[論文レビュー] Large Language Models in Cybersecurity: State-of-the-Art

Farzad Nourmohammadzadeh Motlagh, Mehrdad Hajizadeh+4 more|arXiv (Cornell University)|Jan 30, 2024

Network Security and Intrusion Detection被引用数 9

ひとこと要約

LLMs がサイバー防御と攻撃にどのように使用されるかについての包括的な文献レビューで、NISTフレームワークと MITRE ATT&CK に対応づけ、研究のギャップを浮き彫りにする。

ABSTRACT

The rise of Large Language Models (LLMs) has revolutionized our comprehension of intelligence bringing us closer to Artificial Intelligence. Since their introduction, researchers have actively explored the applications of LLMs across diverse fields, significantly elevating capabilities. Cybersecurity, traditionally resistant to data-driven solutions and slow to embrace machine learning, stands out as a domain. This study examines the existing literature, providing a thorough characterization of both defensive and adversarial applications of LLMs within the realm of cybersecurity. Our review not only surveys and categorizes the current landscape but also identifies critical research gaps. By evaluating both offensive and defensive applications, we aim to provide a holistic understanding of the potential risks and opportunities associated with LLM-driven cybersecurity.

研究の動機と目的

• サイバーセキュリティにおけるLLMsの防御的および敵対的な適用を特徴づける。
• LLMを活用したサイバー防御アプローチをNIST Cybersecurity Frameworkの機能（Identify, Protect, Detect, Respond, Recover）にマッピングする。
• 攻撃後のシナリオ（Recovery）における主要な研究ギャップと機会を特定する。
• 現在の文献に基づく、サイバー防御と攻撃におけるLLM駆動戦略の分類法を提供する。

提案手法

• サイバーセキュリティにおけるLLMsに関する既存文献をレビュー・総括する。
• NISTフレームワーク（Identify, Protect, Detect, Respond, Recover）に従って防御的適用を分類する。
• MITRE ATT&CKフレームワークの下での敵対的/攻撃者によるLLMsの利用をカタログ化する。
• 引用された研究で使用される主要な技術、モデル、およびデータソースを要約する。
• 観察された傾向に基づいてギャップと今後の研究方向を特定する。

Figure 1. The present bar chart illustrates the distribution of studies mapped to each of the five elements of the NIST Cybersecurity Framework. Collected statistics indicate that the vast amount of studies are related to Protect and Detect functions emphasizing research gaps related to Identify, Re

実験結果

リサーチクエスチョン

• RQ1 サイバーセキュリティにおけるLLMsの防御的適用の中で最も発展しているものは何で、NISTフレームワークとどう整合しているか？
• RQ2 LLMsはサイバーセキュリティにどのような攻撃的/敵対的能力を導入し、それらは攻撃者の戦術（MITRE ATT&CK）にどう対応するか？
• RQ3 現在のLLMベースのサイバーセキュリティ研究における主なギャップ、特に攻撃後の領域（Identify/Respond/Recover）である。

主な発見

• ほとんどの研究は、LLMを用いたサイバー防御のNISTフレームワークのProtectおよびDetect機能に焦点を当てている。
• 攻撃後のシナリオ、特にRecover、そしてある程度Respondに顕著な研究ギャップがある。
• 防御指向の幅広い研究には異常検知、脆弱性評価、セキュアコーディング、フィッシング・マルウェア検知、CTI処理などが含まれる。
• 敵対的文献は、LLMsが偵察、初期アクセス、実行を、スクリプト化、プロンプト、コード生成技術を通じて利用できることを示している。
• いくつかの研究は、Red Teaming、フィッシングサイト検知、スマートコントラクト監査、自動化されたペネトレーションテストのためのLLMsを評価しており、デュアルユースの可能性を示している。
• 文献レビューには、複数のドメイン特化モデル（CyBERT、SecureBERT、SecureFalcon など）および実用的なデプロイ（PENtestGPT、ShelLM など）が含まれる。

Figure 2. Concentration of recently published papers on attack approaches using LLM