🤖 AI

Retrieval-Augmented LLMs for Security Incident Analysis

Cet article présente un système d'analyse des incidents de sécurité basé sur la récupération augmentée par génération (RAG) qui combine un filtrage ciblé et un raisonnement sémantique pour reconstruire efficacement les séquences d'attaque, démontrant que cette approche surpasse les modèles LLM standards en précision et en rentabilité.

Auteurs originaux : Xavier Cadet, Aditya Vikram Singh, Harsh Mamania, Edward Koh, Alex Fitts, Dirk Van Bruggen, Simona Boboila, Peter Chin, Alina Oprea

Publié 2026-03-20

📖 4 min de lecture☕ Lecture pause café

CC BY 4.0

Auteurs originaux : Xavier Cadet, Aditya Vikram Singh, Harsh Mamania, Edward Koh, Alex Fitts, Dirk Van Bruggen, Simona Boboila, Peter Chin, Alina Oprea

Article original sous licence CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Ceci est une explication générée par l'IA de l'article ci-dessous. Elle n'a pas été rédigée ni approuvée par les auteurs. Pour une précision technique, consultez l'article original. Lire la clause de non-responsabilité complète

Imaginez que vous êtes un détective privé chargé de résoudre un crime informatique. Le problème ? La scène du crime est gigantesque : des millions de pièces de preuve (des journaux d'activité, des alertes, des connexions) sont éparpillées dans une immense bibliothèque remplie de bruit. Votre travail consiste à trouver les quelques indices qui révèlent le coupable, ce qui prendrait des jours à un humain.

C'est exactement le problème que cette recherche de Dartmouth College et de l'Université Northeastern cherche à résoudre. Ils ont créé un assistant d'enquêteur ultra-intelligent basé sur l'Intelligence Artificielle (IA).

Voici comment cela fonctionne, expliqué simplement avec des analogies :

1. Le Problème : La Bibliothèque du Chaos

Dans le monde de la cybersécurité, les ordinateurs génèrent des tonnes de "bruit" (des connexions normales, des mots de passe valides, etc.). Quand un pirate attaque, il se cache dans ce bruit.

L'ancienne méthode : C'est comme demander à un humain de lire tous les livres d'une bibliothèque géante pour trouver un seul mot caché. C'est lent, épuisant, et on rate souvent la preuve.
Le problème des IA classiques : Si on donne tous ces livres à une IA (un "Grand Modèle de Langage"), elle s'étouffe. Elle ne peut pas tout lire d'un coup (elle a une "mémoire" limitée) et elle risque d'inventer des faits (halluciner) parce qu'elle est noyée sous les données.

2. La Solution : Le Système "RAG" (Le Détective avec un Filtre)

Les auteurs ont créé un système qui ne donne pas tout à l'IA. Ils utilisent une technique appelée RAG (Génération Augmentée par Rétroaction).

Imaginez que votre détective IA a deux assistants très efficaces :

L'Assistant Filtre (Le Trieur) : Avant que l'IA ne lise quoi que ce soit, cet assistant parcourt la bibliothèque. Il ne lit pas tout, il cherche seulement des mots-clés précis (comme "passeport volé" ou "porte forcée"). Il rassemble uniquement les pages pertinentes et les résume en quelques fiches claires. C'est comme si quelqu'un vous donnait uniquement les photos de la scène de crime, sans les pages de blabla.
Le Détective IA (Le Raisonneur) : Une fois qu'il a ces fiches résumées, l'IA les lit. Grâce à sa capacité à comprendre le langage naturel, elle relie les points : "Tiens, cette personne a ouvert la porte, puis a pris le coffre-fort, et a appelé ce numéro." Elle reconstruit l'histoire du crime.

3. Les Résultats de l'Expérience

Les chercheurs ont testé ce système sur deux types de crimes :

Des virus informatiques (comme un cambriolage rapide).
Des attaques complexes (comme un espionnage qui dure plusieurs jours dans un réseau d'entreprise).

