RedSage: A Cybersecurity Generalist LLM

O artigo apresenta o RedSage, um assistente de cibersegurança de código aberto e localmente implantável, treinado com dados de domínio especializado e aumentação agênica, que supera modelos de base em benchmarks de cibersegurança e tarefas gerais de raciocínio.

O essencial

Imagine que a cibersegurança é como a segurança de um castelo medieval gigante. Antigamente, havia apenas alguns guardas experientes que conheciam cada pedra do castelo, cada armadilha e cada segredo. Mas hoje, os "invasores" (hacker) são como exércitos invisíveis e inteligentes que mudam de estratégia todos os dias. O problema é que faltam guardas suficientes para vigiar tudo, e os poucos que existem estão exaustos.

Aqui entra o RedSage, o protagonista desta história.

O Que é o RedSage?

Pense no RedSage não como um robô comum, mas como um aprendiz de guarda-mestre superdotado. Ele é uma Inteligência Artificial (um modelo de linguagem) feita especificamente para entender e ajudar em questões de segurança digital.

O que torna o RedSage especial é que ele é aberto e gratuito (como um livro de receitas público), o que significa que qualquer empresa ou organização pode baixá-lo e rodá-lo em seus próprios computadores, sem precisar enviar dados sensíveis para a nuvem de grandes empresas. É como ter um guarda-costas que você pode levar para casa, em vez de depender de um serviço de segurança que escuta tudo o que você diz.

Como eles criaram esse "Super-Aprendiz"?

A equipe de pesquisadores fez três coisas principais para treinar o RedSage, e podemos usar uma analogia de cozinha para entender:

1. A "Cozinha" de Ingredientes (Pré-treinamento)

Antes de cozinhar um prato gourmet, você precisa de ingredientes de alta qualidade.

• O Problema: A internet é um mar de informações, mas a maior parte é "lixo" ou irrelevante para segurança.
• A Solução: Eles criaram um filtro mágico (chamado CyberFineWeb) que vasculhou bilhões de páginas da internet e separou apenas o que era útil: manuais de hacking ético, listas de falhas de segurança, documentos oficiais e tutoriais.
• O Resultado: Eles juntaram 11,8 bilhões de "pedacinhos" de texto (tokens) focados apenas em segurança. É como se o aprendiz tivesse lido toda a biblioteca de segurança do mundo antes mesmo de começar a trabalhar.

2. O "Mestre Chef" e a Prática (Ajuste Fino)

Saber a teoria não basta; você precisa saber cozinhar na prática.

• O Desafio: Apenas ler livros não ensina a conversar ou a resolver problemas complexos em tempo real.
• A Solução: Eles usaram um sistema inteligente (chamado Agentic Augmentation) que age como um Mestre Chef. Esse sistema pegou os livros de teoria e criou 266.000 diálogos fictícios.
  • Exemplo: O sistema simula um cenário onde um "hacker" pergunta como entrar em um sistema e o "RedSage" responde explicando a falha e como consertá-la, passo a passo.
• O Resultado: O RedSage praticou milhares de conversas, aprendendo não apenas o que fazer, mas como explicar o que fazer, como um professor paciente.

3. O "Exame Final" (Benchmarks)

Como saber se o aprendiz realmente aprendeu?

• Eles criaram um teste chamado RedSage-Bench. Imagine uma prova de direção que não é apenas sobre marcar "X" no papel, mas também sobre:
  • Conhecimento: Saber a teoria das leis de trânsito.
  • Habilidade: Saber como manobrar o carro em uma situação de emergência.
  • Ferramentas: Saber usar o GPS, o rádio e os freios ABS corretamente.
• O RedSage passou nesse teste com notas muito altas, superando outros modelos famosos, mesmo sendo menor e mais leve.

Por que isso é importante para você?

