РОЗРОБКА МОДУЛЯ AI-АСИСТЕНТА НА ОСНОВІ ДОНАВЧАННЯ ВЕЛИКОЇ МОВНОЇ МОДЕЛІ МЕТОДОМ QLoRA ДЛЯ АВТОМАТИЗОВАНОГО АНАЛІЗУ ІНЦИДЕНТІВ КІБЕРБЕЗПЕКИ

Анотація

У статті розглянуто розробку та інтеграцію модуля штучного інтелекту для автоматизованого аналізу інцидентів кібербезпеки в межах децентралізованої платформи обміну даними про кіберінциденти Cybersecurity Dataspace (CSDS). Актуальність дослідження зумовлена системними проблемами сучасних центрів управління безпекою (SOC): надмірним обсягом подій безпеки, глобальним дефіцитом кваліфікованих фахівців, ефектом «втоми від алертів» та зростанням складності багатоетапних атак. Метою роботи є побудова спеціалізованої великої мовної моделі (LLM), здатної класифікувати загрози, оцінювати рівень їх серйозності та надавати структуровані рекомендації щодо реагування відповідно до методологій MITRE ATT&CK та NIST SP 800-61. У роботі виконано порівняльний аналіз чотирьох підходів до побудови AI-асистентів (zero-shot промптинг, RAG, повне донавчання та параметрично-ефективне донавчання) і обґрунтовано вибір методу QLoRA як оптимального для локального розгортання з огляду на вимоги конфіденційності та обмежені обчислювальні ресурси. Сформовано навчальний датасет обсягом 1875 прикладів із п’яти відкритих джерел (MITRE ATT&CK, NVD CVE, синтетичні логи інцидентів, відкриті Q&A-датасети та правила виявлення Sigma/Elastic), який пройшов дедуплікацію, фільтрацію за якістю та верифікацію технік MITRE. Проведено два незалежні раунди донавчання базової моделі Llama 3.2 3B Instruct методом QLoRA з ідентичними гіперпараметрами; описано їхні результати за метриками функції втрат і точності на рівні токенів. Розроблено мікросервіс на базі FastAPI з REST-ендпоінтами для аналізу інцидентів, діалогу, пакетної обробки та моніторингу, який інтегровано у фронтенд платформи на Next.js. Виконано функціональне тестування на трьох репрезентативних класах атак (SQL-ін’єкція, програма-вимагач, перебір паролів) та порівняльне оцінювання якості відповідей за метрикою перекриття ключових слів, яке засвідчило суттєве підвищення якості після донавчання порівняно з базовою моделлю. Запропонований підхід відтворюваний на споживчому графічному обладнанні та може бути масштабований для промислового застосування. У статті наведено постановку проблеми, аналіз сучасних промислових та академічних рішень, теоретичні основи методу, методику формування датасету й донавчання, отримані результати та напрями подальших досліджень.