钓鱼讯息成网络最大威胁 黑客利用大语言模型 令人更易上当

众创时代，生成式AI进入主流，大语言模型（LLM）有如雨后春笋，应用普及化加速。由于市场严重缺乏技术人手，初期应用均集中在协助设备设定。

透过生成式AI，厂商可协助用户简化设定设备，节省管理人手。近期思科终于宣布推出生成式AI应用，未来扩展至全线保安产品，目前Cisco Policy Assistant可为防火墙建议设定规则，简化管理工作。

长远来说，思科会推出针对保安营运中心（Security operations centre，SOC）生成式AI助手，从电子邮件、Web、端点和网络日志档，直接推论出网络威胁和影响的范围，建议修复方法，设置最佳的防御步骤。

分析日志快速应变

类似生成式AI协助网络和保安设定越来越普遍。据Juniper Networks亚太区企业总监梁定康说，以Juniper全球首创的虚拟网络协定助手Marvis为例，透过Mist AI的自然语言对话，协助全域网络设备设定和维护，生成式AI学习最佳设定，自动找出适合建议，降低维护人员技术要求，其实越来越成为常态。

「生成式AI应用于保安分析研究，正是方兴未艾，以自然语言处理分析日志，已呈现不少优势，潜力不容忽视。」梁定康指出。

近期多间公营机构受攻击，更多机构考虑安装「保安资讯及事故管理」（SIEM），及早识别入侵威胁。SIEM的原理是分析系统内多个来源纪录或日志档，全面了解网络状况后，通过关联性引擎（Correlation Engine）的分析，识别和回应威胁入侵，问题在于SIEM经常产生大量报告和杂音，难以逐一以人手分析，缺乏专业分析人员，管理SIEM往往要延聘专业外判商，不少厂商加入AI功能，以减少SIEM的误鸣。

但是，生成式AI不但可减少以人工分析数据，还可在关联性的分析以外，加入新分析机制，更快速识别攻击，营运成本也更低。

梁定康指出，以全球最大数据科学比赛平台Kaggle为例，一直举办比赛透过高额奖金，鼓励开发人员创新算法和预测分析，解决网络和保安难题。以往不少透过机器学习分析；近期Kaggle流行以LLM开发识别威胁方案，效果甚至比机器学习算法，还更胜一筹。从Kaggle上趋势推测，生成式AI应用于保安分析研究，正是方兴未艾，以自然语言处理分析日志，已呈现不少优势，潜力不容忽视。

他提到，「以往，数据科学家先分类不同数据，暸解结构和相关性后，建立起预测性算法；LLM则透过自然语言处理（NLP）深度学习，直接读取日志内容，建立相关性再产生可能答案，几乎毋须编程，就可找出相关性，新一代LLM具「多模态」（Multi -Modal）能力，结合蛛丝马迹，获得更准确答案。」

AI保安雨后春笋

近代的LLM透过Transformer技术，利用自注意力机制，免除大量标注数据和数据分类，又解决多层深度学习的失真，准确分析大量日志，可迅速找出可疑活动。

梁定康说，LLM深刻影响网络管理和保安，以Skyhawk、Microsoft、Google Cloud三间公司推出LLM工具为例，可直接评估识别网络的威胁。Skyhawk以LLM提高识别威胁准确性，甚至可自我改进的AI威胁分析框架，套用不同LLM分析日志档后，均可加快识别恶意行为，而且准确度更高。

Skyhawk曾利用ChatGPT4，加快识别速度达78%，Skyhawk推出基于不同LLM的预测评分，发现部署Meta开源Llama2，识别威胁的准确率，竟还高于ChatGPT4。Llama2免费授权又可本地部署，再结合API扩展用途。不少保安应用倾向以本地部署，Skyhawk发现可本地部署LLM，检测能力较收费版本更佳，LLM用于威胁应用，带来更多启示。

Microsoft推出Security Copilot工具，而Google Cloud推出了Security AI Workbench，两者利用LLM配合保安技术和网上最新情报，亦可更快反应消除威胁。

以子之矛攻子之盾

梁定康认为，不少研究也集中以LLM作终端防御。网络钓鱼电邮和讯息，已成为网络上最大威胁。黑客已经利用LLM，通过学习攻击目标的个人讯息，编写更易令人上当个人化欺诈内容，研究人员也开发LLM应用，自动识别出类似的诈骗讯息。「生成式AI透过学习后，就产生适当建议，小量数据已可作分析，毋须累积大量数据作训练，已可获得准确结论。多间初创正开发方案，自动分析可疑意图讯息，以识别网络欺诈。」

不少人预期，LLM加速普及化，很快成为手机和个人电脑标准应用，其中一个用途可过滤接收的讯息，警告用户加以提防，随身保安助手的出现，不再是天方夜谭。

--

《星岛头条》APP经已推出最新版本，请立即更新，浏览更精彩内容：https://bit.ly/3yLrgYZ