对大型语言模型的安全性能进行基准测试，谁更胜一筹？
内容提要
SophosAI研究团队评估了大型语言模型（LLM）在网络安全应用中的性能，并创建了三个基于任务的基准测试。测试结果显示，GPT-4在事件调查和事件摘要方面表现最好，而在事件严重性评估方面，大多数模型准确率不高。总体而言，GPT-4和Claude v2模型在所有基准测试中表现最佳。CodeLlama-34B模型适合作为SOC助手部署。
延伸解读
基准测试的独特价值
SophosAI团队指出，通用的自然语言处理基准可能无法准确反映模型在网络安全环境中的实际性能，因为它们无法揭示模型在安全专业知识上的差异。为此，他们设计了三个基于任务的基准，直接针对事件调查、事件摘要和严重性评估等防御性网络安全应用的基本能力。这种任务导向的评估方法更能体现模型在真实安全场景中的实用性。
模型表现差异与选型启示
测试结果显示，GPT-4在事件调查和摘要任务中准确率最高，分别达到88%和显著优于其他模型。Claude v2和GPT-3.5 Turbo在专有模型中表现良好，而CodeLlama-34B在事件调查任务中与Claude模型并列第二，适合作为SOC助手部署。然而，在严重性评估任务中，所有模型准确率均低于30%，远未达到实用水平。这提示选型需根据具体任务权衡。
评估方法的潜在偏差
在事件摘要任务中，用于评估的“黄金标准”摘要最初由GPT-4生成，再由分析师修正，这可能使GPT-4在基于嵌入的指标上获得不公平优势。此外，研究人员结合了精确匹配、最长公共子串、Levenshtein距离、BERTScore和METEOR等多种指标，并辅以定性评估，以更全面地衡量模型输出质量。读者在解读结果时需注意这些方法学细节。
当前局限与未来方向
尽管LLM在威胁搜索和事件调查中表现出有效性，但它们仍需限制和指导，且严重性评估任务对预训练模型仍具挑战性。研究人员观察到模型可能生成额外指令、反刍数据或输出代码等失败行为。这表明，对于复杂的安全任务，可能需要专门针对网络安全数据训练的LLM，而非依赖开箱即用的通用模型。
Q&A
GPT-4在网络安全任务中的表现如何？
GPT-4在事件调查和事件摘要方面表现最佳，但在事件严重性评估方面准确率较低。
CodeLlama-34B模型适合用于什么场景？
CodeLlama-34B模型适合作为安全运营中心（SOC）助手部署。
研究团队创建了哪些基准测试来评估LLM？
研究团队创建了三个基于任务的基准测试：事件调查助手、事件摘要和事件严重性评估。
在事件摘要基准测试中，哪个模型表现最好？
在事件摘要基准测试中，GPT-4表现最好，显著优于其他模型。
LLM在事件严重性评估任务中的表现如何？
大多数模型在事件严重性评估任务中表现不佳，准确率未超过30%。
研究人员对LLM的使用有什么建议？
研究人员建议在使用LLM协助威胁搜索和事件调查时，仍需进行限制和指导。
