CERT r5.2

LLMs show promise for zero-shot cyber threat detection

研究人员开发了一种新颖的两阶段大型语言模型（LLM）框架，用于零样本检测内部威胁和高级持续性威胁（APT）。该系统通过按时间顺序对用户活动进行建模来处理安全日志，并使用检索增强生成（RAG）来整合个性化的历史用户上下文。LLM不直接进行分类，而是首先生成结构化风险指标，然后对这些指标进行时间分析以识别攻击模式。该框架在基准数据集上展示了比现有最先进的基于LLM的方法有显著改进，突显了生成的风险指标质量在有效威胁检测中的关键作用。