2023/05/25 14:17 数智前线
网络安全行业以前也会用到人工智能技术,但当时是小模型,很多问题没有办法解决,通用性不强。而现在大模型时代,新的技术正在让网安行业迎来“iPhone时刻”。
文|游勇
编|周路平
近几个月,大模型技术在各行业的落地应用日新月异。拥抱大模型,似乎成为历史的必然。
在数字化转型的大背景下,这股冲击波也席卷到网络安全行业。
一方面,是大模型带来的负面效应,包括大模型自身可能造成的数据泄漏和虚假信息,以及其强大的生成能力,让黑客攻击变得更加普遍和容易;另一方面,相比于大模型自身潜藏的安全风险,大模型强大的推理能力和泛化性,正在对网络安全行业带来革命性影响。
今年3月,微软基于GPT4.0发布了Security Copilot,帮助安全人员提高响应速度,提高威胁检测和搜寻能力。紧接着是谷歌宣布推出Security AI Workbench。这套新的安全模型针对安全用例进行了微调,并结合了谷歌强大的安全情报,能有效解决网络安全的三大挑战:威胁过载、工具繁琐和人才短缺。
国内安全企业也在加紧步伐。5月18日,深信服首秀安全GPT技术应用。专属网安行业的“iPhone时刻”,真的来了吗?
01
一把跨时代的“新榔头”
“然而,按照历史的经验,攻击者对新技术的采用往往比防守的还要快。”赛博英杰创始人谭晓生对数智前线说,对于网络安全行业而言,大模型带来的降本增效,首先受益方是攻击者。
情况也确实如此,钓鱼邮件的攻击数量在全球范围内明显上升。网络安全公司Darktrace研究发现,2023年前两个月,攻击者使用ChatGPT等生成式AI,通过增加文本描述、句子长度以及标点符号,让钓鱼邮件等社会工程攻击量增加了135%。
数据显示,全球每秒会发生1287次密码攻击,在过去5年内,安全攻击数量增长了67%。疫情以来,网络攻击速度也在快速提升。过去,当用户点击钓鱼链接后,攻击者平均需要几周甚至几个月才能黑进用户邮箱,而如今,所需时间已缩短至1小时12分钟。
欧盟执法机构欧洲刑警组织曾警告,ChatGPT可能被滥用于网络钓鱼、宣传虚假信息以及网络犯罪。在一些暗网和黑客社区,很多黑客声称已经用大模型成功构造了一些新的加密算法。但利用大模型进行规模化攻击的情况还没有出现。
深信服研发总经理梁景波向我们讲解了这样的场景:攻击者只需要跟大模型做几次简单的对话,就可以生成复杂的攻击手法,可以在短时间内让高级攻击手法比过去激增上万倍。
“未来攻击者在大模型的加持下,复杂攻击会变成一个新常态。传统引擎在这种情况下基本都会失效,使用大模型对抗大模型才是新时代的出路。”梁景波说。
“安全领域的攻防是钉子和榔头的关系。”显然,大模型催生了攻击手段升级,将犹如一颗“新钉子”刺痛网安行业,不得不防。而大模型这一把跨时代的“新榔头”,正在瞄准这颗“新钉子”。
值得注意的是,“当找到一个新榔头的时候,也能把老钉子全都砸一遍。”谭晓生说。对于以往常见的攻击手段,传统检测引擎在大模型的加持下,则将实现更加高效率的检出,相信能够带动整个行业生产力的提升。
这些已然成为安全行业的一个共识。
02
模型并非越大越好
只不过,行业存在共识,也出现了新的分歧。
当前大模型的训练大体有两条路径:一个是大厂都在训练的通用大模型,参数大、成本高,通用性强;另一个是在各垂直领域的企业,开始利用GPT技术,通过投喂行业数据,训练行业的专用模型。
但在落地到具体行业时,大多数人往往会面临一个误区:模型应该越大越好。
事实并非如此。深信服安全业务市场运营总监罗政权指出,一是通用大模型需要消耗大量算力,背后是巨大的成本压力,但这种通用的能力并不完全被行业需要,无论是医药、工业,还是在安全领域,都不是让大模型去写诗作画。二是参数量太大,在行业部署时也是一个非常大的挑战。
梁景波也提到,安全行业训练超大参数的模型反而会浪费计算资源,并且未必能发挥出超大参数的优势。因此无论是算力消耗,还是后续演进的上限,将垂直领域的安全GPT做得更专业,才会有更好的效果。
根据其官方说法,深信服安全GPT作为自研的垂直领域专家模型,由“大模型算法+威胁情报+安全知识”训练而成。
显然,“新榔头”不需要越大越好,“瞄得准”才是王道。
首先,人工智能算法的积累和实践非常关键。虽然GPT涉及的人工智能技术都不是新的发明,但这并不意味着,直接拿一个开源的大模型,然后加入行业知识就能训练出一个效果很好的行业大模型。
GPT本身被认为是工程上的成功,背后还有大量产品化和工程化的难题。微软和谷歌在这一点上无疑有着非常深的积累。无疑,快速推出安全大模型的关键,是背后的技术积累。
深信服从2016年就开始不断加码AI技术应用,并确立了AI First的研发战略。从小模型时代开始,深信服就贯通了云、网、端,打通了数据采集、算法训练、产品化落地、迭代运营的自动化全流程,截至目前,已经在文件分析、行为检测、日志分析等十几个不同的安全技术领域应用了人工智能。
正如深信服董事长何朝曦所言,作为一家既做安全又做云计算的公司,深信服在安全领域应用GPT技术具备天然优势:一是拥有较多的算法、安全、调优算力人才,尤其是既懂AI又懂安全的人才;二是对威胁情报和攻防技术拥有深刻的理解。
目前,深信服内部有提出规则、判断模型效果的安全专家,有处理数据跟训练模型的算法专家,还有要去提升算力的算力专家,从最底层的算力,到行业数据到人工智能算法,都有相应的积累和储备。
其次,高质量的企业级数据也是训练行业大模型的关键。比如谷歌的安全大模型产品在发布时,高质量数据也被认为是其优势。
作为国内头部安全厂商,深信服在线的网关设备数量最多,过去积累了丰富的线上情报数据集,这些数据不仅能构建自动化的数据清洗和质量管理流程,不断生成大量为AI训练专门准备的高质量数据。
与单纯的安全产品公司不同,深信服通过安全托管服务,帮助用户应对实际的安全威胁,同时积累下来的工具和能力,也沉淀成为宝贵的安全资产库。在深信服托管云和超融合的算力支撑下,经过海量安全数据的投喂,以及深信服安全专家调试,深信服安全GPT目前在多个安全专业领域达到了专家水平。
所以,从这个角度来看,深信服能率先秀出安全GPT技术应用也是顺理成章。目前,深信服安全GPT技术应用XDR平台,已经开启内测,未来深信服所有的安全产品和服务都会接入深信服安全GPT。
03
“新榔头”到底“新”在哪儿?
