User-Centric Phishing Detection: A RAG and LLM-Based Approach
Dieses Paper schlägt ein benutzerzentriertes Framework zur Phishing-Erkennung vor, das Retrieval-Augmented Generation (RAG) mit Large Language Models integriert, um personalisierte historische E-Mail-Kontexte sowie Echtzeit-Bedrohungsdaten zu nutzen, wodurch die Anzahl der falsch-positiven Ergebnisse effektiv reduziert und eine hohe Präzision über mehrere Open-Source-Modelle hinweg erreicht wird.
Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen
Stellen Sie sich vor, Sie sind ein sehr intelligenter, hochgebildeter Sicherheitswachmann in einem großen Bürogebäude. Dieser Wachmann hat Millionen von Büchern über Kriminalität gelesen und weiß genau, wie ein „Bösewicht“ im Lehrbuch aussieht. Aber dieser Wachmann hat ein Problem: Er ist zu streng. Er hält oft einen regulären Mitarbeiter, der ein seltsam aussehendes Paket trägt, für einen Kriminellen, was viele unnötige Alarme und Frustration verursacht.
Dieses Papier stellt eine neue Methode vor, um diesen Sicherheitswachmann zu trainieren, damit er weniger Fehler macht. Hier ist die einfache Aufschlüsselung, wie es funktioniert:
Das Problem: Der „Einheitswachmann“
Traditionelle E-Mail-Filter sind wie dieser strenge Wachmann. Sie betrachten eine E-Mail und fragen: „Sieht das nach einem Betrug aus?“ Wenn die Antwort auch nur ein leichtes „Vielleicht“ ist, blockieren sie sie.
- Das Problem: Manchmal sieht eine legitime E-Mail von Ihrem Chef etwas seltsam aus (vielleicht verwendet er einen neuen Slang oder einen merkwürdigen Link). Der alte Wachmann blockiert sie, weil sie nicht dem „Standardmuster“ einer normalen E-Mail entspricht. Dies wird als False Positive (Falschalarm) bezeichnet. Es ist, als würde der Wachmann einen echten Mitarbeiter aufhalten, weil er einen Hut trug, der verdächtig aussah.
Die Lösung: Der „Personalisierte Detektiv“
Die Autoren haben ein System entwickelt, das dem Sicherheitswachmann ein persönliches Notizbuch und einen Live-Newsfeed gibt, bevor er eine Entscheidung trifft. Sie nennen dies ein RAG-System (Retrieval-Augmented Generation).
So funktioniert das neue System in drei Schritten:
1. Das Notizbuch (Benutzerkontext)
Bevor der Wachmann eine neue E-Mail betrachtet, blättert das System schnell durch die vergangenen legitimen E-Mails des Benutzers.
- Die Analogie: Stellen Sie sich vor, der Wachmann fragt: „Hey, verschickt diese Person normalerweise E-Mails wie diese?“ Wenn die E-Mail zwar seltsam aussieht, aber dem Stil der E-Mails entspricht, die der Benutzer tatsächlich von seinem Chef erhält, sagt der Wachmann: „Ah, das ist normal für diese Person“, und lässt sie durch.
- Wie es funktioniert: Das System nutzt KI, um die fünf ähnlichsten E-Mails aus der Historie des Benutzers zu finden, um sie dem Wachmann als Referenz zu zeigen.
2. Der Live-Newsfeed (Bedrohungsintelligenz)
Das System prüft auch eine Live-Datenbank (wie ein digitales Polizeiprotokoll), um zu sehen, ob die Links oder Websites in der E-Mail als gefährlich bekannt sind.
- Die Analogie: Selbst wenn die E-Mail so aussieht, als käme sie von einem Freund, erhält der Wachmann eine Warnung vom Live-Feed, wenn der darin enthaltene Link in ein bekanntes „schlechtes Viertel“ (eine bösartige Website) führt.
3. Die kluge Entscheidung (Das LLM)
Der Wachmann ist eigentlich ein Large Language Model (LLM) – eine superintelligente KI, die Sprache sehr gut versteht. Anstatt nur die E-Mail isoliert zu betrachten, schaut die KI auf:
- Die neue E-Mail.
- Das „Notizbuch“ (ähnliche vergangene E-Mails).
- Den „Live-Newsfeed“ (Bedrohungsdaten).
Sie trifft dann eine endgültige Entscheidung: „Ist das ein Betrug oder ist es nur eine seltsame, aber echte E-Mail?“
Die Ergebnisse: Weniger Fehler
Die Forscher testeten dieses neue System mit vier verschiedenen Arten von KI-„Wachmännern“ (genannt Llama4, DeepSeek, Mistral und Gemma). Sie verglichen, wie gut die Wachmänner ohne das Notizbuch im Vergleich mit ihm arbeiteten.
- Der große Gewinn: Wenn die Wachmänner das Notizbuch (RAG) verwendeten, machten sie signifikant weniger Fehler.
- Der Spitzenreiter: Das Llama4-Scout-Modell war das beste.
- Ohne das Notizbuch blockierte es 12 % der guten E-Mails fälschlicherweise (False Positives).
- Mit dem Notizbuch blockierte es nur 4 % der guten E-Mails.
- Es wurde auch besser darin, die tatsächlichen Betrüger zu fangen (ein Wert von 0,97 von 1,0).
Das Fazit
Dieses Papier beweist, dass man nicht nur eine intelligente KI braucht, um Phishing zu stoppen, sondern eine KI, die den Benutzer kennt. Indem man der KI einen schnellen Blick darauf ermöglicht, was der Benutzer normalerweise erhält, verhindert das System, dass normale, seltsam aussehende E-Mails als Betrug markiert werden. Dies macht das Sicherheitssystem viel genauer und weniger nervig für die Menschen, die es nutzen.
Kurz gesagt: Es verwandelt einen generischen, übereifrigen Sicherheitswachmann in einen personalisierten Detektiv, der Ihre Gewohnheiten kennt, was zu weniger Fehlalarmen und besserem Schutz führt.
Ertrinken Sie in Arbeiten in Ihrem Fachgebiet?
Erhalten Sie tägliche Digests der neuesten Arbeiten passend zu Ihren Forschungsbegriffen — mit technischen Zusammenfassungen, in Ihrer Sprache.