Kiedy SI staje się tarczą: co LLM zmieniają konkretnie w cyberbezpieczeństwie

Duże modele językowe (LLM) stopniowo zyskują na znaczeniu we wszystkich sektorach, w tym w strategicznie ważnym obszarze cyberbezpieczeństwa. Ale co rzeczywiście zmieniają? Interdyscyplinarne badanie przeprowadzone przez naukowców z Uniwersytetu Nowojorskiego przedstawia szczegółowy i ambitny obraz tego zbiegu okoliczności oraz proponuje konkretną mapę drogową. Analiza.

Modele zdolne do przewidywania, analizowania i działania

Pierwsza korzyść płynąca z LLM w cyberbezpieczeństwie jest jasna: pozwalają one na wykorzystanie na dużą skalę mas tekstów dotychczas niewykorzystywanych, takich jak raporty z incydentów, strumienie informacji o zagrożeniach (CTI) czy logi systemowe. Rezultat: szybsze wykrywanie podatności, ataków i podejrzanych zachowań z możliwością generowania streszczeń, klasyfikowania incydentów lub sugerowania działań.

LLM mogą być również specjalizowane: modele takie jak SecureBERT, trenowane na korpusach z obszaru cyberbezpieczeństwa, oferują znacznie lepsze wyniki niż modele ogólne. Wymaga to jednak ich odpowiedniego dostrojenia, przy użyciu dobrze zaprojektowanych zapytań i odpowiednich danych - umiejętność ta jest wciąż rzadka w firmach.

Cyberbezpieczeństwo sieci 5G: SI na ratunek

Raport podkreśla również znaczenie LLM w testowaniu bezpieczeństwa sieci 5G, które często są słabo chronione w fazie przed szyfrowaniem. Istnieją dwie podejścia:

• Top-down: ekstrakcja zasad z tysięcy stron specyfikacji technicznych.

• Bottom-up: bezpośrednia analiza ruchu w celu wykrycia anomalii.

W obu przypadkach LLM umożliwiają automatyzację generowania przypadków testowych, symulowanie ataków fuzzingiem oraz wykrywanie luk trudnych do zidentyfikowania ręcznie.

W kierunku nowej generacji autonomicznych agentów cyberbezpieczeństwa

Badanie podkreśla pojawienie się agentów opartych na LLM, którzy nie tylko analizują zagrożenia, ale także potrafią rozumować, planować i interagować z otoczeniem. Dzięki technikom takim jak Retrieval-Augmented Generation (RAG) czy Graph-RAG, agenci ci mogą łączyć różne źródła, aby generować złożone i kontekstowe odpowiedzi.

Co więcej, organizując tych agentów w systemy multi-agentowe (lub za pomocą meta-agentów), można pokryć cały cykl odpowiedzi na atak: wykrywanie, analiza, reakcja, remediacja.

Szkolenie, symulacja, bezpieczeństwo: precyzują się zastosowania edukacyjne

Innowacją godną uwagi jest również wykorzystanie LLM w szkoleniu z zakresu cyberbezpieczeństwa. Przeprowadzono już eksperymentalne kursy, które integrują podsumowywanie kodu, wykrywanie podatności, informacje o zagrożeniach czy inżynierię społeczną wspomaganą przez SI. Wyłania się sześć kluczowych lekcji: kreatywność, przenośność, sceptycyzm, zwinność, bezpieczeństwo i koszt.

Pomiędzy automatyzacją a ludzką czujnością

Jednak uwaga: LLM nie są panaceum. Ich brak spójności, skłonność do halucynacji, statystyczne uprzedzenia czy podatność na ataki „jailbreak” (omijanie zabezpieczeń) wymagają solidnych zabezpieczeń.

Raport zaleca więc podejście hybrydowe: łączenie LLM z ludźmi w pętli, mnożenie weryfikacji, specjalizowanie modeli zamiast dążenia do jednego modelu, oraz wprowadzanie mechanizmów kontroli i audytu (blockchain, metryki zaufania itp.).

W kierunku zaufanej SI w cyberbezpieczeństwie

Naukowcy podkreślają trzy filary budowania zaufanej SI:

1. Interpretowalność: decyzje modeli muszą być zrozumiałe.

2. Odporność: muszą być odporne na zmiany i ataki odwrotne.

3. Sprawiedliwość: unikanie uprzedzeń, zwłaszcza w takich obszarach jak wymiar sprawiedliwości czy finanse.

Ich celem jest upewnienie się, że SI nie będzie nowym zagrożeniem, ale trwałym atutem wzmacniającym odporność organizacji na coraz bardziej złożone zagrożenia.

Referencja do badania: arXiv:2505.00841v1