天阗AI智能体：：：智检测，慧守护

颁布功夫 2024-05-14

自从ChatGPT颁布以来，萦绕大模型的会商愈演愈烈，小我、、企业甚至国度都陷入了深刻的刷新中。。它的影响力已经远超技术领域，成为全球技术、、产业和国际竞争的综合战场。。然而，大模型的现实落地并非饱经风霜，从行业数据的网络到现实利用场景的结合，每一步推动都面对着诸多挑战。。本文介绍OG东方厅基于L1安全大模型构建的L2威胁检测利用场景（天阗AI智能体）。。


大说话模型（LLM）通过提醒工程，如零样本学习、、少样本学习、、思想链等步骤展示了不错的天生和推理能力。。


然而，上述步骤一方面是静态的黑箱模式，模型使用预训练的自身内部知识产生思想过程，并未安身于外部真实世界；另一方面，大部门隔源LLM在垂直领域（如网络安全）的专业能力有限，使得其在解决行业复杂问题的时辰能力不及。。因而，基于LLM的AI智能体（AI Agent）应运而生。。



AI智能体框架介绍



OG东方厅·(中国大陆)

LLM-based Agent framework


凭据OpenAI AI利用钻研主管Weng Lilian的介绍，基于LLM构建的AI智能体应该蕴含影象（Memory）、、规划（Planning）、、工具使用（Tools and Action）三大关键能力。。


① 影象能力：：：蕴含短期影象和持久影象两种。。例如，高低文学习（In-Context Learning）能够被视为短期影象，外部知识库能够被视为持久影象，Agent能够利用影象模�？？槔椿航饣镁蹙跋蟆�。


② 推理规划能力：：：蕴含工作拆解和自我反思两类。。例如，Agent能够利用思想链等步骤将复杂难题的工作拆分为多个单一的子工作，一步一步解决；同时，Agent也可能凭据过程反馈、、影象反馈、、环境反馈�。ü晕曳此嫉确绞郊橙∶蠼萄担慕钪盏氖涑鲋柿俊�。自我反思不必要通过有监督微调（SFT）或者增量预训练的方式更新LLM的权重网络，让LLM自身或者其他的LLM审视并修改自己天生的输出。。


③ 工具使用能力：：：Agent可能凭据prompt理解意图，依照必要挪用分歧工具（例如：：：搜索引擎、、代码执行、、科学推算等外部工具的API接口），扩大和补充其利用能力。。工具使用不仅是人类智能的体现，也是纯LLM和AI Agent的重要区别，由于纯LLM更善于“动脑”，而AI Agent不仅能“动脑”也能“着手”。。


斯坦福大学的吴恩达教授也在钻研中发现基于GPT-3.5构建的智能体在利用中阐发比纯GPT-4更优。。因而，基于AI智能体的设计模式对于工业界的行业利用极度有启发，能够利用开源LLM实现“以小博大”的成效。。


同时，他在钻研中提出反思（Reflection）、、工具使用（Tool Use）、、规划（Planning）多智能体合作（Multi-agent Collaboration）四种AI智能体的利用设计模式，并指出目前Reflection模式和Tool Use模式已经被宽泛接受和利用了。。 



天阗AI智能体



天阗AI智能体是以“智检测，慧守护”为理念，基于OG东方厅安全大模型构建的一个立体感知、、全域协同、、精准判断、、持续进化、、盛开的智能检测防御能力实体。。


天阗AI智能体由安全大模型和各类专用小模型组成，智能调度各类检测单元，同时结合结构化或非结构化知识数据，对各类攻击事务进行提炼总结，推理天生检测规定、、专杀工具、、糊弄诱捕等动态防御战术，为安全检测和响应产品注入了一颗“AI芯”。。


OG东方厅·(中国大陆)



三大利用场景



天阗AI智能体利用在“智能威胁检测、、智能威胁分析、、智能威胁防御”三大场景中。。

智能威胁检测场景


凭据分歧检测场景智能化调度各类检测工具和算法，天阗AI智能体可大幅度提高检测精准度和整体检测机能。。


1、、Web攻击威胁检测


规定匹配、、词法语法检测、、机械学习模型检测是当前Web攻击检测的三个重要伎俩，然而每种伎俩都有其怪异的优势和不及。。


天阗AI智能体可对用户侧业务流量进行智能感知，预防用户业务流量的误报，矫捷选取最新Web攻击检测模型进行检测。。同时不休从海量的攻击数据中学习和优化模型，提高对高匹敌Web攻击流量的检测能力。。


2、、加密流量检测


针对加密流量的检测一向是业界关注的重点和难点之一。。


天阗AI智能体利用业界先进的AI多模型综合决策技术，能有效检测ICMP、、DNS、、HTTP、、HTTPS、、SSH、、TCP等多种和谈的200余种攻击工具，对于魔扭转形的工具检测率也能达到90%以上，并能结合用户业务环境进行流量自学习，最大限度降低对用户自有加密业务的误报；在加密流量告警后，还能凭据报警高低文智能关联是否有其他已知告警，结合攻击者或C2的富化谍报信息，给出告警精准度判断。。


