Инсайдерские угрозы — одни из самых сложных для обнаружения. Проблема в том, что они исходят от своих же сотрудников, которые уже имеют законный доступ к системам. Специалисты по безопасности знают об этих рисках, но им часто не хватает качественных данных для обучения систем, которые могли бы улавливать едва заметные признаки вредоносного поведения.

Делимся переводом статьи Helpnet Security о проекте, который обучает службу ИБ обнаруживать инсайдеров благодаря ИИ-симуляции. Под катом — о том, как это работает и насколько эффективно.

Кто самый неуловимый злоумышленник? Тот, кто уже внутри

Исследовательская группа из Сингапура представила систему Chimera. Её идея в том, чтобы использовать агентов на основе больших языковых моделей (LLM). Эти агенты имитируют поведение сотрудников в корпоративной среде — как обычное, так и вредоносное. Цель — решить ключевую проблему в этой области: отсутствие реалистичных и при этом неконфиденциальных наборов данных для обучения моделей.

Реальные логи активности содержат конфиденциальную информацию, которую компании не могут использовать открыто. А искусственно созданные данные часто оказываются слишком простыми и не отражают всю сложность реальной IT-среды.

Виртуальные сотрудники с коварным умыслом

Chimera подходит к решению этой задачи с помощью моделирования. Каждый агент LLM в системе — это виртуальный «сотрудник» со своей ролью, обязанностями и даже базовыми чертами личности. Эти агенты взаимодействуют друг с другом: общаются, ходят на встречи, работают с почтой и над проектами. Некоторые из них получают роль инсайдеров-злоумышленников и совершают вредоносные действия, маскируя их под обычную работу.

Команда протестировала Chimera на трёх базовых моделях ИИ: GPT-4o, Gemini-2.0-Flash и DeepSeek V3. GPT-4o выдавал наиболее разнообразные и информативные логи, Gemini чаще выдавал ошибки при выполнении задач, а DeepSeek генерировал более длительные рабочие дни, которые иногда заканчивались за полночь.

Для большей реалистичности систему настроили под разные отрасли: промышленность, финансы и здравоохранение. Затем Chimera регистрировала как обычные действия, так и атаки в шести типах журналов: события входа в систему, электронные письма, история просмотров веб-страниц, операции с файлами, сетевой трафик и системные вызовы.

Что показал месячный эксперимент в виртуальном офисе

В результате месячного моделирования был создан ChimeraLog — масштабный набор данных, содержащий около 25 миллиардов записей. Он включает 15 сценариев атак, основанных на реальных кейсах: от кражи интеллектуальной собственности до мошенничества и саботажа.

Ключевое преимущество для компаний — возможность использовать такие данные без риска утечки собственной конфиденциальной информации. Как отмечает соавтор исследования Цзюнчи Ю из Сингапурского университета менеджмента, организации могут описать свою инфраструктуру и процессы в конфигурационном файле — и получить реалистичные логи, адаптированные под их специфику.

«Реалистичное распознавание должно не только воспроизводить общие закономерности активности, но и фиксировать логичное и контекстуальное поведение пользователей», — добавил Цзюнчи Ю.

По мнению г-на Ю, команды, занимающиеся выявлением внутренних угроз, должны сосредоточиться на двух направлениях: сборе данных, отражающих их собственную среду, чтобы модели могли адаптироваться, и извлечении поведенческих паттернов более высокого уровня из обученных моделей. Такие метапаттерны, как необычный доступ к файлам или ненормированный рабочий день, могут стать основой для переноса знаний в другие организации.

Базу данных по поведению ИИ-сотрудников планируют сделать модульной, она должна связывать тип организации, сценарии и конфигурации, чтобы пользователи могли выбрать шаблон, соответствующий их потребностям.

В перспективе технология может лечь в основу автоматизированных «киберполигонов» — площадок для генерации реалистичных данных и тренировки систем защиты. Это поможет сократить разрыв между лабораторными испытаниями и реальными угрозами, с которыми компании сталкиваются каждый день.