ThreatQwen: Domain-Adaptive Fine-Tuning of a 1.7B LLM for Security Event Classification and SOC Triage

Chaque jour, les équipes de sécurité des banques, des hôpitaux et des agences gouvernementales sont confrontées à un déluge d'alarmes numériques. Ces alertes sont déclenchées par des systèmes automatisés qui recherchent des modèles suspects dans les journaux informatiques, tels que des mouvements de fichiers inhabituels ou des connexions réseau étranges. Bien que ces systèmes soient excellents pour détecter des menaces potentielles, ils ne peuvent pas décider si une alerte est un danger réel ou une erreur inoffensive. Ce jugement final, appelé triage, a traditionnellement nécessité l'intervention d'un analyste humain pour lire les données brutes et raisonner sur la situation. Ce processus manuel est lent et souvent submergé par le volume considérable d'alertes. Ces dernières années, de puissants modèles d'intelligence artificielle ont montré qu'ils pouvaient effectuer ce type de raisonnement, mais les organisations qui ont le plus besoin de cette aide ne peuvent souvent pas les utiliser. Des règles de sécurité strictes et des lois sur la confidentialité empêchent ces équipes d'envoyer leurs journaux sensibles vers des serveurs externes où résident ces grands modèles. Elles ont besoin d'une solution capable de réfléchir comme un expert tout en restant entièrement à l'intérieur de leurs propres murs sécurisés.

Une nouvelle étude présente une solution appelée ThreatQwen, un petit modèle d'intelligence artificielle spécialisé, conçu pour fonctionner localement sur du matériel informatique standard sans avoir besoin d'une connexion Internet. Le chercheur a pris un modèle de langage compact, qui est un type de logiciel entraîné pour comprendre et générer le langage humain, et lui a appris spécifiquement comment analyser les alertes de sécurité. Il a nourri le modèle avec une vaste collection de règles de détection réelles et d'exemples synthétiques d'activité informatique normale, lui apprenant à distinguer les menaces réelles des événements inoffensifs. Le résultat est un outil capable de s'installer sur un seul ordinateur dans un bureau sécurisé, de lire une alerte et de dire immédiatement à un opérateur humain s'il s'agit d'un événement malveillant ou bénin. Cette approche permet aux organisations hautement réglementées d'utiliser le raisonnement de l'intelligence artificielle avancée sans jamais exposer leurs données privées au monde extérieur.

Le défi central auquel le chercheur a fait face était que la plupart des modèles d'intelligence artificielle existants sont trop volumineux pour fonctionner sur des machines locales et ne sont pas entraînés sur le langage spécifique des journaux de sécurité. Pour résoudre cela, l'équipe a construit un ensemble de données d'entraînement en combinant des milliers de règles de détection réelles provenant de projets open-source avec des milliers de nouveaux exemples de comportement informatique normal. Ils ont utilisé une intelligence artificielle externe puissante pour générer ces exemples normaux, garantissant ainsi que le modèle voie un mélange équilibré d'événements dangereux et sûrs. Cela était crucial car les données originales étaient fortement biaisées en faveur des menaces ; sans l'ajout d'exemples d'activité normale, le modèle aurait appris à simplement étiqueter tout comme dangereux. En équilibrant soigneusement les données d'entraînement et en supprimant certains champs qui servaient de raccourcis faciles, le chercheur a forcé le modèle à réellement apprendre les modèles des événements plutôt qu'à deviner en se basant sur des indices superficiels.

Le modèle a ensuite été affiné à l'aide d'une technique qui permet d'apprendre de nouvelles tâches sans avoir besoin d'être complètement reconstruit, un processus qui n'a pris que quelques heures sur une carte graphique standard. Testé sur un ensemble de 882 exemples, répartis équitablement entre menaces réelles et événements normaux, le nouveau modèle a atteint une précision de 95,1 %. Il a correctement identifié 96,1 % des menaces réelles et 94,2 % des événements normaux. Dans une comparaison directe, ce petit modèle fonctionnant localement a nettement surpassé deux des systèmes d'intelligence artificielle basés sur le cloud les plus avancés au monde, qui ont obtenu un score d'exactitude inférieur à 52 % sur les mêmes tâches. Les modèles basés sur le cloud avaient tendance à supposer que presque tout était une menace, échouant à reconnaître l'activité normale, tandis que le nouveau modèle a appris les nuances subtiles qui comptent pour les experts en sécurité.

Ce qui rend ce développement particulièrement significatif est sa dimension pratique pour les opérations de sécurité réelles. L'ensemble du modèle, y compris son entraînement spécialisé, tient dans seulement 3,1 gigaoctets de mémoire informatique, ce qui est assez petit pour fonctionner sur une seule carte graphique de consommation courante que l'on trouve dans de nombreux bureaux. Il ne nécessite aucune connexion réseau, ce qui signifie qu'il peut être déployé dans des environnements isolés (air-gapped) où les ordinateurs sont physiquement isolés d'Internet pour des raisons de sécurité. Cela permet aux banques, aux sous-traitants de la défense et aux agences de renseignement d'automatiser l'examen initial de millions d'alertes sans violer les réglementations sur la confidentialité des données. Le chercheur a également noté que faire fonctionner ce modèle localement est nettement moins coûteux que de payer pour des services basés sur le cloud, coûtant moins de deux dollars par jour pour un traitement à haut volume contre près de vingt dollars pour le même travail sur une plateforme cloud.

L'étude présente des limites que l'auteur reconnaît ouvertement. Les données d'entraînement et les exemples de test pour le comportement normal ont été générés par des ordinateurs plutôt que directement à partir de réseaux réels en direct. Bien que les règles de détection soient basées sur des techniques d'attaque réelles observées sur le terrain, le modèle n'a pas encore été testé sur les flux de données complexes et désordonnés d'un centre de sécurité en activité. Le chercheur affirme que la prochaine étape critique est de valider le modèle par rapport à une télémétrie réelle afin de s'assurer qu'il se généralise bien au-delà des exemples synthétiques utilisés dans l'étude. De plus, le modèle ne comprend actuellement que l'anglais, laissant de côté les sources de renseignement sur les menaces non anglophones. Malgré ces réserves, ce travail démontre qu'un petit modèle open-source, lorsqu'il est soigneusement entraîné sur les bonnes données, peut accomplir des tâches de sécurité spécialisées mieux que des systèmes massifs à usage général, offrant une voie viable pour une intelligence artificielle locale et sécurisée dans les infrastructures critiques.