[论文解读] Large Language Models in Cybersecurity: State-of-the-Art

Farzad Nourmohammadzadeh Motlagh, Mehrdad Hajizadeh+4 more|arXiv (Cornell University)|Jan 30, 2024

Network Security and Intrusion Detection被引用 9

一句话总结

对大型语言模型（LLMs）在网络防御与进攻中的使用的全面文献综述，映射到 NIST 框架和 MITRE ATT&CK，并强调研究空白。

ABSTRACT

The rise of Large Language Models (LLMs) has revolutionized our comprehension of intelligence bringing us closer to Artificial Intelligence. Since their introduction, researchers have actively explored the applications of LLMs across diverse fields, significantly elevating capabilities. Cybersecurity, traditionally resistant to data-driven solutions and slow to embrace machine learning, stands out as a domain. This study examines the existing literature, providing a thorough characterization of both defensive and adversarial applications of LLMs within the realm of cybersecurity. Our review not only surveys and categorizes the current landscape but also identifies critical research gaps. By evaluating both offensive and defensive applications, we aim to provide a holistic understanding of the potential risks and opportunities associated with LLM-driven cybersecurity.

研究动机与目标

• 描述在网络安全中 LLMs 的防御性与对抗性应用。
• 将基于 LLM 的网络防御方法映射到 NIST 网络安全框架的功能（Identify、Protect、Detect、Respond、Recover）。
• 识别关键研究空白与在攻击后情景（Recovery）中的机会。
• 基于现有文献提供一个基于 LLM 的网络防御与攻击策略的分类体系。

提出的方法

• 回顾并综合现有关于 LLMs 在网络安全中的文献。
• 根据 NIST 框架（Identify、Protect、Detect、Respond、Recover）对防御性应用进行分类。
• 在 MITRE ATT&CK 框架下编目对抗/攻击者对 LLMs 的使用。
• 总结所引文献中使用的核心技术、模型和数据源。
• 基于观察到的趋势识别空白与未来研究方向。

Figure 1. The present bar chart illustrates the distribution of studies mapped to each of the five elements of the NIST Cybersecurity Framework. Collected statistics indicate that the vast amount of studies are related to Protect and Detect functions emphasizing research gaps related to Identify, Re

实验结果

研究问题

• RQ1 在网络安全领域，LLMs 的哪些防御性应用最为成熟，它们与 NIST 框架的对齐如何？
• RQ2 LLMs 在网络安全中引入了哪些对抗性/攻击能力，以及它们如何映射到攻击者战术（MITRE ATT&CK）？
• RQ3 当前基于 LLM 的网络安全研究在攻击后（Identify/Respond/Recover）领域的主要空白有哪些？

主要发现

• 大多数研究聚焦于 NIST 框架的 Protect 与 Detect 功能，用于基于 LLM 的网络防御。
• 在攻击后情景，特别是 Recover 领域存在显著的研究空白，回应方面在某种程度上也有空缺。
• 大量以防御为导向的工作包括异常检测、漏洞评估、安全编码、钓鱼与恶意软件检测，以及 CTI 处理。
• 对抗性文献表明可以通过脚本化、提示和代码生成等技术使用 LLMs 进行侦察、初始准入和执行。
• 若干研究评估了用于红队演练、钓鱼站点检测、智能合约审计和自动化渗透测试的 LLMs，体现双向使用潜力。
• 文献综述包括多种领域特定模型（CyBERT、SecureBERT、SecureFalcon 等）和实际部署（PENtestGPT、ShelLM 等）。

Figure 2. Concentration of recently published papers on attack approaches using LLM