Cybersecurity Detection Classification with Reasoning-enabled Language Models

📄 arXiv: 2607.28460v1 📥 PDF

作者: Amol Khanna, Manu Nandan, Cristian Viorel Popa, Joan Pujol-Roig, Diana Bolocan, Laura Vasilie, Alexandru Apostu, Chase Helwig, Mihaela Gaman, Michael Brautbar, Edward Raff, Chase Midler, Sven Krasser

分类: cs.LG, cs.CR

发布日期: 2026-07-30

💡 一句话要点

提出基于推理的语言模型以解决网络安全检测分类问题

🎯 匹配领域: 支柱二：RL算法与架构 (RL & Architecture) 支柱九：具身大模型 (Embodied Foundation Models)

关键词: 网络安全 检测分类 推理模型 链式推理 强化学习 自动提示优化 误报减少

📋 核心要点

  1. 现有方法未能有效处理警报疲劳问题，导致安全运营中心的检测效率低下。
  2. 论文提出了一种基于链式推理的分类器，结合了自动提示优化和强化学习，提升了检测的准确性。
  3. 实验结果表明，该系统在高置信度下显著提高了良性和恶意检测的召回率，验证了方法的有效性。

📝 摘要（中文）

在安全运营中心（SOC）中，警报疲劳是一个主要问题，因为报告的检测数量超过了工作人员在一天内能够处理的数量。以往的研究通过提示或微调大型语言模型（LLMs）直接输出分类标签，但未训练其推理检测是否为真实威胁。本文通过结合自动提示优化、自我训练和具有可验证奖励的强化学习，训练了一个基于链式推理（CoT）的分类器，针对真实的人类标记的Windows端点检测进行分类。实验结果显示，该系统在测试集上达到了82.6%的准确率，并在高置信度操作点上，良性召回率提高了43.0%，恶意召回率提高了18.3%。

🔬 方法详解

问题定义：本文旨在解决安全运营中心中的警报疲劳问题，现有方法无法有效判断检测是否为真实威胁，导致大量误报。

核心思路：通过训练一个基于链式推理的分类器，使其不仅能输出分类标签，还能推理检测的真实性，从而提高检测的准确性。

技术框架：整体架构包括三个主要模块：自动提示优化模块、自我训练模块和强化学习模块。首先，通过优化提示生成有效的输入；然后，利用自我训练提升模型性能；最后，应用强化学习进行模型的最终调优。

关键创新：最重要的创新在于引入了链式推理机制，使模型能够在输出分类的同时进行推理，从而有效提高了检测的准确性和召回率。与传统的直接标签输出方法相比，具有更高的判断能力。

关键设计：在模型设计中，采用了特定的损失函数来平衡推理和分类的准确性，并设计了一个单独的校准器来评估推理结果的置信度，确保最终输出的可靠性。该校准器在未训练时会导致高置信度召回率降至零，证明了其必要性。

🖼️ 关键图片

fig_0
fig_1
fig_2

📊 实验亮点

实验结果显示，所提出的系统在测试集上达到了82.6%的准确率，并在高置信度操作点上，良性召回率提高了43.0%，恶意召回率提高了18.3%。此外，经过微调的30B模型显著优于现有的通用模型，证明了针对性训练的有效性。

🎯 应用场景

该研究的潜在应用领域包括网络安全监控、入侵检测系统和安全事件响应等。通过提高检测的准确性和召回率，可以有效减少误报，提升安全运营中心的工作效率，降低安全风险。未来，该方法还可扩展至其他领域的异常检测任务，具有广泛的实际价值。

📄 摘要（原文）

A major issue in Security Operations Centers (SOCs) is alert fatigue, as the number of detections reported is more than staff can triage in a given day. Prior work prompts or fine-tunes large language models (LLMs) to emit a triage label directly, but does not train them to reason about whether a detection is a genuine threat. We train a chain-of-thought (CoT) reasoning-enabled triage classifier on real, human-labeled Windows endpoint detections by combining automated prompt optimization, self-training, and reinforcement learning with verifiable rewards. We find that CoT reasoning also degrades the label-token probabilities that automated triage relies on, so we separately train a calibrator that reads the full reasoning trace and estimates the probability that the verdict is correct. Our system reaches 82.6% test accuracy and, at the high-confidence operating point that governs automated triage, improves benign recall by 43.0% and malicious recall by 18.3% over a direct-label LLM classifier. We further show that the trained calibrator is necessary - an untrained confidence judge collapses high-confidence recall to zero - and that a finetuned 30B model significantly outperforms frontier general-purpose models, motivating targeted training over scale.