ThreatQwen: Domain-Adaptive Fine-Tuning of a 1.7B LLM for Security Event Classification and SOC Triage

每天，银行、医院和政府机构的安全团队都面临着海量的数字警报。这些警报是由自动化系统触发的，这些系统负责扫描计算机日志中的可疑模式，例如异常的文件移动或奇怪的网络连接。虽然这些系统在发现潜在威胁方面表现出色，但它们无法判断一个警报是真正的危险还是无害的错误。这种被称为“分诊”（triage）的最终判断，传统上需要人类分析师阅读原始数据并对情况进行推理。这种人工过程速度缓慢，且往往难以应对庞大的警报量。近年来，强大的人工智能模型已经展示出它们能够进行这种推理能力，但最需要这种帮助的组织却往往无法使用它们。严格的安全规则和隐私法限制了这些团队将敏感日志发送到这些大型模型所在的外部服务器。他们需要一种既能像专家一样思考，又能完全留在其自身安全围墙内的解决方案。

一项新研究介绍了一种名为 ThreatQwen 的解决方案，这是一种小型、专门化的人工智能模型，旨在本地运行在标准计算机硬件上，无需互联网连接。研究人员采用了一个紧凑的语言模型（一种经过训练以理解和生成人类语言的软件类型），并专门教授它如何分析安全警报。他们向模型输入了大量的真实世界检测规则和合成的正常计算机活动示例，教它如何区分真实的威胁和无害的事件。结果是一个可以运行在安全办公室单台计算机上的工具，它能够读取警报，并立即告诉人类操作员该警报是恶意的还是良性的。这种方法允许高度受监管的组织在从不向外界暴露其私密数据的条件下，使用先进的人工智能推理技术。

研究人员解决的核心挑战在于，大多数现有的 AI 模型体积过大，无法在本地机器上运行，并且没有针对安全日志的特定语言进行训练。为了解决这个问题，团队通过结合来自开源项目的数千条真实检测规则和数千个新增的正常计算机行为示例，构建了一个训练数据集。他们使用一个强大的外部人工智能来生成这些正常示例，以确保模型看到了危险事件与安全事件的平衡组合。这一点至关重要，因为原始数据严重偏向于威胁；如果没有添加这些正常活动的示例，模型就会学会简单地将一切都标记为危险。通过仔细平衡训练数据并移除某些起到“简单捷径”作用的字段，研究人员迫使模型真正去学习事件的模式，而不是根据表面的线索进行猜测。

随后，该模型使用一种允许在无需完全重建的情况下学习新任务的技术进行了微调，这一过程在标准显卡上仅耗时几个小时。在测试了 8 包含 882 个示例（在真实威胁和正常事件之间均匀分布）后，这个新模型达到了 95.1% 的准确率。它正确识别了 96.1% 的实际威胁和 94.2% 的正常事件。在直接对比中，这个可以在本地运行的小型模型显著优于世界上两个最先进的云端人工智能系统，后者在相同任务上的准确率低于 52%。云端模型倾向于猜测几乎所有内容都是威胁，无法识别正常活动，而这个新模型则学会了安全专家所关注的微妙差异。

这项进展之所以特别重要，是因为它在现实世界的安全运营中具有很强的实用性。整个模型（包括其专门的训练）仅占用 3.1 GB 的计算机内存，足以在许多办公室里常见的单张消费级显卡上运行。它不需要网络连接，这意味着它可以部署在物理上与互联网隔离的“气隙”（air-gapped）环境中。这使得银行、国防承包商和情报机构能够在不违反数据隐私法规的前提下，实现对数百万个警报的初步审查自动化。研究人员还指出，在本地运行此模型比支付云端服务费用要便宜得多，处理高容量任务时每天的成本不到两美元，而云平台完成同样工作则需近二十美元。

作者也公开承认该研究存在局限性。用于模拟正常行为的训练数据和测试示例是由计算机生成的，而非直接取自真实的实时网络。虽然检测规则是基于野外观察到的真实攻击技术，但该模型尚未在安全中心复杂的、混乱的实时数据流中进行测试。研究人员表示，下一个关键步骤是针对真实世界的遥测数据验证该模型，以确保它在超出研究中所使用的合成示例之外具有良好的泛化能力。此外，该模型目前仅理解英语，这忽略了非英语的威胁情报来源。尽管存在这些局限，这项工作仍证明了：只要在正确的数据上进行精心训练，一个小型的开源模型也能比庞大的通用系统更好地执行专门的安全任务，为关键基础设施提供了一条安全的本地人工智能路径。