مدل‌های طبقه‌بندی نظارت‌شده (Supervised Classifiers) در حوزه امنیت سایبری، اغلب با چالش جدی سوگیری در داده‌های آموزشی روبرو هستند. مجموعه‌داده‌های آموزشی معمولاً شامل الگوهای رایج و سالم هستند و بخش بزرگی از داده‌های غیرعادی (Unusual Data) که در دنیای واقعی با آن‌ها مواجه می‌شویم، در فرآیند برچسب‌گذاری (Labeling) نادیده گرفته می‌شوند. این شکاف باعث می‌شود که در محیط‌های عملیاتی، مدل‌ها دچار خطای مثبت کاذب (False Positives) که منجر به خستگی تیم‌های SOC می‌شود، یا خطای منفی کاذب (False Negatives) که اجازه عبور تهدیدات را می‌دهد، شوند.
راهکار جدید: ترکیب تشخیص آنومالی و مدل‌های زبانی بزرگ
تحقیقات جدید تیم Sophos AI نشان می‌دهد که ترکیب روش‌های تشخیص آنومالی (Anomaly Detection) با مدل‌های زبانی بزرگ (LLM) می‌تواند راهکاری کارآمد برای شناسایی و برچسب‌گذاری خودکار داده‌های غیرعادی باشد. در این رویکرد، تشخیص آنومالی به عنوان یک فیلتر اولیه (Pre-filter) عمل می‌کند تا موارد مشکوک را استخراج کند و سپس LLM وظیفه برچسب‌گذاری دقیق این موارد را بر عهده می‌گیرد تا داده‌های آموزشی مدل‌های امنیتی غنی شوند.
استراتژی پرامپت‌نویسی دوگانه برای دقت بالا
یکی از نوآوری‌های کلیدی این تحقیق، استفاده از دو استراتژی پرامپت‌نویسی (Prompting) مجزا برای دستیابی به دقت (Precision) بالا است. از آنجایی که یک پرامپت واحد نمی‌تواند همزمان در تشخیص هر دو حالت «مخرب» و «سالم» با دقت بالا عمل کند، این تیم از دو مسیر متفاوت استفاده کرد:
- پرامپت با تمایل به مخرب: این پرامپت تنها زمانی یک فایل را سالم اعلام می‌کند که از سلامت آن اطمینان کامل داشته باشد؛ این کار باعث می‌شود برچسب‌های «سالم» با دقت بسیار بالایی تولید شوند.
- پرامپت با تمایل به سالم: این پرامپت تنها زمانی یک فایل را مخرب اعلام می‌کند که اطمینان کامل داشته باشد؛ که نتیجه آن تولید برچسب‌های «مخرب» با دقت بالا است.
در نهایت، تنها زمانی یک داده برای استفاده در آموزش مدل‌های بعدی پذیرفته می‌شود که هر دو پرامپت بر سر برچسب آن توافق داشته باشند. این روش از ورود داده‌های با کیفیت پایین و گمراه‌کننده به فرآیند آموزش جلوگیری می‌کند.
ارزیابی و نتایج
این متدولوژی بر روی انواع مختلفی از داده‌ها از جمله خط فرمان (Command Lines)، فایل‌های HTML و RTF آزمایش شده است. نتایج نشان داد که این رویکرد می‌تواند عملکرد مدل‌های موجود را بهبود بخشد. برای مثال، در تحلیل فایل‌های RTF، استفاده از روش Isolation Forest منجر به افزایش ۲.۴۱ درصدی در عملکرد مدل نسبت به حالت پایه شد. همچنین در تحلیل فایل‌های HTML، روش K-means بیشترین تأثیر مثبت را در بهبود دقت مدل داشت. این نتایج تأیید می‌کند که استفاده از تشخیص آنومالی نبat به عنوان یک سیستم هشداردهنده نهایی، بلکه به عنوان ابزاری برای تولید داده‌های آموزشی باکیفیت، می‌تواند سطح دفاع سایبری را به طور قابل توجهی ارتقا دهد.
