ThreatQwen: Domain-Adaptive Fine-Tuning of a 1.7B LLM for Security Event Classification and SOC Triage

Jeden Tag sind Sicherheitsteams in Banken, Krankenhäusern und Regierungsbehörden mit einer Flut von digitalen Alarmen konfrontiert. Diese Warnmeldungen werden durch automatisierte Systeme ausgelöst, die nach verdächtigen Mustern in Computerprotokollen suchen, wie etwa ungewöhnlichen Dateibewegungen oder seltsamen Netzwerkverbindungen. Obwohl diese Systeme hervorragend darin sind, potenzielle Bedrohungen aufzuspüren, können sie nicht entscheiden, ob ein Alarm eine echte Gefahr oder ein harmloser Fehler ist. Dieses abschließende Urteil, bekannt als Triage, erforderte traditionell einen menschlichen Analysten, der die Rohdaten liest und die Situation logisch durchdringt. Dieser manuelle Prozess ist langsam und oft durch das schiere Volumen der Alarme überfordert. In den letzten Jahren haben leistungsstarke Modelle der künstlichen Intelligenz gezeigt, dass sie diese Art des logischen Schlussfolgerns leisten können, aber die Organisationen, die diese Hilfe am dringendsten benötigen, können sie oft nicht nutzen. Strenge Sicherheitsregeln und Datenschutzgesetze verhindern, dass diese Teams ihre sensiblen Protokolle an externe Server senden, auf denen diese großen Modelle leben. Sie benötigen eine Lösung, die wie ein Experte denken kann, aber vollständig innerhalb ihrer eigenen sicheren Mauern bleibt.

Eine neue Studie stellt eine Lösung namens ThreatQwen vor, ein kleines, spezialisiertes Modell der künstlichen Intelligenz, das darauf ausgelegt ist, lokal auf Standard-Computerhardware ohne Internetverbindung zu laufen. Der Forscher nahm ein kompaktes Sprachmodell – eine Art von Software, die darauf trainiert wurde, menschliche Sprache zu verstehen und zu erzeugen – und brachte ihm spezifisch bei, wie man Sicherheitsalarme analysiert. Er fütterte das Modell mit einer massiven Sammlung realer Erkennungsregeln und synthetischer Beispiele für normale Computeraktivität, um dem Modell beizubringen, zwischen echten Bedrohungen und harmlosen Ereignissen zu unterscheiden. Das Ergebnis ist ein Werkzeug, das auf einem einzelnen Computer in einem sicheren Büro sitzen, einen Alarm lesen und dem menschlichen Bediener sofort mitteilen kann, ob dieser bösartig oder harmlos ist. Dieser Ansatz ermöglicht es hochregulierten Organisationen, fortschrittliche logische Schlussfolgerungen durch künstliche Intelligenz zu nutzen, ohne jemals ihre privaten Daten an die Außenwelt preiszugeben.

Die zentrale Herausforderung, die der Forscher adressierte, war, dass die meisten existierenden Modelle der künstlichen Intelligenz zu groß sind, um auf lokalen Maschinen zu laufen, und nicht auf die spezifische Sprache von Sicherheitsprotokollen trainiert wurden. Um dies zu lösen, baute das Team einen Trainingsdatensatz auf, indem sie tausende echte Erkennungsregeln aus Open-Source-Projekten mit tausenden neuen Beispielen normalen Computerverhaltens kombinierten. Sie nutzten eine leistungsstarke externe künstliche Intelligenz, um diese normalen Beispiele zu generieren, wodurch sichergestellt wurde, dass das Modell eine ausgewogene Mischung aus gefährlichen und sicheren Ereignissen sah. Dies war entscheidend, da die ursprünglichen Daten stark in Richtung Bedrohungen verzerrt waren; ohne die hinzugefügten Beispiele für normale Aktivitäten hätte das Modell gelernt, einfach alles als gefährlich einzustufen. Durch die sorgfältige Abstimmung der Trainingsdaten und das Entfernen bestimmter Felder, die als einfache Abkürzungen dienten, zwang der Forscher das Modell dazu, tatsächlich die Muster der Ereignisse zu lernen, anstatt basierend auf oberflächlichen Hinweisen zu raten.

