Три доклада о ML глазами специалиста по кибербезопасности
Представления поведения, адаптация LLM и синтетические аномалии могут пригодиться за пределами исходных продуктов. Но перенос требует проверки. Автор сохранённой статьи пересказывает три выступления и отдельно обсуждает возможное применение в информационной безопасности.
Персонализация как представление поведения
Первый раздел посвящён выступлению Кирилла Хрыльченко. Важны выбор событий, их кодирование и согласование обучения нейросетевого признака с финальным ранжировщиком.
Автор статьи проводит аналогию с журналами системных событий и профилями поведения в ИБ. Это его интерпретация: статья не показывает эксперимент, доказавший перенос результатов Яндекса на обнаружение атак.
Двухбашенная архитектура из обзора выступления.
Источник: Иллюстрация из оригиналаАдаптация открытой модели к русскому языку
Во втором разделе пересказан доклад Анатолия Потапова о T-lite. Обсуждаются токенизация, продолженное обучение на языке и домене, отбор данных и настройка на инструкции.
Автор подчёркивает, что общий языковой навык не гарантирует знание специальных терминов. Детали реализации и сравнения моделей следует проверять по исходным материалам команды, поскольку статья содержит авторские пояснения и оговорки по памяти.
Способы обучения новых векторов токенов.
Источник: Иллюстрация из оригиналаСинтетические временные ряды дают управляемую разметку
В третьем докладе Владислава Власова проблема — большое число разнородных рядов и нехватка размеченных аномалий. Рассматриваются авторегрессионная генерация, GAN и построение ряда из тренда, сезонности и шума.
Послойное создание позволяет задавать тип и положение искусственного отклонения, затем добавлять новые сценарии в генератор. Однако успех на такой синтетике ещё требует проверки на реальных данных нужного домена.
Сборка синтетического временного ряда из компонентов.
Источник: Иллюстрация из оригиналаГраница между пересказом и собственной идеей
Разделы о пользе для кибербезопасности принадлежат автору обзора. Они служат отправной точкой для исследования, а не дополнительными результатами трёх выступавших команд.
Эта ссылка в таблице стояла рядом с музыкальным докладом, но фактически ведёт к другому материалу. Поэтому ей выделена отдельная карточка, без смешивания источников.
Этот фрагмент в оригинале