Towards Small Language Models for Security Query Generation in SOC Workflows
यह शोध पत्र सुरक्षा संचालन केंद्रों (Security Operations Centers) के लिए उच्च-सटीक प्राकृतिक भाषा-से-KQL अनुवाद प्राप्त करने हेतु एरर-अवेयर प्रॉम्प्टिंग, रैशनले डिस्टिलेशन और एक टू-स्टेज रिफाइनमेंट आर्किटेक्चर के साथ स्मॉल लैंग्वेज मॉडल्स का लाभ उठाने वाले एक लागत प्रभावी, थ्री-नॉब फ्रेमवर्क का प्रस्ताव करता है, जो बड़े भाषा मॉडलों की तुलना में टोकन लागत को काफी कम करते हुए सिंटैक्स और सिमेंटिक मेट्रिक्स पर मजबूत प्रदर्शन बनाए रखता है।
मूल पेपर CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) के तहत लाइसेंस किया गया है। नीचे दिए गए पेपर की यह व्याख्या AI से तैयार की गई है। इसे लेखकों ने न तो लिखा है, न इसका समर्थन किया है। तकनीकी सटीकता के लिए मूल पेपर देखें। पूरा डिस्क्लेमर पढ़ें
कल्पना कीजिए कि आप एक विशाल, हाई-टेक पुलिस स्टेशन (एक सिक्योरिटी ऑपरेशंस सेंटर, या SOC) में एक जासूस हैं। हर दिन, कैमरों, कंप्यूटरों और नेटवर्क से लाखों डिजिटल "गवाह बयान" (लॉग्स) आते हैं। एक विशिष्ट अपराधी को खोजने के लिए, आपको डेटाबेस से एक बहुत ही विशिष्ट प्रश्न पूछने की आवश्यकता है, जिसे KQL नामक एक गुप्त, जटिल कोड का उपयोग करके पूछा जाता है।
समस्या क्या है? इस कोड को लिखना एक विदेशी भाषा बोलने जैसा है जिसे केवल कुछ विशेषज्ञ ही जानते हैं। यदि आप गलत प्रश्न पूछते हैं, तो आपको कोई उत्तर नहीं मिलेगा। यदि आप थोड़ा सा भी गलत प्रश्न पूछते हैं, तो आप गलती से खुद को बाहर कर सकते हैं या गलत संदिग्ध चुन सकते हैं।
यह शोध पत्र एक सरल प्रश्न पूछता है: क्या हम एक छोटे, सस्ते और तेज़ कंप्यूटर दिमाग (एक "स्मॉल लैंग्वेज मॉडल" या SLM) को हमारे साधारण अंग्रेजी प्रश्नों को इस गुप्त कोड में अनुवाद करने के लिए सिखा सकते हैं, ताकि सामान्य जासूस अपराधों को तेज़ी से सुलझा सकें?
यहाँ उनके समाधान का विवरण दिया गया है, कुछ रोज़मर्रा के उदाहरणों का उपयोग करते हुए:
1. समस्या: "विशेषज्ञ" की बाधा
वर्तमान में, आपको अपने प्रश्न ("मुझे वे सभी कंप्यूटर दिखाएं जो कल उस संदिग्ध IP एड्रेस से जुड़े थे") को KQL में अनुवाद करने के लिए एक वरिष्ठ कोड-विज़ार्ड की आवश्यकता होती है।
- पुराना तरीका: आप अनुवाद करने के लिए एक बहुत ही महंगा, धीमा और ऊर्जा-खपत करने वाला "सुपर-ब्रेन" (एक लार्ज लैंग्वेज मॉडल या LLM) किराए पर लेते हैं। यह बेहतरीन है, लेकिन यह एक बड़ी कीमत वसूलता है और समय लेता है।
- नया विचार: क्या हम एक "जूनियर डिटेक्टिव" (एक स्मॉल लैंग्वेज मॉडल) का उपयोग कर सकते हैं? वे तेज़, सस्ते और एक साधारण लैपटॉप पर चल सकते हैं, लेकिन वे अपने आप में बहुत बुद्धिमान नहीं होते हैं। वे अक्सर भ्रमित हो जाते हैं (गलत जानकारी बना लेते) या व्याकरण गलत कर देते हैं।
2. समाधान: तीन-चरणीय प्रशिक्षण शिविर
लेखकों ने जूनियर डिटेक्टिव को केवल काम पर नहीं लगाया। उन्होंने उन्हें प्रो बनाने के लिए एक तीन-चरणीय प्रशिक्षण शिविर बनाया।
चरण A: "चीट शीट" (प्रॉम्प्टिंग)
कल्पना कीजिए कि आप जूनियर डिटेक्टिव को एक चीट शीट दे रहे हैं जिसमें लिखा है, "हे, अंत में सेमीकोलन लगाना मत भूलना, और टेबल के नामों को आपस में मत मिलाना!"
