ThreatQwen: Domain-Adaptive Fine-Tuning of a 1.7B LLM for Security Event Classification and SOC Triage

हर दिन, बैंकों, अस्पतालों और सरकारी एजेंसियों की सुरक्षा टीमें डिजिटल अलार्म की बाढ़ का सामना करती हैं। ये अलर्ट उन स्वचालित प्रणालियों द्वारा ट्रिगर किए जाते हैं जो कंप्यूटर लॉग में संदिग्ध पैटर्न, जैसे कि असामान्य फ़ाइल मूवमेंट या अजीब नेटवर्क कनेक्शनों को स्कैन करते हैं। हालांकि ये सिस्टम संभावित खतरों को पहचानने में उत्कृष्ट हैं, लेकिन वे यह निर्णय नहीं ले सकते कि कोई अलर्ट वास्तविक खतरा है या एक हानिरहित गलती। यह अंतिम निर्णय, जिसे 'ट्राइएज' (triage) कहा जाता है, के लिए पारंपरिक रूप से एक मानव विश्लेषक की आवश्यकता होती है जो कच्चे डेटा को पढ़े और स्थिति का तर्कपूर्ण विश्लेषण करे। यह मैन्युअल प्रक्रिया धीमी है और अक्सर अलर्ट की भारी मात्रा से अभिभूत हो जाती है। हाल के वर्षों में, शक्तिशाली आर्टिफिशियल इंटेलिजेंस मॉडल यह दिखा चुके हैं कि वे इस प्रकार का तर्क करने में सक्षम हैं, लेकिन जिन संगठनों को इसकी सबसे अधिक आवश्यकता है, वे अक्सर इनका उपयोग नहीं कर पाते हैं। सख्त सुरक्षा नियम और गोपनीयता कानून इन टीमों को अपने संवेदनशील लॉग उन बाहरी सर्वरों पर भेजने से रोकते हैं जहाँ ये बड़े मॉडल स्थित होते हैं। उन्हें एक ऐसे समाधान की आवश्यकता है जो एक विशेषज्ञ की तरह सोच सके लेकिन पूरी तरह से उनकी अपनी सुरक्षित दीवारों के भीतर रहे।

एक नया अध्ययन 'थ्रेटक्वेन' (ThreatQwen) नामक एक समाधान पेश करता है, जो एक छोटा, विशिष्ट आर्टिफिशियल इंटेलिजेंस मॉडल है जिसे इंटरनेट कनेक्शन के बिना मानक कंप्यूटर हार्डवेयर पर स्थानीय रूप से चलाने के लिए डिज़ाइन किया गया है। शोधकर्ता ने एक कॉम्पैक्ट लैंग्वेज मॉडल (जो मानव भाषा को समझने और उत्पन्न करने के लिए प्रशिक्षित सॉफ्टवेयर का एक प्रकार है) को लिया और इसे विशेष रूप से सुरक्षा अलर्ट का विश्लेषण करना सिखाया। उन्होंने मॉडल को वास्तविक दुनिया के डिटेक्शन नियमों और सामान्य कंप्यूटर गतिविधि के सिंथेटिक उदाहरणों के एक विशाल संग्रह के माध्यम से प्रशिक्षित किया, जिससे उसे वास्तविक खतरों और हानिरहित घटनाओं के बीच अंतर करना सिखाया जा सके। परिणाम स्वरूप एक ऐसा उपकरण प्राप्त हुआ जो एक सुरक्षित कार्यालय में एक एकल कंप्यूटर पर बैठ सकता है, एक अलर्ट पढ़ सकता है, और तुरंत एक मानव ऑपरेटर को बता सकता है कि वह दुर्भावनापूर्ण है या हानिरहित। यह दृष्टिकोण अत्यधिक विनियमित संगठनों को अपने निजी डेटा को बाहरी दुनिया के सामने उजागर किए बिना उन्नत आर्टिफिशियल इंटेलिजेंस तर्क का उपयोग करने की अनुमति देता है।

मुख्य चुनौती जिसका शोधकर्ता ने समाधान किया, वह यह थी कि अधिकांश मौजूदा आर्टिफिशियल इंटेलिजेंस मॉडल स्थानीय मशीनों पर चलाने के लिए बहुत बड़े हैं और उन्हें सुरक्षा लॉग की विशिष्ट भाषा के लिए प्रशिक्षित नहीं किया गया है। इसे हल करने के लिए, टीम ने ओपन-सोर्स परियोजनाओं से हजारों वास्तविक डिटेक्शन नियमों और सामान्य कंप्यूटर व्यवहार के हजारों नए उदाहरणों को मिलाकर एक प्रशिक्षण डेटासेट बनाया। उन्होंने इन सामान्य उदाहरणों को उत्पन्न करने के लिए एक शक्तिशाली बाहरी आर्टिफिशियल इंटेलिजेंस का उपयोग किया, जिससे यह सुनिश्चित हुआ कि मॉडल ने खतरनाक और सुरक्षित घटनाओं का एक संतुलित मिश्रण देखा। यह अत्यंत महत्वपूर्ण था क्योंकि मूल डेटा खतरों की ओर अत्यधिक झुका हुआ था; सामान्य गतिविधि के अतिरिक्त उदाहरणों के बिना, मॉडल केवल हर चीज़ को खतरनाक के रूप में लेबल करना सीख जाता। डेटा को सावधानीपूर्वक संतुलित करके और कुछ ऐसे क्षेत्रों को हटाकर जो आसान शॉर्टकट के रूप में कार्य करते थे, शोधकर्ता ने मॉडल को सतही संकेतों के आधार पर अनुमान लगाने के बजाय वास्तव में घटनाओं के पैटर्न को सीखने के लिए मजबूर किया।