3、、恶意文件检测


沙箱检测是一种基于虚构机的恶意代码分析技术，但由于硬件前提限度、、样本量大等原因，沙箱产品往往会存在样本执行不齐全，高级威胁样本绕过等问题。。


天阗AI智能体通过学习用户环境的样正本源、、样本基础信息等判断样本蕴含恶意代码的可能性，实现对于无危�：：ζ鹪囱镜淖远殴��；箍啥砸伤艫PT攻击样本进行深度养殖，解决高匹敌样本的绕过问题。。在产生告警后，再结合端侧日志、、样正本源等智能推荐出用户必要关注的高价值样本，让用户面对专业的样本检测汇报不再束手无策。。


4、、异常行为检测


近年来，越来越多的攻击正在朝着“APT化”发展，攻击者100%会突破防线进入受害者网络，“守不住”逐步成为正常景象。。但再高级的攻击城市产生网络流量和终端日志，基于汗青流量和日志的异常行为检测成为发现未知攻击的重要伎俩。。但现有的异常行为检测普遍面对着误报高无法研判，面对新攻击模式无法检出等问题。。


天阗AI智能体通过对内部业务环境的立体感知，利用机械学习、、统计模型等工具构建正常业务行为的模型，实时发现与之不符的异常行为。。同时，智能体基于LLM构建，不仅具备杰出的高低文理解和语义分析能力，还能针对新攻击模式无法检出的难题，结合云边端引入多维度特点，提高检测正确性，以应对不休变动的新威胁。。


智能威胁分析场景


在各类检测工具、、算法天生告警了局后，天阗AI智能体味利用LLM的推理总结能力对这些检测了局进行“深加工”，援手安全人员更好地相识攻击事务的性质、、起源和潜在影响。。


1、、攻击过程还原与攻击事务提炼


安全告警的数量和复杂性不休增长，对检测了局的分析组成了巨大的挑战。。若何从海量告警中挖掘出必要用户关注的有效事务是当前安全行业索求的重要技术方向。。


天阗AI智能体基于检测告警的周期性、、攻击有关性，告警载荷的类似性等智能聚类类似告警，最大限度降低业务造成的反复误报。。同时还会基于ATT&CK攻击框架，利用大模型的逻辑推理能力将分歧阶段的有效告警关联起来，还原攻击过程，并最终提炼出可直接用天然说话描述的攻击事务。。


2、、检测汇报天生


在提炼出攻击事务以来，天阗AI智能体可基于大模型的总结能力，串联分析整个攻击过程，进行根因精准定位，提供齐全的攻击入口分析、、影响领域、、攻击者、、受害者分析以及措置建议等汇报内容。。


同时还可对数据包中的关键载荷和高低文进行深度分析，分析了局不仅以图形化的方式清澈展示分析逻辑，还支持通过天然说话进行陆续追问，提供具体的诠释和更多的信息，使得安全人员可能更深刻地相识告警的具体情况和背后的原因。。


3、、未知威胁自动化狩猎


任何安全产品都不成能100%检测出所有攻击，基于网、、端数据的威胁狩猎是解决这一问题的有效蹊径。。然而威胁狩猎工作通常必要有若干年经验的高级安全工程师费时费劲进行，最后往往还一无所获。。


天阗AI智能体有效解决了这一难题，当用户输入一个攻击线索时，智能体能够利用大模型的思想链以及推理能力，结合langchain框架和自界说取证工具自动向前向后查找与该线索有功夫关系、、攻击高低文关系的其他网络流量或终端过程文件信息，并将这些信息依照功夫线大局统一出现给用户。。查找到的数据还能够进一步上传到云端进行威胁鉴定，实现从威胁狩猎到了局鉴定的全自动化。。通过自动化威胁狩猎，即便是小白用户也能找到0day缝隙。。


智能威胁防御场景


在对检测了局进行“深加工”后，天阗AI智能体能对确定性攻击事务中的攻击者、、受害者智能天生防御战术，对发现的未知威胁自动天生检测战术，实现检测与响应的自动化闭环。。


1、、检测与防御战术天生


借助大模型的代码天生能力，天阗AI智能体可自动天生流量检测规定、、文件检测规定以及终端行为检测规定，基于样本汇报自动天生样本专杀等。。除了被动检测以外，自动诱捕也是威胁防御的重要一环。。智能体可凭据用户资产自动化天生仿真环境，并在仿真环境中自动化天生伪造响应，同时还能凭据用户输入自动化天生垂钓钓饵。。


2、、检测与防御战术下发


在天生了检测和防御战术之后，天阗AI智能体还能自动化挪用各类能力，如接见节制、、是非名单、、终端隔离、、利用层规定等，预防攻击进一步发展。。


天阗AI智能体依附大模型的影象、、推理规划、、工具挪用等能力，实现了对各类小模型的协同挪用，把AI能力融入到威胁检测与响应的各个环节，实现了威胁检测产品的自动驾驶。。