1. Privacidade: Como o RedSage pode rodar no seu próprio computador (mesmo em placas de vídeo comuns), você não precisa enviar seus segredos corporativos ou dados pessoais para servidores de grandes empresas de tecnologia. É como ter um cofre em casa em vez de um banco público.
2. Acesso: Ele é gratuito. Isso significa que pequenas empresas, estudantes e pesquisadores podem ter acesso a um "especialista em segurança" de nível mundial, democratizando a proteção digital.
3. Inteligência Real: Diferente de outros assistentes que apenas "alucinam" (inventam coisas), o RedSage foi treinado para ser preciso e útil, capaz de ajudar a encontrar falhas em códigos ou explicar como proteger um servidor.

Resumo da Ópera

O RedSage é como um guarda-costas digital de bolso. Ele foi treinado lendo milhões de manuais de segurança e praticando em milhares de simulações de conversas. O resultado é um assistente inteligente, gratuito e privado que ajuda a proteger o mundo digital, tornando a segurança acessível para todos, não apenas para os grandes gigantes da tecnologia.

É um passo gigante para garantir que, na corrida contra os hackers, tenhamos mais guardas inteligentes e bem treinados do que nunca.

Resumo técnico

Aqui está um resumo técnico detalhado do artigo "RedSage: A Cybersecurity Generalist LLM", apresentado em português:

1. O Problema

O cenário de cibersegurança evolui rapidamente, exigindo estratégias de defesa proativas e abrangentes. No entanto, existem desafios significativos:

• Escassez de Habilidades: Há uma lacuna global de milhões de profissionais de cibersegurança não preenchidos.
• Limitações dos Modelos Atuais: As soluções existentes de LLMs (Large Language Models) para cibersegurança geralmente falham em um dos dois extremos:
  • Dependem de APIs proprietárias, o que levanta riscos de privacidade ao expor dados sensíveis.
  • São modelos de código aberto que carecem de adaptação de domínio adequada, resultando em desempenho inferior em tarefas especializadas.
• Falta de Benchmarks Abrangentes: Os benchmarks atuais focam frequentemente apenas em conhecimento teórico (MCQs), negligenciando habilidades práticas, proficiência em ferramentas e avaliação qualitativa de respostas abertas. Além disso, muitos conjuntos de dados e pipelines não são de código aberto, limitando a reprodutibilidade.

2. Metodologia

Os autores desenvolveram o RedSage, um assistente de cibersegurança de código aberto e localmente implantável, através de um pipeline centrado em dados que envolve três etapas principais:

A. Pré-treinamento Contínuo (Continual Pre-training)

Para dotar o modelo de conhecimento profundo de domínio sem esquecer o conhecimento geral:

• CyberFineWeb: Filtragem de um corpus web massivo (FineWeb) usando um classificador binário baseado em ModernBERT para extrair conteúdo de cibersegurança. Isso resultou em ~125 milhões de documentos.
• Replay de Conhecimento Geral: Para evitar o "esquecimento catastrófico", misturaram o corpus filtrado com dados educacionais gerais (FineWeb-Edu) em uma proporção de 30%.
• RedSage-Seed: Curadoria manual de recursos de alta qualidade (28.6K documentos, ~0.15B tokens) de fontes autoritativas como MITRE (ATT&CK, CAPEC, CWE), OWASP, manuais de ferramentas (Kali Linux, CLI) e tutoriais de hacking ético.
• RedSage-Dump: Adição de um conjunto de dados não categorizado (~459K documentos) de fontes confiáveis para aumentar a diversidade.
• Resultado: Um corpus de pré-treinamento final de 11.7 bilhões de tokens focado em cibersegurança.

B. Pós-treinamento e Aumento Agêntico (Agentic Augmentation)

Para transformar dados estáticos em diálogos realistas de assistente:

• Pipeline Agêntico: Utilizaram um framework inspirado no AgentInstruct com dois agentes:
  1. Planner Agent: Analisa os dados da semente (seed) e propõe estratégias de aumento (ex: simulação de varredura de rede, análise de vulnerabilidade).
  2. Augmenter Agent: Gera diálogos multi-turno baseados nessas estratégias, simulando interações entre um especialista e um analista.
• Dados Gerados: Produziram 266.000 conversas multi-turno (~353M tokens) cobrindo conhecimento, habilidades ofensivas e uso de ferramentas.
• Integração Geral: Combinaram esses dados com instruções gerais (SmolLM3) e aplicaram Otimização Direta de Preferência (DPO) usando o conjunto Tulu 3 para alinhar as respostas às preferências humanas.

