وكلاء LLM ومراكز SOC: مطورون يبنون قاعدة بيانات للتهديدات السيبرانية قائمة على RAG

روى مطورون على Habr كيف بنوا قاعدة بيانات خاصة بهم للتهديدات السيبرانية موجّهة لوكلاء LLM وأنظمة SOC. تجمع الخدمة مستندات PDF وسجلات CVE ومقالات الأمن السيبراني في قاعدة واحدة، وتقدّم المقاطع ذات الصلة إلى وكيل الذكاء الاصطناعي عبر HTTP API.

كيف يعمل مسار القاعدة

بدت المهمة في البداية خطية، وتتسع لسلسلة واحدة من الخطوات. تُحمَّل المصادر أولاً إلى النظام، وهي ملفات PDF وأوصاف الثغرات CVE ومقالات أمن المعلومات، ثم يُستخرج النص منها.

• مصادر البيانات: مستندات PDF وسجلات CVE ومقالات الأمن السيبراني
• يُقسَّم النص إلى مقاطع (chunking) تمهيداً للفهرسة
• تُبنى من المقاطع تمثيلات متجهية (embeddings) للبحث الدلالي
• تُسلّم القاعدة الجاهزة النتيجة إلى وكيل LLM عبر HTTP API
• جمع المؤلفون النموذج الأولي العامل بسرعة، لكن العمل الأساسي بدأ بعد إطلاقه

بعد استخراج النص، يقسّم النظام المستندات إلى أجزاء، ويبني لها تمثيلات متجهية، ويحوّل ذلك كله إلى فهرس بحث. ومن هذا الفهرس يحصل وكيل LLM أو محلل SOC على السياق المتعلق بتهديد محدد.

لماذا يمثل النموذج الأولي مجرد بداية

يقول المؤلفون إن النموذج الأولي العامل ظهر بسرعة، وإن العمل الحقيقي بدأ بعد ذلك. وهذا وضع شائع في قواعد المعرفة القائمة على RAG (retrieval-augmented generation) في المجالات المتخصصة جداً، مثل الأمن السيبراني. فبناء السلسلة الأساسية من التحميل واستخراج النص والتقسيم والتمثيل المتجهي والبحث ممكن في وقت قصير. أما تحويلها إلى مصدر يثق به فعلاً وكيل LLM ومحلل SOC فمهمة مختلفة تماماً في حجمها.

ومن الصعوبات الخاصة بهذا المجال تنوّع الصيغ. فتقارير PDF عن التهديدات وسجلات CVE المنظَّمة والمقالات العادية تختلف في بنيتها، وتتطلب نهجاً مختلفاً في استخراج النص وتقسيمه إلى مقاطع، قبل أن يمكن اختزالها كلها في فهرس بحث موحّد.

ما فائدة ذلك لوكيل LLM ولمراكز SOC

الفكرة هي أن يحصل وكيل LLM، عبر HTTP API، على مقاطع حديثة وقابلة للتحقق من تقارير PDF وسجلات CVE ومقالات الأمن، بدلاً من المعرفة العامة المستمدة من بيانات التدريب. وبالنسبة إلى محلل SOC (مركز عمليات الأمن، Security Operations Center)، يعني هذا أن إجابة النموذج عن تهديد محدد تستند إلى مصدر حقيقي، لا إلى ما «يتذكره» النموذج من التدريب المسبق فقط. وتُسمّى هذه المقاربة في الصناعة retrieval-augmented generation، أو RAG.

ولهذا يصف المؤلفون المسار بوصفه عملية مستمرة، لا تطويراً لمرة واحدة. فقاعدة بيانات التهديدات السيبرانية يجب أن تُغذّى باستمرار بسجلات CVE ومقالات جديدة. وهذا يعني أن مسار التحميل والتقسيم والبحث يحتاج إلى صيانة وتحسين حتى بعد أن بدأت النسخة الأولى في الرد على الاستعلامات.

المخطط المؤلف من خمس خطوات، وهي التحميل واستخراج النص والتقسيم وبناء المتجهات والبحث، شائع في أنظمة RAG الحديثة، ويقوم على منطق خطي واضح يسهل رسمه على سبورة. وهذه النسخة البسيطة من المسار هي التي بناها المؤلفون أولاً، قبل الانتقال إلى مرحلة التحسين الأكثر كلفة في الجهد.

ما معنى ذلك

تُظهر هذه الحالة المسار المعتاد لبناء أنظمة RAG للمجالات المهنية المتخصصة. فيمكن تجميع مسار عامل للتحميل والتقسيم والبحث المتجهي بسرعة، لكن تحويله إلى أداة يثق بها وكلاء LLM ومحللو SOC مهمة لا تبدأ حقاً إلا بعد النموذج الأولي الأول.