Proactively Detecting Threats: A Novel Approach Using LLMs
यह शोध पत्र असंरचित वेब-आधारित थ्रेट इंटेलिजेंस से प्रोएक्टिवली इंडिकेटर्स ऑफ कॉम्प्रोमाइज (IoC) निकालने के लिए लार्ज लैंग्वेज मॉडल्स का पहला व्यवस्थित मूल्यांकन प्रस्तुत करता है, जो यह प्रदर्शित करता है कि जेमिनी 1.5 प्रो (Gemini 1.5 Pro) ने 479 रिपोर्टों में दुर्भावनापूर्ण खतरों की पहचान करने में पूर्ण रिकॉल और उच्च परिशुद्धता प्राप्त की है।
मूल पेपर CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) के तहत लाइसेंस किया गया है। नीचे दिए गए पेपर की यह व्याख्या AI से तैयार की गई है। इसे लेखकों ने न तो लिखा है, न इसका समर्थन किया है। तकनीकी सटीकता के लिए मूल पेपर देखें। पूरा डिस्क्लेमर पढ़ें
कल्पना कीजिए कि इंटरनेट एक विशाल, हलचल भरे शहर की तरह है जहाँ बुरे तत्व (हैकर्स) लगातार इमारतों (आपकी कंपनी के कंप्यूटरों) में घुसपैठ करने की कोशिश कर रहे हैं। आमतौर पर, सुरक्षा गार्ड तब तक पुलिस को नहीं बुलाते जब तक वे किसी चोर को ताला तोड़ते या खिड़की तोड़ते हुए नहीं देख लेते। इसे "रिएक्टिव" (प्रतिक्रियात्मक) सुरक्षा कहा जाता है—अपराध होने का इंतज़ार करना।
यह शोध पत्र एक नया तरीका प्रस्तावित करता है: प्रोएक्टिव (सक्रिय) सुरक्षा। घुसपैकी होने का इंतज़ार करने के बजाय, लेखक "स्काउट्स" (खोजियों) को स्थानीय समाचार पत्र, गपशप कॉलम और पुलिस रिपोर्ट पढ़ने के लिए भेजना चाहते हैं, ताकि अपराध होने से पहले ही इस बात के सुराग मिल सकें कि बुरे लोग कौन हैं और वे किन उपकरणों का उपयोग कर रहे हैं।
यहाँ शोधकर्ताओं द्वारा किए गए कार्यों और उनकी खोजों का एक सरल विवरण दिया गया है:
समस्या: बहुत अधिक शोर, बहुत सारे प्रारूप
इस शहर के "समाचार पत्र" ऑनलाइन प्रकाशित हजारों साइबर सुरक्षा रिपोर्ट हैं। समस्या यह है कि ये सभी अलग-अलग तरीके से लिखी गई हैं। एक रिपोर्ट में किसी खराब कंप्यूटर पते को एक नंबर के रूप में सूचीबद्ध किया जा सकता है, दूसरी में एक लिंक के रूप में, और तीसरी में एक कोड के रूप में। यह एक रेसिपी बुक में विशिष्ट सामग्री खोजने जैसा है जहाँ कुछ रेसिपी में कप का उपयोग होता है, कुछ में ग्राम का, और कुछ बस "एक चुटकी" लिखते हैं।
इस अव्यवस्था के कारण, सुरक्षा टीमों को इन रिपोर्टों को मैन्युअल रूप से पढ़ना पड़ता है ताकि वे "इंडिकेटर्स ऑफ कॉम्प्रोमाइज" (IOCs) को ढूंढ सकें—जो कि बुरे लोगों के डिजिटल फिंगरप्रिंट (जैसे खराब IP पते या वेबसाइट लिंक) हैं।
समाधान: AI "सुपर-रीडर्स" को काम पर रखना
लेखकों ने एक रोबोटिक सिस्टम बनाया जो स्वचालित रूप से इन अस्त-व्यस्त रिपोर्टों को 15 अलग-अलग स्रोतों से प्राप्त करता है। फिर, उन्होंने छह अलग-अलग प्रकार के लार्ज लैंग्वेज मॉडल्स (LLMs)—जो कि सुपर-स्मार्ट AI रीडर हैं जिन्हें भारी मात्रा में टेक्स्ट पर प्रशिक्षित किया गया है—को एक मानव विश्लेषक का काम करने के लिए कहा।
उन्होंने AI को एक सरल कार्य दिया: "इस पूरे वेबपेज को पढ़ें। क्या यह विशिष्ट जानकारी (जैसे कोई वेबसाइट लिंक या IP पता) एक सुराग है कि कोई हैकर हमले की योजना बना रहा है, या यह केवल सामान्य शोर है?"
