبيعي، ليعلمه التمييز بين التهديدات الحقيقية والأحداث غير الضارة. والنتيجة هي أداة يمكنها الجلوس على جهاز كمبيوتر واحد في مكتب آمن، تقرأ تنبيهاً، وتخبر المشغل البشري فوراً ما إذا كان خبيثاً أم حميداً. يسمح هذا النهج للمنظمات شديدة التنظيم باستخدام التفكير المتقدم للذكاء الاصطناعي دون تعريض بياناتها الخاصة للعالم الخارجي أبداً.

كان التحدي الجوهري الذي عالجه الباحث هو أن معظم نماذج الذكاء الاصطناعي الموجودة حالياً كبيرة جداً بحيث لا يمكن تشغيلها على الأجهزة المحلية، وليست مدربة على اللغة الخاصة بسجلات الأمن. ولحل هذه المشكلة، بنى الفريق مجموعة بيانات تدريبية عبر الجمع بين آلاف قواعد الكشف الحقيقية من المشاريع مفتوحة المصدر وآلاف الأمثلة الجديدة للسلوك الحاسوبي الطبيعي. واستخدموا ذكاءً اصطناعياً خارجياً قوياً لتوليد هذه الأمثلة الطبيعية، مما ضمن أن يرى النموذج مزيجاً متوازناً من الأحداث الخطيرة والآمنة. كان هذا أمراً بالغ الأهمية لأن البيانات الأصلية كانت منحازة بشدة نحو التهديدات؛ فبدون إضافة أمثلة النشاط الطبيعي، كان النموذج سيتعلم ببساطة تصنيف كل شيء على أنه خطر. ومن خلال موازنة بيانات التدريب بعناية وإزالة حقول معينة كانت تعمل كاختصارات سهلة، أجبر الباحث النموذج على تعلم أنماط الأحداث فعلياً بدلاً من التخمين بناءً على أدلة سطحية.

تم بعد ذلك ضبط النموذج بدقة باستخدام تقنية تسمح له بتعلم مهام جديدة دون الحاجة إلى إعادة بنائه بالكامل، وهي عملية لم تستغرق سوى بضع ساعات على بطاقة رسوميات قياسية. وعند اختباره على مجموعة من 882 مثالاً، مقسمة بالتساوي بين التهديدات الحقيقية والأحداث الطبيعية، حقق النموذج الجديد دقة بلغت 95.1 بالمائة. فقد حدد بشكل صحيح 96.1 بالمائة من التهديدات الفعلية و94.2 بالمائة من الأحداث الطبيعية. وفي مقارنة مباشرة، تفوق هذا النموذج الصغير الذي يعمل محلياً بشكل كبير على اثنين من أكثر أنظمة الذكاء الاصطناعي السحابية تقدماً في العالم، والتي سجلت أقل من 52 بالمائة من الدقة في المهام نفسها. كانت النماذج السحابية تميل إلى التخمين بأن كل شيء تقريباً هو تهديد، وفشلت في التعرف على النشاط الطبيعي، بينما تعلم النموذج الجديد الفروق الدقيقة التي تهم خبراء الأمن.

ما يجعل هذا التطور مهماً بشكل خاص هو عمليته في العمليات الأمنية الواقعية. فالنموذج بأك entier، بما في ذلك تدريبه المتخصص، يتسع في 3.1 جيجابايت فقط من ذاكرة الكمبيوتر، وهو حجم صغير بما يكفي للعمل على بطاقة رسوميات واحدة من فئة المستهلكين الموجودة في العديد من المكاتب. وهو لا يتطلب اتصالاً بالشبكة، مما يعني إمكانية نشره في البيئات المعزولة مادياً (air-gapped) حيث تكون أجهزة الكمبيوتر معزولة فيزيائياً عن الإنترنت لأسباب أمنية. وهذا يسمح للبنوك، والمقاولين الدفاعيين، ووكالات الاستخبارات، بأتمتة المراجعة الأولية لملايين التنبيهات دون انتهاك لوائح خصوصية البيانات. كما أشار الباحث إلى أن تشغيل هذا النموذج محلياً أرخص بكثير من دفع تكاليف الخدمات السحابية، حيث يكلف أقل من دولارين يومياً للمعالجة عالية الحجم مقارنة بنحو عشرين دولاراً لنفس العمل على منصة سحابية.

تتضمن الدراسة أيضاً قيوداً أقر بها المؤلف بصراحة. فبيانات التدريب وأمثلة الاختبار للسلوك الطبيعي تم توليدها بواسطة أجهزة الكمبيوتر بدلاً من أخذها مباشرة من شبكات واقعية حية. وبينما استندت قواعد الكشف إلى تقنيات مهاجمين حقيقية لوحظت في الميدان، إلا أن النموذج لم يُختبر بعد على تدفقات البيانات المعقدة والفوضوية لمركز أمني حي. ويذكر الباحث أن الخطوة الحاسمة التالية هي التحقق من النموذج مقابل القياسات عن بُرة (telemetry) الواقعية لضمان قدرته على التعميم بعيداً عن الأمثلة الاصطناعية المستخدمة في الدراسة. بالإضافة إلى ذلك، يفهم النموذج حالياً اللغة الإنجليزية فقط، مما يترك استخبارات التهديدات غير الإنجليزية خارج النطاق. ورغم هذه التحفظات، يثبت العمل أن نموذجاً صغيراً مفتوح المصدر، عندما يتم تدريبه بعناية على البيانات الصحيحة، يمكنه أداء مهام أمنية متخصصة بشكل أفضل من الأنظمة الضخمة العامة، مما يوفر مساراً قابلاً للتطبيق للذكاء الاصطناعي المحلي والآمن في البنية التحتية الحيوية.