Ce qu'ils ont découvert :

Sans le filtre (RAG) : Si on donne les données brutes à l'IA, elle rate tout le matériel du pirate. Elle trouve la victime, mais pas comment le pirate est entré. C'est comme si le détective trouvait le corps mais ne voyait pas l'arme du crime.
Avec le filtre : Le système trouve 100 % des indices dans la plupart des cas. Il réussit à dire : "Le pirate est entré par ici, a utilisé cet outil, et s'est caché là."
Le choix du détective : Ils ont testé plusieurs IA (comme Claude, DeepSeek, GPT).
- Certaines sont excellentes mais très chères (comme un détective privé de luxe).
- D'autres, comme DeepSeek, sont tout aussi brillantes mais coûtent 15 fois moins cher. C'est le meilleur rapport qualité-prix.
- Curieusement, une IA spécialisée uniquement en sécurité n'a pas été meilleure qu'une IA générale. Cela prouve que l'intelligence de raisonnement est plus importante que d'avoir appris par cœur des manuels de sécurité.

4. Pourquoi c'est génial ?

Ce système permet de :

Gagner du temps : Au lieu de passer des heures à chercher, l'analyse se fait en quelques minutes.
Économiser de l'argent : En utilisant les bons modèles d'IA, les entreprises peuvent analyser des milliers d'incidents sans se ruiner.
Être précis : Il ne se contente pas de dire "il y a un problème", il explique comment le problème s'est produit, étape par étape, comme un récit policier.

En résumé :
Cette recherche montre que pour résoudre des crimes informatiques complexes, on ne doit pas simplement jeter des montagnes de données à une IA. Il faut d'abord utiliser un filtre intelligent pour extraire l'essentiel, puis laisser l'IA raconter l'histoire. C'est la combinaison parfaite entre un trieur rapide et un détective brillant, rendant la cybersécurité plus rapide, moins chère et plus efficace pour tout le monde.

Résumé Technique : Analyse d'Incidents de Sécurité par des LLMs Augmentés par la Rétroaction (RAG)

1. Problématique

L'investigation des incidents de cybersécurité est un processus extrêmement laborieux et chronophage. Les analystes des centres d'opérations de sécurité (SOC) doivent trier des volumes massifs de données provenant de sources hétérogènes (alertes de détection d'intrusion, trafic réseau, événements d'authentification) pour reconstituer la chaîne d'attaque.
Les défis majeurs identifiés sont :

Volume de données : Un seul incident peut générer des millions d'entrées de logs, dépassant largement les limites de contexte des modèles de langage (LLM).
Bruit de fond : Les indicateurs d'attaque réels sont noyés dans une activité normale (authentifications bénignes, connexions routinières).
Limites des approches actuelles : Les systèmes basés sur des signatures ou des règles statiques ne généralisent pas aux attaques inconnues. Les approches d'apprentissage automatique actuelles fournissent des classements ou des scores d'anomalie, mais ne reconstruisent pas le récit narratif de l'attaque nécessaire aux analystes.
Inapplicabilité du "Raw Logs" : Injecter directement des logs bruts dans un LLM est impossible en raison des limites de contexte et du coût de calcul.

2. Méthodologie : Architecture RAG-Sécurité

Les auteurs proposent un système basé sur la Génération Augmentée par Rétroaction (RAG) conçu spécifiquement pour l'analyse de logs de sécurité. L'architecture se décompose en deux phases principales :

A. Extraction de Contexte de Sécurité (Security Context Extraction)

Au lieu de fournir les logs bruts au LLM, le système applique une couche de prétraitement intelligente :

Requêtes ciblées (IOC Queries) : Un ensemble de requêtes prédéfinies (basées sur des indicateurs de compromission - IOC) est exécuté sur les logs bruts (via des outils comme Suricata, Zeek, Windows Event Logs). Ces requêtes sont associées à des techniques du cadre MITRE ATT&CK.
Agrégation : Les résultats des requêtes sont compressés en "agrégats" sémantiques (ex: nombre de connexions, volumes de téléchargements, anomalies d'authentification) plutôt que de simples segments de texte. Cela réduit des milliers d'événements à des résumés riches en informations.
Encodage et Indexation : Ces agrégats sont convertis en vecteurs (embeddings) et stockés dans une base de données vectorielle (FAISS).

B. Analyse par LLM Augmenté (RAG-LLM Analysis)

Recherche Sémantique : Pour chaque question forensique posée par l'analyste, le système récupère les $k$ chunks (morceaux) les plus pertinents dans la base vectorielle.
Construction du Prompt : Le LLM reçoit la question, un contexte réseau (topologie), et les chunks récupérés contenant les preuves.
Génération de Réponse : Le LLM agit comme un analyste de cybersécurité pour répondre à des questions structurées (ex: "Quel est l'hôte infecté ?", "Quels sont les serveurs C2 ?") ou reconstruire la séquence de l'attaque.

