网安加·百家讲坛 | 张博：大语言模型在安全运营工具融合应用的实践与探索

作者简介：张博，某新势力车企合规审计经理、某传统车企安全开发专家，有15年Web软件、移动端研发工程师经验，先后担任合规审计经理、安全开发专家、资深研发工程师、项目经理等岗位，对IT系统合规审计、漏洞扫描、网络安全、数据安全、安全运营、人工智能等技术领域进行过深度的探索和实践，能够针对企业的业务形态建立安全管理、合规审计治理与管理机制，将安全、合规与企业紧密融合。

一、引言

如今网络安全面临着非常复杂的形势。随着互联网技术的普及与发展，越来越多的企业和社会机构将自己的业务和服务迁移到网络环境中，这同时也为恶意攻击者提供了更多的攻击面和攻击手法。网络攻击的规模和复杂性在不断增加。传统的攻击手法，如DDoS、SQL注入、跨站脚本等，仍在不断演变和升级，同时也不断涌现出新的攻击手法，如APT（先进持久性威胁）、Fileless Malware and Ransomware、AI assisted attack等等。这些攻击手法的攻击面更广、攻击手法更多、攻击手法更为隐蔽，传统信息安全工具无法检测。这使得安全团队的防御工作更加困难。其次，网络安全环境的动态性和多样性也在不断提高。云计算、大数据、物联网等新兴技术的普及，使得网络安全环境从原来的单一设备和简单网络拓扑向复杂的多设备、多网络、多云的环境发展。这就要求安全运营团队必须在不断变化的环境中保持高效的防御能力，同时也要求安全运营工具和技术能够适应这种变化。

为了应对当前复杂的网络安全形势，安全运营工具和技术的要求也在不断提高。首先，安全运营工具必须具备高效的防御能力，能够快速识别和应对各种攻击手法。这需要安全运营工具具备高精度的威胁情报、高效的威胁检测和高效的威胁溯源能力。其次，安全运营工具必须具备高度的自适应能力，能够不断进化升级以适应网络环境的变化。这需要安全运营工具具备可扩展、可集成、强化学习的能力。

由此本文引出大语言模型（LLM，Large Language Model）与安全运营领域融合的解决方案，大语言模型程序与传统的程序相比，是从自动化到智能化跨越。其中尤为突出显著的优势，是对自然语言的理解能力，能够将非结构化数据提取关键信息转为结构化数据（Named Entity Recognition），对不同维度的日志数据、告警数据、威胁情报等进行数据提取，并结合传统程序应用完成相对复杂的任务。

二、检索增强生成 VS 微调

1、大语言模型介绍

大语言模型作为一种人工智能技术，用于理解和生成人类语言。这些模型通常是由数以亿计甚至数十亿计的模型权重（Weights）组成，通过深度学习算法训练而成。它们的核心目标是学习语言的内在规律和模式，以便在各种任务中表现出类似于人类的理解和生成能力。

大语言模型的训练通常基于无监督学习，特别是通过Transformer架构，这是一种由Google在2017年提出的序列到序列（Seq2Seq）学习模型。在训练过程中，模型会接收大量未标注的文本数据，如互联网上的网页、书籍、新闻等，通过学习这些文本中的词汇、句子结构和上下文关系，来理解语言的复杂性。

在原理上，大语言模型通过自我预测（Self-supervised Learning）来学习。在训练时，模型会尝试预测输入序列中被掩码或隐藏的部分。这种技术被称为掩码语言模型（Masked Language Modeling，MLM）或预测性编码（Predictive Coding）。此外，大语言模型还可以通过生成式对抗网络（GANs）或其他技术来增强其生成能力，使其能够创作新的文本，如回答问题、撰写文章或进行对话。

在应用时，大语言模型可以根据用户输入的问题或指令来生成相应的回答，比如提供信息、解释概念、解决复杂问题，参与自然语言对话。由于它们的规模和复杂性，大语言模型可以处理各种语言任务，包括自然语言理解、机器翻译、文本生