C. Construção do Benchmark (RedSage-Bench)

Criaram um novo benchmark rigoroso para avaliação:

• 30.000 Questões de Múltipla Escolha (MCQ): Geradas e verificadas por LLMs com verificação humana, cobrindo conhecimento, frameworks e ferramentas.
• 240 Questões Abertas (Open-ended Q&A): Avaliadas por um "Júri LLM" (LLM-as-Judge) com critérios de correção factual e qualidade da resposta (utilidade, profundidade, detalhes).
• Taxonomia: O benchmark avalia explicitamente três pilares: Conhecimento (teoria), Habilidades (técnicas ofensivas/defensivas) e Proficiência em Ferramentas (CLI, Kali Linux).

3. Principais Contribuições

1. Corpus de Pré-treinamento em Escala: A criação do CyberFineWeb e RedSage-Seed, totalizando 11.8B tokens de dados de cibersegurança de alta qualidade.
2. Pipeline de Aumento Agêntico: Um método inovador para gerar 266K exemplos de SFT (Supervised Fine-Tuning) que simulam fluxos de trabalho reais de especialistas, superando a simples curadoria de Q&A.
3. RedSage-Bench: Um benchmark abrangente que preenche lacunas existentes ao incluir avaliação de proficiência em ferramentas e respostas abertas, com verificação rigorosa de qualidade.
4. Modelo Aberto e Eficiente: O lançamento do RedSage-8B, um modelo totalmente aberto (dados, código e pesos) que atinge estado da arte (SOTA) em sua classe de tamanho, permitindo implantação local e privada.

4. Resultados

O modelo RedSage-8B foi avaliado em comparação com modelos base (Llama-3.1-8B, Qwen3-8B) e modelos especializados (Foundation-Sec, DeepHat, Lily-Cybersecurity):

• Desempenho em Cibersegurança:
  • No RedSage-Bench, superou os modelos base em até +5.59 pontos em benchmarks de cibersegurança.
  • No Open LLM Leaderboard (tarefas gerais), superou os baselines em +5.05 pontos, demonstrando que o treinamento especializado não degradou a capacidade de raciocínio geral.
  • Em benchmarks estabelecidos (CTI-Bench, CyberMetric, SECURE, SecEval), o RedSage-8B-Ins (instruído) superou o Qwen3-8B em +5.59 pontos de média.
• Eficiência: O modelo de 8B parâmetros rivaliza com modelos muito maiores (como Qwen3-32B) e se aproxima do desempenho de modelos proprietários (GPT-5), mas com a vantagem de ser executável em GPUs de consumo, garantindo privacidade de dados.
• Análise de Habilidades: O modelo demonstrou superioridade específica em tarefas de ferramentas (CLI e Kali), onde outros modelos frequentemente falhavam em comandos sintáticos precisos.

5. Significado e Impacto

O trabalho do RedSage representa um avanço significativo na área de IA para cibersegurança:

• Privacidade e Segurança: Ao ser totalmente de código aberto e projetado para execução local, resolve o dilema de privacidade ao permitir que organizações analisem dados sensíveis sem enviá-los para APIs de terceiros.
• Reprodutibilidade: A liberação completa do pipeline de dados, scripts de treinamento e benchmarks permite que a comunidade científica valide e melhore os resultados, algo raro em modelos de segurança.
• Democratização de Expertise: O modelo atua como um multiplicador de força, ajudando a mitigar a escassez global de profissionais de segurança ao fornecer um assistente capaz de raciocínio complexo e uso de ferramentas.
• Validação de Metodologia: Demonstra que a combinação de pré-treinamento contínuo focado em domínio, aumento de dados via agentes e alinhamento de preferência é uma estratégia eficaz para criar especialistas de IA que mantêm capacidades gerais robustas.

Em resumo, o RedSage estabelece um novo padrão para assistentes de cibersegurança de IA, equilibrando desempenho de ponta, abertura e privacidade.