Команда исследователей во главе с Анесом Абденнеби представила LanG 2.0 — агентную систему для полуавтоматизированных операций в центрах безопасности (SOC). Главная инновация заключается в доказательстве того, что небольшие локальные модели, оснащенные структурными гарантиями безопасности, могут эффективно заменять ресурсоемкие флагманские модели, такие как Claude Opus 5.5, без потери качества обнаружения угроз.
Ключевые метрики и сравнения
Система LanG 2.0 демонстрирует впечатляющие результаты на восьми наборах данных потоков от пяти различных сетей. В сравнении с предшественником точность корреляции кампаний выросла с 18,75% до 51,81%, а уровень принятия правил — до 98,33%. При прямом сравнении с Claude Opus 5.5 локальные модели LanG 2.0 показали более высокую точность (F1) при обнаружении атак на неизвестных сетях (73,42% против 58,10%) и полностью исключили ложные срабатывания, в то время как флагман имел 49% ложноположительных результатов.
| Метрика | LanG 2.0 (Локальные модели) | Claude Opus 5.5 (Флагман) |
|---|---|---|
| Точность обнаружения (F1) | 73,42% | 58,10% |
| Ложные срабатывания | 0% | 49,00% |
| Энергоэффективность | Базовый уровень | В 650 раз выше расход |
| Принятие правил (Rule Acceptance) | 98,33% | До 60,00% (в предшественнике) |
Архитектура и безопасность
Система использует entity-anchored correlation (корреляцию, привязанную к сущностям) и неизменяемый реестр (ledger) для защиты от манипуляций. Архитектура включает обязательное одобрение человеком изменений в правилах, что критично для SOC. Тестирование показало устойчивость к инъекциям промптов, отравлению меток и подделке данных в реестре.
Масштабируемость
LanG 2.0 способна обрабатывать 3,33 миллиона записей за 6,4 минуты, что эквивалентно более 30 миллионов записей в час. Это делает технологию пригодной для реального времени в крупных инфраструктурах. Финетюненные модели статистически сопоставимы с флагманами в классификации оповещений и написании правил, расходуя в 5,6–59 раз меньше энергии.
Источник: arXiv cs.AI ↗