🤖 AI

Toward Cybersecurity-Expert Small Language Models

L'article présente CyberPal 2.0, une famille de petits modèles de langage spécialisés en cybersécurité (4 à 20 milliards de paramètres) entraînés sur un ensemble de données enrichi via le pipeline SecKnowledge 2.0, qui surpasse ou égale des modèles de pointe tels que GPT-4o et o1 sur des tâches clés d'investigation et de renseignement sur les menaces tout en conservant une taille nettement plus réduite.

Auteurs originaux : Matan Levi, Daniel Ohayon, Ariel Blobstein, Ravid Sagi, Ian Molloy, Yair Allouche

Publié 2026-07-02

📖 5 min de lecture🧠 Analyse approfondie

CC BY 4.0

Auteurs originaux : Matan Levi, Daniel Ohayon, Ariel Blobstein, Ravid Sagi, Ian Molloy, Yair Allouche

Article original sous licence CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Ceci est une explication générée par l'IA de l'article ci-dessous. Elle n'a pas été rédigée ni approuvée par les auteurs. Pour une précision technique, consultez l'article original. Lire la clause de non-responsabilité complète

Imaginez que vous possédez une bibliothèque de robots géants et super intelligents (des modèles de langage étendus, ou LLM) capables d'écrire de la poésie, de résoudre des problèmes mathématiques et de discuter de presque tout. Cependant, si vous leur demandez d'agir comme un expert en cybersécurité — traquer les menaces numériques, comprendre des techniques de piratage complexes ou réparer des failles de sécurité — ils trébuchent souvent. Ils peuvent deviner, halluciner des faits ou manquer de l'entraînement profond et spécifique nécessaire pour des travaux de sécurité à enjeux élevés.

Ce document présente CyberPal 2.0, une nouvelle famille de robots « plus petits » mais hautement spécialisés, conçus spécifiquement pour être des experts en cybersécurité. Voici comment ils ont procédé, expliqué simplement :

1. Le Problème : Le « Généraliste » vs Le « Spécialiste »

Considérez les grands modèles d'IA célèbres (comme GPT-4 ou o1) comme des médecins généralistes dans un hôpital. Ils sont incroyablement intelligents et peuvent traiter presque n'importe quelle question médicale. Cependant, pour une maladie complexe et rare (comme un type spécifique d'attaque informatique), vous voulez vraiment un chirurgien spécialiste qui a passé des années à étudier uniquement cette chose précise.

Le problème est que les grands modèles coûtent cher à exploiter, et envoyer des données d'entreprise sensibles vers eux va souvent à l'encontre des règles de confidentialité. Les auteurs voulaient donc construire un « chirurgien » assez petit pour tenir dans le propre sous-sol d'un hôpital (sur site/on-premises), mais assez intelligent pour gérer les cas de sécurité les plus difficiles.

2. La Recette Secrète : « SecKnowledge 2.0 » (Le Camp d'Entraînement)

On ne peut pas simplement apprendre à un robot à devenir un expert en sécurité en lui donnant une pile de manuels. Les auteurs ont construit un camp d'entraînement spécial appelé SecKnowledge 2.0.

L'ancienne méthode : Imaginez un professeur demandant à un élève d'expliquer un concept de sécurité, et l'élève donne une réponse courte et vague.
La nouvelle méthode (L'expert dans la boucle) : Les auteurs ont créé un système où des experts en sécurité humains agissent comme des coachs. Ils ne se contentent pas d'écrire les questions ; ils conçoivent les étapes exactes que le robot doit suivre pour répondre.
- Analogie : Au lieu de simplement demander « Comment réparer cette fuite ? », le coach dit : « D'abord, vérifiez le matériau du tuyau. Deuxièmement, regardez le manomètre. Troisièmement, consultez le manuel pour cette valve spécifique. Ce n'est qu'ensuite que vous donnez la réponse. »
Les Vérificateurs de Faits : Pour empêcher le robot d'inventer des choses (halluciner), le système force le robot à aller chercher des preuves réelles (comme effectuer une recherche dans une base de données ou lire un rapport de sécurité spécifique) avant de répondre. C'est comme un détective qui doit montrer son tableau de preuves avant de résoudre l'enquête.

3. Le Résultat : La Famille CyberPal 2.0

Le résultat est une famille de modèles allant de 4 à 20 milliards de « neurones » (paramètres).

