ああ、これはLLMを使ってシステムの『ログ』からハッカーの動きを見つけ出そうっていう研究だよ。今の検知システムって、実は結構ポンコツなんだ。

そうなんだ。従来のシステムは、ちょっとした変化でも『攻撃だ！』って騒いじゃう誤検知が多いし、ログに書かれたメッセージの『意味』を理解できないんだよね。オオカミ少年みたいな状態になってる現場も多いんだ。

例えとしては悪くないね。でも、その日記が膨大すぎて人間には読めないし、システムごとに書き方もバラバラなんだ。この論文では、まず『LogAtlas』っていう巨大で多様なログのデータセットを作って、AIに学習させているんだよ。

そこがこの論文の賢いところでね。2段階で学習させているんだ。まず『Base-AMAN』っていう30億パラメータもある大きなモデルに、ログの読み方を徹底的に教え込む。ここでは『LoRA』っていう、モデルの一部だけを効率よく書き換える手法を使っているよ。

鋭いね。だから第2段階として、その知識を0.5億パラメータの小さな『AMAN』っていうモデルに引き継がせるんだ。これを『知識蒸留』って呼ぶよ。さらに『Soft Mixture-of-Experts (Soft-MoE)』っていう、得意分野を持つ専門家チームをモデルの中に作るような技術も使って、効率を上げているんだ。

まあ、イメージは合ってるかな。そのおかげで、1つのログの塊を調べるのに0.3秒から0.5秒しかかからないし、1日の電気代みたいな運用コストも50ドル以下で済むんだ。これなら実際の会社でも使えるレベルだよ。

バッチリだよ。面白いのは、普通のAIが『正解率99%』って言ってても、実は攻撃を1件も見逃してたりすることがあるって指摘してるところだね。このモデルは、攻撃が少ない現実的な状況でも、ちゃんと異常を見抜けるように訓練されているんだ。

そうだね。今後は、ただ『異常です』って言うだけじゃなくて、『なぜ異常なのか』を人間にもっと分かりやすく説明する機能なんかが期待されているよ。ただ、まだ新しい攻撃パターンに対応し続けるっていう課題はあるけどね。

僕の私生活はシステムログに残らないから無理だよ。あと、お菓子なんて隠してないし。……早く勉強に戻りなよ。