- उन्होंने क्या किया: उन्होंने उन सबसे आम गलतियों का पता लगाया जो ये छोटे मॉडल करते हैं (जैसे ब्रैकेट भूल जाना या गलत टेबल के नाम इस्तेमाल करना) और प्रॉम्प्ट में विशिष्ट "एरर-अवेयर" निर्देश जोड़ दिए।
- परिणाम: जूनियर डिटेक्टिव ने बिना अतिरिक्त दिमागी शक्ति के अपनी मूर्खतापूर्ण व्याकरण संबंधी गलतियाँ करना बंद कर दिया।
चरण B: "मेंटरशिप" (डिस्टिलेशन के साथ फाइन-ट्यूनिंग)
कल्पना कीजिए कि जूनियर डिटेक्टिव एक परीक्षा के लिए पढ़ाई कर रहा है। केवल उत्तर कुंजी को रटने के बजाय, एक मेंटर (एक शक्तिशाली LLM) उन्हें समझाता है कि उन्होंने समस्या को कैसे हल किया।
- उन्होंने क्या किया: उन्होंने एक शक्तिशाली AI का उपयोग हजारों अभ्यास प्रश्न और उत्तर उत्पन्न करने के लिए किया, लेकिन उन्होंने प्रत्येक के लिए एक "सोचने की प्रक्रिया" (थॉट प्रोसेस) का विवरण भी जोड़ा। फिर उन्होंने छोटे मॉडल को इसी तर्क (रीजनिंग) की नकल करना सिखाया।
- परिणाम: छोटे मॉडल ने केवल आउटपुट देना ही नहीं, बल्कि सोचना सीखा।
चरण C: "दो-चरणीय असेंबली लाइन" (आर्किटेक्चर)
यह इस शोध पत्र का सबसे बड़ा नवाचार है। कल्पना कीजिए कि एक फैक्ट्री लाइन है:
- चरण 1 (तेज़ कार्यकर्ता): सस्ता, तेज़ जूनियर डिटेक्टिव (SLM) जल्दी से 5 अलग-अलग उत्तर तैयार करता है। यह तेज़ और सस्ता है, लेकिन शायद थोड़ा लापरवाह हो सकता है।
- चरण 2 (क्वालिटी इंस्पेक्टर): एक थोड़ा अधिक स्मार्ट, लेकिन फिर भी किफायती, "इंस्पेक्टर" (एक छोटा LLM) उन 5 ड्राफ्ट्स को देखता है। वह सबसे अच्छा ड्राफ्ट चुनता है, बची हुई गलतियों को ठीक करता है, और इसे नियम पुस्तिका (डेटाबेस स्कीमा) के विरुद्ध जांचता है ताकि यह सुनिश्चित हो सके कि यह समझ में आता है।
- परिणाम: आपको जूनियर डिटेक्टिव की गति और कम लागत मिलती है, लेकिन क्वालिटी इंस्पेक्टर की उच्च सटीकता भी मिलती है।
3. परिणाम: तेज़, सस्ता और सटीक
उन्होंने इस सिस्टम का परीक्षण "सुपर-ब्रेन" (जैसे GPT-5) के विरुद्ध किया।
- सटीकता: नया सिस्टम महंगे सुपर-ब्रेन के लगभग बराबर था। इसने 98.7% बार व्याकरण सही किया और 90.6% बार अर्थ सही निकाला।
- लागत: यह सबसे बड़ी जीत है। नया सिस्टम महंगे सुपर-ब्रेन की तुलना में 10 गुना कम खर्च में काम करता है।
- गति: यह बहुत तेज़ था, जो वास्तविक समय में साइबर हमले को रोकने के लिए अत्यंत महत्वपूर्ण है।
बड़ी तस्वीर
इसे खाना पकाने के रूप में सोचें।
- पुराना तरीका: आप अपने रेस्तरां के लिए हर भोजन पकाने के लिए एक विश्व प्रसिद्ध, मिशलिन-स्टार शेफ (LLM) को काम पर रखते हैं। स्वाद अद्भुत होता है, लेकिन यह अविश्वसनीय रूप से महंगा और धीमा है।
- नया तरीका: आप सामग्री तैयार करने और बुनियादी चीजें पकाने के लिए एक तेज़, स्थानीय कुक (SLM) को काम पर रखते हैं। फिर, एक हेड शेफ (द ओरकल) होता है जो बस व्यंजन को चखता है, थोड़ा नमक डालता है, और प्लेटिंग को ठीक करता है।
- परिणाम: खाना उतना ही अच्छा लगता है, लेकिन आप उसी कीमत पर 10 गुना अधिक लोगों को खिला सकते हैं।
संक्षेप में: यह शोध पत्र साबित करता है कि हमें सुरक्षा कार्यों को संभालने के लिए महंगे, धीमे AI दिग्गजों पर निर्भर रहने की आवश्यकता नहीं है। एक तेज़, छोटे AI को एक स्मार्ट "क्वालिटी चेक" चरण के साथ जोड़कर, हम साइबर सुरक्षा को तेज़, सस्ता और सभी के लिए सुलभ बना सकते हैं।
अपने क्षेत्र के पेपरों की भीड़ में उलझे हुए हैं?
आपके रिसर्च कीवर्ड से मेल खाने वाले सबसे नए और अलग सोच वाले पेपरों का रोज़ाना Digest पाएँ—तकनीकी सारांश के साथ, आपकी भाषा में।