Petit mais Puissant : Même le plus petit modèle (4B) est minuscule comparé aux modèles géants (qui peuvent atteindre des centaines de milliards de paramètres), mais il est bien plus performant que ce que son poids laisse supposer.
La Performance : Lors de tests sur des examens de sécurité difficiles (comme faire correspondre un rapport de bug à une faiblesse spécifique ou identifier des tactiques de hackers), ces petits modèles :
- Ont surpassé leurs propres versions « non entraînées » de manière spectaculaire (7 à 14 % de mieux).
- Ont écrasé les autres modèles de sécurité open-source.
- Ont égalé ou battu les plus grands et plus coûteux modèles « frontières » (comme Sec-Gemini v1 de Google et o1 d'OpenAI) sur les tâches fondamentales, malgré le fait qu'ils soient une fraction de leur taille.

4. Pourquoi cela compte (selon l'article)

L'article affirme que cette approche résout trois gros maux de tête pour les entreprises :

Confidentialité : Vous pouvez faire fonctionner ces modèles sur vos propres serveurs sans envoyer de données sensibles vers le cloud.
Coût : Ils sont beaucoup moins chers à exploiter que les modèles géants.
Fiabilité : Parce qu'ils sont entraînés avec des experts humains et forcés de trouver des preuves réelles, ils sont moins susceptibles de commettre des erreurs dangereuses ou d'« inventer des choses ».

Analogie de Synthèse

Si les grands modèles d'IA sont comme des athlètes olympiques capables de courir, nager et sauter, CyberPal 2.0 est comme un chien de sauvetage spécialisé. Il ne pourra peut-être pas faire tout ce qu'un athlète olympique peut faire, mais si vous avez besoin de trouver une personne spécifique dans un bâtiment effondré (une menace cyber spécifique), ce chien est plus rapide, moins cher à nourrir et mieux entraîné pour ce travail précis que l'athlète.

Les auteurs ont rendu leurs méthodes d'entraînement et leur meilleur modèle (la version 20B) en open source, afin que d'autres entreprises puissent construire leurs propres « chiens de sauvetage » sans repartir de zéro.

Résumé Technique : Vers des Petits Modèles de Langage Experts en Cybersécurité

Problématique

Bien que les grands modèles de langage (LLM) transforment les applications générales, ils accusent un retard dans les domaines spécialisés comme la cybersécurité en raison de la rareté des modèles et des jeux de données d'entraînement de haute qualité et spécifiques au domaine. L'adoption de modèles commerciaux de pointe pour les opérations de sécurité présente des défis importants : les garde-fous de sécurité stricts limitent souvent leur utilité dans les flux de travail réels, les exigences de conformité restreignent l'intégration de données organisationnelles sensibles, et le coût du traitement de volumes massifs de télémétrie de sécurité est prohibitif. Par conséquent, il existe un besoin critique de petits modèles de langage (SLM) spécialisés par domaine, capables de fonctionner sur site, de garantir la confidentialité des données et de fournir un raisonnement technique profond à travers la sécurité des réseaux, du cloud et des applications, sans la charge des modèles de taille frontale.

Méthodologie

Les auteurs proposent CyberPal 2.0, une famille de SLM experts en cybersécurité allant de 4B à 20B de paramètres. L'innovation centrale réside dans le pipeline de données d'entraînement, SecKnowledge 2.0, qui améliore le jeu de données SecKnowledge original grâce à un processus de reformatage et d'enrichissement multi-étapes.

Le Pipeline SecKnowledge 2.0

Le pipeline va au-delà du simple reformatage de données standard en intégrant un pilotage par l'expert en boucle (expert-in-the-loop) avec l'automatisation par LLM :

Définition de format par l'expert en boucle : Au lieu d'utiliser des modèles génériques, le système emploie un flux de travail semi-automatisé où les experts définissent des structures de raisonnement spécifiques (formats) pour des tâches de cybersécurité distinctes. Un LLM génère des formats candidats basés sur des descriptions de tâches et des exemples illustratifs, que les experts évaluent et affinent ensuite. Cela garantit que les traces de raisonnement sont alignées avec l'intention de l'expert et la logique du domaine.
Ancrage et récupération multi-étapes : Pour atténuer les hallucinations et garantir l'exactitude factuelle, le pipeline incorpore un composant de génération augmentée par récupération (RAG). Pour chaque tâche, le système génère des requêtes de recherche, les filtre par pertinence, récupère les résultats à partir de bases de données vectorielles ou du web, et les analyse pour ancrer les étapes de raisonnement dans des preuves externes.
Profondeur de raisonnement adaptative : Les données d'entraînement sont organisées pour inclure à la fois des exemples de chaîne de pensée (CoT) longs et étape par étape pour un raisonnement complexe, ainsi que des instructions concises et rapides pour les tâches plus légères. Ce mélange apprend aux modèles à adapter leur effort de raisonnement en fonction de la difficulté de la tâche.