प्रयोग: "टेस्ट ड्राइव"
उन्होंने इसका परीक्षण 2,600 से अधिक सुरागों वाले 479 वेबपेजों पर किया। वे देखना चाहते थे कि कौन सा AI मॉडल सबसे अच्छा "स्काउट" है।
- लक्ष्य: हर एक बुरे सुराग को पकड़ना (High Recall) बिना गलती से निर्दोष चीजों को बुरा घोषित किए (High Precision)।
- प्रतिद्वंद्वी: उन्होंने Google (Gemini), Alibaba (Qwen), और Meta (Llama) के मॉडल्स का परीक्षण किया।
परिणाम: दौड़ में कौन जीता?
परिणामों को एक खेल की तरह समझें जहाँ लक्ष्य गेंद को पकड़ना (बुरा सुराग) है बिना उसे गिराए, लेकिन बिना घास पर ठोकर खाए (निर्दोष डेटा) भी।
- विजेता (Gemini 1.5 Pro): यह मॉडल इस काम में सबसे अच्छा था। इसने वास्तव में सभी बुरे सुरागों को पकड़ा (100% रिकॉल)। यह यह जानने में भी बहुत अच्छा था कि क्या बुरा नहीं था, जिससे इसकी गलतियाँ बहुत कम हुईं। यह एक ऐसे गार्ड की तरह है जो कभी भी चोर को मिस नहीं करता और शायद ही कभी चिल्लाकर कहता है "रुको!" जब कोई निर्दोष डिलीवरी ड्राइवर आता है।
- संघर्ष करने वाला (Qwen 32B): इस मॉडल ने बहुत सारे बुरे सुराग छोड़ दिए। यह उस गार्ड की तरह था जो चोर को अपने पास से गुजरते हुए देखने के बजाय आसमान की ओर देखने में बहुत व्यस्त था।
- मिश्रित परिणाम (Llama 70B): इसने सभी बुरे सुरागों को पकड़ लिया (ठीक विजेता की तरह), लेकिन यह थोड़ा अधिक संदिग्ध (paranoid) था। इसने कुछ निर्दोष चीजों को भी बुरा घोषित कर दिया, जिससे मानव सुरक्षा टीम के लिए उन्हें छाँटने का अतिरिक्त काम बढ़ गया।
पेच: AI अभी भी भ्रमित क्यों होता है?
भले ही सबसे अच्छा AI भी गलतियाँ करता है, और शोध पत्र बताता है कि ऐसा क्यों होता है: संदर्भ (Context) ही सब कुछ है।
कल्पना कीजिए कि एक समाचार रिपोर्ट कहती है, "विलेन 'Darkside' को 'TrueSight' बिल्डिंग के पास देखा गया था।"
- मानव विश्लेषक जानता है कि "Darkside" एक हैकर समूह है और "TrueSight" एक सुरक्षा उपकरण है, इसलिए वह जानता है कि यह एक बुरी कहानी है।
- AI कभी-कभी भ्रमित हो जाता है। यदि वह URL में "Darkside" या "abuse" शब्द देखता है, तो उसे लग सकता है कि पूरी वेबसाइट ही बुरी है, भले ही वह वेबसाइट केवल उस हैकर के बारे में एक फाइल होस्ट करने वाला एक लाइब्रेरी हो।
शोध में पाया गया कि AI सबसे अधिक डोमेन नामों (वेबसाइट पते) के साथ संघर्ष करता है। वह अक्सर यह अंतर नहीं कर पाता कि कोई वेबसाइट बुरी फाइलों को होस्ट करती है या स्वयं वेबसाइट ही बुरी है। यह एक गार्ड के समान है जो "पिज्जा" का साइन देखकर यह मान लेता है कि पिज्जा की जगह ही अपराध स्थल है क्योंकि एक अपराधी ने कभी वहां से पिज्जा ऑर्डर किया था।
निचोड़
यह शोध पत्र सिद्ध करता है कि AI अस्त-व्यस्त, असंरचित समाचार रिपोर्टों में हैकर के सुरागों को प्रोएक्टिव तरीके से खोजने के लिए एक शक्तिशाली उपकरण हो सकता है, जिससे सुरक्षा टीमों को हर एक शब्द को मैन्युअल रूप से पढ़ने से बचाया जा सकता है।
हालांतु, AI अभी भी पूर्ण नहीं है। इसे केवल सुरागों को ही नहीं, बल्कि सुरागों के पीछे की कहानी को समझने में बेहतर होने की आवश्यकता है। लेखक सुझाव देते हैं कि भविष्य में, इन AI स्काउट्स को PDF पढ़ने, स्क्रीनशॉट देखने और यहाँ तक कि और भी जटिल खतरों को समझने के लिए प्रशिक्षित किया जा सकता है, जिससे हमारे डिजिटल शहरों को पहली ईंट फेंके जाने से पहले ही सुरक्षित बनाया जा सके।
अपने क्षेत्र के पेपरों की भीड़ में उलझे हुए हैं?
आपके रिसर्च कीवर्ड से मेल खाने वाले सबसे नए और अलग सोच वाले पेपरों का रोज़ाना Digest पाएँ—तकनीकी सारांश के साथ, आपकी भाषा में।