安全GPT首秀给业界带来惊艳的同时,外界对人工智能在安全行业的应用也出现了不同的声音,诸如“不懂安全的用了也白用”“以往AI检测技术误报率高”等质疑。
这样的声音并不让人感到意外。人工智能本身不是个新鲜词汇,几经起伏,一直没有到达技术的临界点,人工智能也被调侃为人工智障,如iPhone手机里自带的语音助手Siri,就长期被诟病。
网络安全行业对人工智能技术的应用也不陌生。从最开始的大数据分析,到后面的深度学习,每家厂商或多或少往AI靠,但整体效果并不如人意。
早在十几年前,基于人工智能的杀毒引擎就开始用于恶意代码检测,当时还是基于支持向量机、随机森林等人工智能算法。后来,基于人工智能技术对网络流量的恶意攻击进行检测,但效果并不太好。检出率虽然很高,但误报率也很高,运维人员根本处理不过来。在安全领域,误报率是一个非常敏感的指标,不仅把坏人拦住了,也把很多好人拦住了,会影响用户的正常业务。
这是小模型时代的通病:误报率太高,对安全运营人员投入精力与专业度要求也高。
罗政权也强调,小模型只能用于单一的检测场景,比如威胁发现、漏洞利用、Web攻击的检测,价值没有最大化,用户的感知也不够明显。
再者,小模型没有通用性,还需要大量的算法专家和安全专家不断的构建模型、训练、调优,投入成本高,复用率也不高。
而GPT大模型,这把“新榔头”的优势,在安全领域得以“焕新”。
微软Security Copilot在发布时,着重提到了三重价值:一是大幅加快事件响应速度,自动撰写事件报告。二是提高威胁检测和搜寻能力。三是缓解人才短缺问题。
谷歌则在推出安全大模型产品时,曾畅想了这样一个世界:新手和安全专家与人工智能专业知识相结合,他们能够从重复工作中解放出来,完成今天看来似乎不可能完成的任务。
“想象一下未来的网络安全防御,在你搭建基础设施的时候,就会自动生成安全策略、安全控制和安全配置——这是我们正在研究的一个应用场景,将在安全运营和安全管理领域引发一场变革。”谷歌云工程副总裁Eric Doerr说。
这些能力在深信服安全GPT技术应用的演示中已经得到呈现。深信服通过与多家国内外厂商的对比测试,结果非常明显,表现最好的传统安全引擎,高级威胁识别率只有45%。而赋能安全GPT的XDR平台,高级威胁识别率达到了95%,误报率也从21.4%降到了4.3%,“已经达到5年经验的安全专家水平”。
更关键的是,大模型既有泛化的检测能力,也要有高质量的攻击解释能力,能让一个没有太多安全经验的人,看明白发生了什么,并且找出漏洞,最后提供方法。这是大模型带来的技术上的一个飞跃。
“未来,‘安全+大模型’会成为安全建设的新范式,很多安全场景都会被重新定义。”梁景波说。一个初级安全工程师,在安全GPT技术的加持下,很快可以变成一个高级专家。而过去需要多个安全专家做的事情,现在只需要一个安全专家就可以完成。
除此之外,深信服安全GPT技术应用也有自身特色。比如在使用体验层面做得更领先,是开展安全工作的智能驾驶舱。仅需在XDR平台首页窗口进行简单对话,即可用文字、图表等多模交互的方式,输出关键指标,帮助用户全局掌控安全趋势,满足日常/特殊时期的价值感知需求。
其次,AI技术架构在用户侧的落地,依赖于“开放平台+领先组件+云端服务”的体系。通过开放的平台,享受云端在线、海量数据的能力;通过领先的组件,抓取攻击现场的丰富数据,并基于云端和本地的模型进行防护;再通过云端的服务,提供7*24h在线的服务兜底。深信服安全GPT技术应用在XDR平台,平台具备云化交付能力,内置与大量组件的联动能力,无需配置,开箱即用。
“AI大模型应用于安全领域现在仍然在非常早期的阶段。”何朝曦说,深信服在安全大模型方面的工作只是刚开了个头,后面还有很多工作,包括将其应用于终端检测、对数据的分析和保护,以及进一步加强在安全运营方面的自动化能力。
榜单收录、高管收录、融资收录、活动收录可发送邮件至news#citmt.cn(把#换成@)。