Fonctionnement en deux modes :

Réponse à des questions forensiques : Identification d'hôtes, d'utilisateurs, de domaines malveillants.
Reconstruction d'attaque : Création d'un récit causal reliant des événements discrets pour expliquer la progression de l'attaquant.

3. Contributions Clés

Formalisation du problème : Définition de l'analyse d'incidents comme une tâche de question-réponse avec des types de réponses spécifiques (IP, hostname, ensembles de domaines) nécessitant des fonctions de matching adaptées.
Architecture RAG "Sécurité-Aware" : Conception d'un pipeline de récupération qui préserve les relations inter-événements (ex: corrélation entre une demande de certificat et une authentification Kerberos) via l'agrégation et le découpage sémantique.
Évaluation comparative des fournisseurs LLM : Analyse de huit configurations (API Cloud et déploiement local) sur des scénarios réels, incluant une analyse coût-efficacité.
Preuve de concept sur la corrélation : Démonstration que le système peut distinguer des opérations individuellement légitimes mais collectivement malveillantes (ex: abus de modèle de certificat ESC1 dans Active Directory).

4. Résultats Expérimentaux

Scénarios Évalués

Trafic Malveillant (4 scénarios) : Fake Authenticator, NetSupport RAT, Koi Stealer, IcedID.
Attaque Active Directory (1 scénario) : Simulation d'une équipe rouge (Red Team) contre un environnement Windows (compromission initiale, vol de certificats, mouvement latéral).

Performance et Métriques

Rappel (Recall) sur les scénarios Malware :
- Claude Sonnet 4 et DeepSeek V3 ont atteint 100% de rappel sur les 4 scénarios.
- Les modèles locaux (Llama 3.1:70b et Cisco Foundation-Sec-8B) ont obtenu 95% et 90% respectivement.
- Les modèles GPT (4, 4o, 5) ont montré des performances variables (60-85%), souvent en échouant à corréler les indicateurs sur les attaques complexes (ex: IcedID).
Précision et Rappel sur Active Directory :
- Détection des étapes d'attaque : 100% de précision et 82% de rappel.
- Recommandations de défense : 100% de couverture des types d'actions défensives nécessaires.
Étude d'ablation (RAG vs Sans RAG) :
- Sans RAG (logs bruts), les modèles ne parviennent à identifier aucune infrastructure d'attaque (serveurs C2, domaines malveillants) car ils ne voient que les premiers logs bénins à cause des limites de contexte. Le rappel chute à 0% pour les infrastructures.
- Cela prouve que le prétraitement par RAG est essentiel.

Analyse Coût-Efficacité

DeepSeek V3 s'est avéré être le fournisseur le plus rentable, offrant les mêmes performances que Claude Sonnet 4 (100% de rappel) mais à un coût 15 fois inférieur (0,008 $ vs 0,12 $ par analyse).
Le déploiement local (Llama) offre une confidentialité des données avec une précision acceptable, bien que le temps de traitement soit plus long.

Observations sur les Modèles

Les modèles spécialisés en sécurité (Cisco Foundation-Sec-8B) n'ont pas surpassé les modèles généraux, suggérant que la capacité de raisonnement est plus critique que le pré-entraînement spécifique au domaine pour ces tâches forensiques complexes.
La taille du contexte ( $k$ ) est cruciale : un nombre insuffisant de chunks récupérés empêche la corrélation nécessaire pour détecter les chaînes d'attaque multi-étapes.

5. Signification et Impact

Ce travail démontre qu'il est possible de surmonter les limites des LLMs (contexte, hallucinations) dans le domaine de la cybersécurité en combinant :

Filtrage par requêtes ciblées pour extraire les indicateurs pertinents.
RAG pour fournir un contexte sémantique riche et corrélé.
Raisonnement sémantique pour reconstruire des attaques complexes à partir de logs disparates.

Le système permet une analyse d'incidents rapide (moins de 2 minutes par incident pour le malware, <1 minute pour les fenêtres AD) et économique, rendant l'assistance par IA viable pour les SOC confrontés à une pénurie d'analystes. Il marque une avancée significative par rapport aux simples systèmes de triage d'alertes, offrant une capacité de reconstruction narrative et de recommandation de défense actionnable.