Das Modell wurde dann mit einer Technik feinjustiert, die es ermöglicht, neue Aufgaben zu lernen, ohne komplett neu aufgebaut werden zu müssen – ein Prozess, der nur wenige Stunden auf einer Standard-Grafikkarte dauerte. Als es an einem Satz von 882 Beispielen getestet wurde, die gleichmäßig zwischen realen Bedrohungen und normalen Ereignissen aufgeteilt waren, erreichte das neue Modell eine Genauigkeit von 95,1 Prozent. Es identifizierte 96,1 Prozent der tatsächlichen Bedrohungen korrekt und 94,2 Prozent der normalen Ereignisse. In einem direkten Vergleich übertraf dieses kleine, lokal laufende Modell zwei der weltweit fortschrittlichsten, cloudbasierten KI-Systeme deutlich, die bei denselben Aufgaben unter 52 Prozent Genauigkeit lagen. Die Cloud-Modelle neigten dazu, fast alles als Bedrohung einzustufen und scheiterten daran, normales Verhalten zu erkennen, während das neue Modell die subtilen Unterschiede lernte, die für Sicherheitsexperten entscheidend sind.

Was diese Entwicklung besonders bedeutend macht, ist ihre Praktikabilität für den realen Sicherheitsbetrieb. Das gesamte Modell, einschließlich seines spezialisierten Trainings, passt in nur 3,1 Gigabyte Arbeitsspeicher, was klein genug ist, um auf einer handelsüblichen Grafikkarte zu laufen, wie sie in vielen Büros zu finden ist. Es benötigt keine Netzwerkverbindung, was bedeutet, dass es in „Air-Gapped“-Umgebungen eingesetzt werden kann, in denen Computer aus Sicherheitsgründen physisch vom Internet isoliert sind. Dies ermöglicht es Banken, Rüstungsunternehmen und Geheimdiensten, die erste Überprüfung von Millionen von Alarmen zu automatisieren, ohne gegen Datenschutzbestimmungen zu verstoßen. Der Forscher merkte zudem an, dass der lokale Betrieb dieses Modells weitaus kostengünstiger ist als die Nutzung von Cloud-Diensten; es kostet weniger als zwei Dollar pro Tag für die Hochvolumenverarbeitung im Vergleich zu fast zwanzig Dollar für dieselbe Arbeit auf einer Cloud-Plattform.

Die Studie weist jedoch auch Einschränkungen auf, die der Autor offen zugibt. Die Trainingsdaten und die Testbeispiele für normales Verhalten wurden von Computern generiert und stammen nicht direkt aus Live-Netzwerken der realen Welt. Während die Erkennungsregeln auf tatsächlichen Angreifertechniken basierten, die in der Praxis beobachtet wurden, wurde das Modell noch nicht gegen die komplexen, unordentlichen Datenströme eines aktiven Sicherheitszentrums getestet. Der Forscher stellt fest, dass der nächste kritische Schritt darin besteht, das Modell gegen reale Telemetrie zu validieren, um sicherzustellen, dass es über die im Rahmen der Studie verwendeten synthetischen Beispiele hinaus gut generalisiert. Zudem versteht das Modell derzeit nur Englisch, wodurch nicht-englische Quellen für Bedrohungsinformationen unberücksichtigt bleiben. Trotz dieser Vorbehalte zeigt die Arbeit, dass ein kleines Open-Source-Modell, wenn es sorgfältig mit den richtigen Daten trainiert wird, spezialisierte Sicherheitsaufgaben besser als massive, allgemeine Systeme ausführen kann, und bietet damit einen gangbaren Weg für eine sichere, lokale künstliche Intelligenz in kritischen Infrastrukturen.