Stratégie d'entraînement

Les modèles sont affinés (fine-tuned) en utilisant les modèles de base Qwen3 (4B, 8B, 14B) et gpt-oss-20b comme points de départ. Notamment, les auteurs ont constaté que l'initialisation à partir de modèles de base (pré-entraînés mais non post-entraînés/alignés) offrait des performances nettement supérieures à celles de départ de contreparties post-entraînées, particulièrement sur les benchmarks axés sur le raisonnement. L'entraînement utilise un taux d'apprentissage de $4 \times 10^{-5}$ , une longueur de contexte de 8192 et une taille de lot (batch size) de 3072 sur deux époques.

Contributions Clés

Pipeline SecKnowledge 2.0 : Un nouveau pipeline d'enrichissement de données combinant des structures de raisonnement pilotées par schéma et définies par des experts avec un ancrage documentaire multi-sources. Cette approche produit des traces de raisonnement de plus haute fidélité et ancrées dans les tâches par rapport aux méthodes de reformatage standard.
Suite de Modèles CyberPal 2.0 : Une famille de SLM open-source (4B–20B paramètres) spécialisés pour les opérations de cybersécurité, capables de gérer la détection, l'investigation, la chasse aux menaces (threat hunting) et la classification des données.
Évaluation Exhaustive : Les modèles ont été évalués contre une suite rigoureuse de benchmarks couvrant la gouvernance, l'intelligence sur les menaces, la réponse aux incidents et la génération de code sécurisé, incluant des comparaisons avec des modèles de pointe (ex: GPT-4o, o1, o3-mini, Sec-Gemini v1).

Résultats

L'évaluation démontre que les modèles CyberPal 2.0 surpassent systématiquement leurs modèles de base et rivalisent avec ou surpassent des modèles de pointe beaucoup plus grands :

Performance de base : Sur divers benchmarks, les modèles CyberPal 2.0 ont obtenu des gains moyens de 7 à 14 % par rapport à leurs modèles de base respectifs. Sur des tâches spécifiques comme le CTIBench-RCM (cartographie de la cause racine), les gains ont atteint 16 à 31 %.
Comparaison avec les modèles de pointe :
- Cartographie de la cause racine (RCM) : Le modèle de 20 milliards de paramètres a occupé la première place, surpassant Sec-Gemini v1, o1, o3-mini et GPT-4o. Le modèle de 4B s'est classé deuxième.
- Connaissance en Cyber Threat Intelligence (CTI) : Les modèles se sont classés deuxièmes seulement après Sec-Gemini v1, surpassant presque tous les autres modèles de pointe testés, y compris o1.
- Efficacité : Malgré une fraction de la taille des modèles de pointe, le modèle 20B a égalé ou dépassé leurs performances, tandis que le modèle 4B a surpassé des modèles nettement plus grands comme Mistral Large et DeepSeek-v3.
Cas d'utilisation réels : Dans des flux de travail appliqués tels que la cartographie des rapports de menaces vers les techniques MITRE ATT&CK et la réévaluation des scores de sévérité CVE sous des contraintes de déploiement spécifiques, les modèles ont montré des améliorations constantes par rapport aux bases (ex: +8,75 % de précision sur la cartographie menace-vers-TTP pour le modèle 4B).
Génération de code sécurisé : Bien que spécialisés dans le raisonnement de sécurité, les modèles ont maintenu des capacités robustes de génération de code sécurisé, les taux de réussite restant proches de leurs bases ajustées par instructions, indiquant que la spécialisation n'a pas compromis la sécurité du code.

Signification et Revendications

L'article affirme que CyberPal 2.0 démontre que des SLM compacts et spécifiques à un domaine peuvent offrir des capacités de niveau "frontière" pour les opérations de sécurité sans les coûts associés aux modèles de pointe. En exploitant le pipeline SecKnowledge 2.0 — spécifiquement la combinaison de structures de raisonnement définies par des experts et de l'ancrage par les preuves — les auteurs montrent qu'un jeu de données de haute qualité et spécialisé est plus impactant que le simple passage à l'échelle de la taille du modèle.

Ce travail répond aux contraintes pratiques de l'entreprise de sécurité, offrant des modèles qui sont :

Déployables sur site : Répondant aux obligations de confidentialité et de résidence des données.
Rentables : Gérant efficacement de gros volumes de données de sécurité.
Actionnables : Fournissant des conclusions défendables et ancrées dans des preuves pour l'investigation et la réponse aux menaces.

Les auteurs soulignent que leur approche privilégie la qualité des données et l'alignement spécifique au domaine plutôt que le nombre brut de paramètres, offrant une voie viable pour les entreprises souhaitant adopter l'IA avancée pour les opérations de sécurité défensive. Les modèles, le pipeline et les benchmarks sont publiés en open source pour favoriser la reproductibilité et l'adoption pratique.