Forwarded from Poxek AI Feed
Cybersecurity Detection Classification with Reasoning-enabled Language Models [score 8, tier 1]
Amol Khanna et al. (13) · 2026-07-30 · #eval_methodology · arXiv:2607.28460
🔬 Deep-dive:
Methodology
Методология исследования сфокусирована на создании системы автоматического triage для SOC (Security Operations Center) с использованием 30B LLM. В качестве датасета используется проприетарная телеметрия Windows endpoint detections, размеченная аналитиками (human-labeled). Пайплайн обучения состоит из трех ключевых этапов. Первый этап — automated prompt optimization для генерации высококачественных few-shot примеров. Второй этап — self-training: базовая модель генерирует chain-of-thought (CoT) traces на training set, после чего отфильтровываются только те traces, которые приводят к правильному финальному вердикту (malicious/benign). Третий этап — reinforcement learning with verifiable rewards (RLVR), где модель дообучается генерировать CoT, получая reward исключительно за совпадение финального ответа с ground truth (outcome supervision). Ключевое архитектурное решение авторов основано на наблюдении, что CoT reasoning разрушает калибровку label-token probabilities (logprobs финального токена перестают коррелировать с реальной уверенностью модели). Для компенсации этого эффекта авторы обучают отдельный calibrator (вероятно, classification head или supervised LLM), который принимает на вход полный reasoning trace и предсказывает вероятность корректности вердикта.
Key findings
• Предложенная система (CoT + RLVR + Calibrator) достигает 82.6% test accuracy на задаче классификации Windows endpoint detections (Main text).
• На high-confidence operating point (критичном для автоматического закрытия алертов) система улучшает benign recall на 43.0% по сравнению с direct-label LLM classifier (Abstract / Main text).
• На том же high-confidence пороге malicious recall увеличивается на 18.3% (Abstract).
• Использование untrained confidence judge (zero-shot LLM-as-a-judge) приводит к полному коллапсу метрик: high-confidence recall падает до 0% (Abstract).
• Fine-tuned 30B model значительно превосходит frontier general-purpose models (GPT-4, Claude) в задаче triage, что подтверждает гипотезу о превосходстве targeted training над scale в узких доменах.
• Генерация CoT без последующей калибровки делает label-token probabilities непригодными для использования в качестве confidence scores.
Limitations
• Отсутствие публичного датасета делает невозможным независимый benchmark и проверку заявленных метрик.
• Оценка проводилась исключительно на Windows endpoint detections; обобщаемость на другие типы телеметрии (NDR, Cloud, Linux EDR) не доказана.
• Двухэтапный inference (генерация длинного CoT + прогон через Calibrator) значительно увеличивает latency и compute cost, что может быть критично для high-volume SOC.
• Ground truth labels от SOC analysts неизбежно содержат noise, который RLVR может усиливать (overfitting to human errors).
Practical implications
AI security teams, разрабатывающие системы автоматического triage, должны прекратить использовать logprobs фи...
Source · PDF
Amol Khanna et al. (13) · 2026-07-30 · #eval_methodology · arXiv:2607.28460
🔬 Deep-dive:
Methodology
Методология исследования сфокусирована на создании системы автоматического triage для SOC (Security Operations Center) с использованием 30B LLM. В качестве датасета используется проприетарная телеметрия Windows endpoint detections, размеченная аналитиками (human-labeled). Пайплайн обучения состоит из трех ключевых этапов. Первый этап — automated prompt optimization для генерации высококачественных few-shot примеров. Второй этап — self-training: базовая модель генерирует chain-of-thought (CoT) traces на training set, после чего отфильтровываются только те traces, которые приводят к правильному финальному вердикту (malicious/benign). Третий этап — reinforcement learning with verifiable rewards (RLVR), где модель дообучается генерировать CoT, получая reward исключительно за совпадение финального ответа с ground truth (outcome supervision). Ключевое архитектурное решение авторов основано на наблюдении, что CoT reasoning разрушает калибровку label-token probabilities (logprobs финального токена перестают коррелировать с реальной уверенностью модели). Для компенсации этого эффекта авторы обучают отдельный calibrator (вероятно, classification head или supervised LLM), который принимает на вход полный reasoning trace и предсказывает вероятность корректности вердикта.
Key findings
• Предложенная система (CoT + RLVR + Calibrator) достигает 82.6% test accuracy на задаче классификации Windows endpoint detections (Main text).
• На high-confidence operating point (критичном для автоматического закрытия алертов) система улучшает benign recall на 43.0% по сравнению с direct-label LLM classifier (Abstract / Main text).
• На том же high-confidence пороге malicious recall увеличивается на 18.3% (Abstract).
• Использование untrained confidence judge (zero-shot LLM-as-a-judge) приводит к полному коллапсу метрик: high-confidence recall падает до 0% (Abstract).
• Fine-tuned 30B model значительно превосходит frontier general-purpose models (GPT-4, Claude) в задаче triage, что подтверждает гипотезу о превосходстве targeted training над scale в узких доменах.
• Генерация CoT без последующей калибровки делает label-token probabilities непригодными для использования в качестве confidence scores.
Limitations
• Отсутствие публичного датасета делает невозможным независимый benchmark и проверку заявленных метрик.
• Оценка проводилась исключительно на Windows endpoint detections; обобщаемость на другие типы телеметрии (NDR, Cloud, Linux EDR) не доказана.
• Двухэтапный inference (генерация длинного CoT + прогон через Calibrator) значительно увеличивает latency и compute cost, что может быть критично для high-volume SOC.
• Ground truth labels от SOC analysts неизбежно содержат noise, который RLVR может усиливать (overfitting to human errors).
Practical implications
AI security teams, разрабатывающие системы автоматического triage, должны прекратить использовать logprobs фи...
Source · PDF
arXiv.org
Cybersecurity Detection Classification with Reasoning-enabled...
A major issue in Security Operations Centers (SOCs) is alert fatigue, as the number of detections reported is more than staff can triage in a given day. Prior work prompts or fine-tunes large...
👍5❤1👾1