इसके बाद मॉडल को एक ऐसी तकनीक का उपयोग करके फाइन-ट्यून किया गया जो इसे पूरी तरह से पुनर्गठित किए बिना नए कार्यों को सीखने की अनुमति देती है, इस प्रक्रिया में एक मानक ग्राफिक्स कार्ड पर केवल कुछ ही घंटे लगे। 882 उदाहरणों के एक सेट पर परीक्षण किए जाने पर, जो वास्तविक खतरों और सामान्य घटनाओं के बीच समान रूप से विभाजित थे, नए मॉडल ने 95.1 प्रतिशत की सटीकता प्राप्त की। इसने वास्तविक खतरों को 96.1 प्रतिशत और सामान्य घटनाओं को 94.2 प्रतिशत सटीकता से सही ढंग से पहचाना। एक प्रत्यक्ष तुलना में, यह छोटा, स्थानीय रूप से चलने वाला मॉडल दुनिया के दो सबसे उन्नत, क्लाउड-आधारित आर्टिफिशियल इंटेलिजेंस सिस्टम से काफी बेहतर प्रदर्शन करता है, जो समान कार्यों पर 52 प्रतिशत से कम सटीकता प्राप्त करते हैं। क्लाउड मॉडल लगभग हर चीज़ को खतरा मानकर अनुमान लगाने की प्रवृत्ति रखते थे, जिससे वे सामान्य गतिविधि को पहचानने में विफल रहे, जबकि नए मॉडल ने उन सूक्ष्म अंतरों को सीखा जो सुरक्षा विशेषज्ञों के लिए महत्वपूर्ण हैं।

इस विकास को जो चीज़ विशेष रूप से महत्वपूर्ण बनाती है, वह है इसकी वास्तविक दुनिया के संचालन के लिए व्यावहारिकता। पूरा मॉडल, उसके विशेष प्रशिक्षण सहित, केवल 3.1 गीगाबाइट कंप्यूटर मेमोरी में समा जाता है, जो इतना छोटा है कि इसे कई कार्यालयों में पाए जाने वाले सिंगल कंज्यूमर-ग्रेड ग्राफिक्स कार्ड पर चलाया जा सकता है। इसके लिए किसी नेटवर्क कनेक्शन की आवश्यकता नहीं है, जिसका अर्थ है कि इसे 'एयर-गैप्ड' वातावरण में तैनात किया जा सकता है जहाँ कंप्यूटर सुरक्षा कारणों से इंटरनेट से भौतिक रूप से अलग होते हैं। यह बैंकों, रक्षा ठेकेदारों और खुफिया एजेंसियों को डेटा गोपनीयता नियमों का उल्लंघन किए बिना लाखों अलर्ट की प्रारंभिक समीक्षा को स्वचालित करने की अनुमति देता है। शोधकर्ता ने यह भी उल्लेख किया कि इस मॉडल को स्थानीय रूप से चलाना क्लाउड-आधारित सेवाओं के लिए भुगतान करने की तुलना में बहुत सस्ता है, जिसमें उच्च-मात्रा प्रसंस्करण के लिए क्लाउड प्लेटफॉर्म पर लगभग बीस डॉलर के मुकाबले प्रतिदिन दो डॉलर से भी कम खर्च आता है।

अध्ययन में कुछ सीमाएँ भी हैं जिन्हें लेखक ने खुले तौर पर स्वीकार किया है। प्रशिक्षण डेटा और सामान्य व्यवहार के परीक्षण उदाहरण कंप्यूटर द्वारा उत्पन्न किए गए थे, न कि सीधे लाइव, वास्तविक दुनिया के नेटवर्क से लिए गए थे। हालांकि डिटेक्शन नियम वास्तविक दुनिया में देखे गए हमलावर तकनीकों पर आधारित थे, लेकिन मॉडल का अभी तक लाइव सुरक्षा केंद्र के जटिल और अव्यवस्थित डेटा स्ट्रीम पर परीक्षण नहीं किया गया है। शोधकर्ता का कहना है कि अगला महत्वपूर्ण कदम मॉडल को वास्तविक दुनिया के टेलीमेट्री के विरुद्ध मान्य करना है ताकि यह सुनिश्चित हो सके कि यह उपयोग किए गए सिंथेटिक उदाहरणों से परे भी प्रभावी रहे। इसके अतिरिक्त, मॉडल वर्तमान में केवल अंग्रेजी समझता है, जिससे गैर-अंग्रेजी खतरे संबंधी सूचना स्रोत छूट जाते हैं। इन सीमाओं के बावजूद, यह कार्य प्रदर्शित करता है कि एक छोटा, ओपन-सोर्स मॉडल, जब सही डेटा पर सावधानीपूर्वक प्रशिक्षित किया जाता है, तो वह विशाल, सामान्य-उद्देश्य वाले सिस्टम से बेहतर विशिष्ट सुरक्षा कार्य कर सकता है, जो महत्वपूर्ण बुनियादी ढांचे के लिए सुरक्षित, स्थानीय आर्टिफिशियल इंटेलिजेंस का एक व्यवहार्य मार्ग प्रदान करता है।