Что такое ДаркБЕРТ? Может ли ИИ помочь в борьбе с киберугрозами?

Популярность больших языковых моделей (LLM) стремительно растет, постоянно появляются новые модели. Такие модели, как ChatGPT, обычно обучаются на различных интернет-источниках, включая статьи, веб-сайты, книги и социальные сети.

Команда корейских исследователей разработала DarkBERT, магистратуру, обученную на наборах данных, полученных исключительно из даркнета . Их цель — создать инструмент искусственного интеллекта, который превосходит существующие языковые модели и помогает исследователям угроз, правоохранительным органам и специалистам по кибербезопасности в их усилиях по борьбе с онлайн-угрозами.

Что такое ДаркБЕРТ?

DarkBERT — это модель кодера, основанная на архитектуре RoBERTa. LLM прошел обучение на миллионах темных веб-сайтов, включая данные хакерских форумов, фишинговых сайтов и других онлайн-источников, занимающихся незаконной деятельностью.

Термин «темная паутина» относится к скрытой части Интернета, недоступной через стандартные веб-браузеры. Эта часть Интернета печально известна наличием анонимных веб-сайтов и незаконных рынков, таких как продажа украденных данных, наркотиков и оружия.

Для обучения DarkBERT исследователи получили доступ к даркнету через сеть Tor и собрали необработанные данные. Они тщательно отфильтровали эти данные, используя такие методы, как дедупликация, балансировка категорий и предварительная обработка, чтобы создать точно настроенную базу данных даркнета, которая затем в течение примерно 15 дней была передана в RoBERTa для создания DarkBERT.

Приложения DarkBERT в кибербезопасности

DarkBERT превосходно понимает язык киберпреступников и превосходно обнаруживает конкретные потенциальные угрозы. Он может исследовать темную сеть и успешно выявлять и сигнализировать об угрозах кибербезопасности, таких как утечки данных и программы-вымогатели, что делает его потенциально полезным инструментом для борьбы с угрозами в Интернете.

Исследования, опубликованные на arxiv.org, показывают, что для оценки эффективности DarkBERT исследователи сравнили его с двумя известными моделями НЛП, BERT и RoBERTa, оценивая их производительность в трех случаях использования важных приложений, связанных с сетевой безопасностью.

1. Мониторьте форумы даркнета на предмет потенциально опасных тем.

Мониторинг форумов даркнета, часто используемых для незаконного обмена информацией, важен для выявления потенциально опасных тем. Однако их проверка вручную может занять много времени, поэтому автоматизация процесса полезна для специалистов по безопасности.

Исследователи сосредоточили внимание на потенциально опасной деятельности на хакерских форумах, предоставив аннотированные руководства по важным темам, включая обмен конфиденциальными данными и распространение вредоносного ПО, серьезный вред или уязвимость.

DarkBERT превосходит другие языковые модели с точки зрения точности, запоминаемости и оценки F1, становясь лучшим выбором для выявления важных тем в даркнете.

2. Обнаружение страниц, содержащих конфиденциальную информацию.

Хакеры и группы программ-вымогателей используют даркнет для создания веб-сайтов с утечками информации, на которых публикуются конфиденциальные данные, украденные у организаций, отказывающихся выполнять требования о выкупе. Другие киберпреступники просто загружают утекшие конфиденциальные данные, такие как пароли и финансовую информацию, в темную сеть с намерением продать их.

В своем исследовании ученые собрали данные от известных групп, занимающихся вымогательством, и проанализировали веб-сайты, занимающиеся утечками программ-вымогателей, которые публикуют частные данные организаций. DarkBERT превосходит другие языковые модели в идентификации и классификации таких сайтов, демонстрируя понимание языка, используемого на подпольных хакерских форумах в даркнете.

3. Определите ключевые слова, связанные с угрозами в даркнете.

DarkBERT использует заполнение маски, функцию, присущую моделям семейного языка BERT, для точного определения ключевых слов, связанных с незаконной деятельностью, включая продажу наркотиков в темной сети.

Когда слово «МДМА» было скрыто на странице продажи наркотиков, DarkBERT генерировал слова, связанные с наркотиками, в то время как другие модели предлагали общие слова и термины, не связанные с наркотиками, например, для разных отраслей промышленности.

Способность DarkBERT идентифицировать ключевые слова, связанные с незаконной деятельностью, может оказаться ценной для отслеживания и устранения возникающих киберугроз.

Может ли публичный доступ к DarkBERT?

DarkBERT в настоящее время недоступен для общественности, но желающие исследователи могут запросить его использование в академических целях.