مدل‌های زبانی کوچک وارد مبارزه با سایت‌های فیشینگ می‌شوند

به گزارش خبرنگار پايگاه خبري سروش امنيت به نقل از پلیس فتا ، اگرچه تشخیص فیشینگ وب‌سایت مبتنی بر LLM هنوز یک حوزه نسبتاً جدید است، اما در حال افزایش است. مطالعات متعددی تاکنون نتایج امیدوارکننده‌ای را با استفاده از مدل‌ها و استراتژی‌های تحلیلی مختلف گزارش کرده‌اند.

نویسندگان از یک مجموعه داده عمومی شامل تقریباً ده هزار وب‌سایت، که به صفحات بی‌خطر و فیشینگ تقسیم شده بود، استفاده کردند. از این مجموعه، آنها یک نمونه متعادل از هزار سایت را برای معیار اصلی انتخاب کردند. هر صفحه به صورت برش خورده به مدل‌ها داده شد. تنها بخش کوچکی از HTML اصلی باقی مانده بود. این امر هزینه‌های پردازش را پایین نگه داشت و این ایده را منعکس کرد که بخش‌هایی مانند بلوک‌های اسکریپت طولانی، چیز زیادی به نتیجه نهایی اضافه نمی‌کنند.

عناصر انتخاب‌ شده شامل برچسب‌های مرتبط با ناوبری، تصاویر و فراداده‌ها بودند. این موارد اغلب الگوهایی را آشکار می‌کردند که در طرح‌بندی‌های فریبنده ظاهر می‌شدند. دو نسخه اصلاح‌شده ایجاد شد: یکی تا پنج درصد از HTML را حفظ کرد و دیگری تا ۵۰ درصد را. معیار بزرگتر از نسخه کوچکتر استفاده کرد.

هر مدل یک الگوی اعلان یکسان دریافت کرد. این الگو ساختار صفحه را به همراه الگوهای متن و لینک بررسی می‌کرد. خروجی شامل امتیازی از صفر تا ده، برچسبی که صفحه را به عنوان فیشینگ یا بی‌خطر علامت‌گذاری می‌کند و یک توضیح کوتاه بود. این قالب به محققان اجازه داد تا دقت و ثبات درونی را اندازه‌گیری کنند.

آزمایش‌ها تصویر متفاوتی ارائه دادند. برخی از مدل‌ها به خوبی از پس تشخیص فیشینگ برآمدند، در حالی که برخی دیگر در انجام وظایف اساسی مانند ثبات قالب یا تصمیم‌گیری‌های پایدار با مشکل مواجه شدند. دقت در بین مدل‌های باقی‌مانده از پنجاه و شش درصد تا تقریباً ۸۹ درصد متغیر بود و اکثر آنها به ۸۰ درصد یا بالاتر رسیدند. این نشان می‌دهد که مدل‌های کوچک می‌توانند وب‌سایت‌ها را با خروجی پایدار مرتب کنند، اما دامنه نتایج نشان می‌دهد که کیفیت متفاوت است.

عملکرد همچنین از جهاتی که برای استفاده روزانه مهم است، متفاوت بود. یک مدل تقریباً هر صفحه فیشینگ را که علامت‌گذاری می‌کرد، شناسایی می‌کرد و در مواردی که خروجی را برمی‌گرداند، به دقت ۹۸درصد می‌رسید، اما اغلب در تولید فرمت مورد نیاز ناموفق بود. از آنجا که نتایج ناقص برمی‌گشتند، نمی‌توانست از این گزینه استفاده کند. مدل‌های دیگر تهدیدهای کمتری را شناسایی کردند اما پاسخ‌ها را با فرمت ثابتی برگرداندند که باعث شد در کل قابل اعتمادتر باشند.

این مطالعه نشان داد که مدل‌های متوسط ​​در محدوده ده تا بیست میلیارد، عملکردی نزدیک به مدل‌های بزرگ قدیمی‌تر دارند. این نشان دهنده پیشرفت در بین مدل‌های کوچک جدیدتر است. زمان اجرا نیز متفاوت بود. مدل‌های بزرگتر برای هر صفحه چند ثانیه طول می‌کشید که می‌تواند کار اسکن را کند کند. مدل‌های کوچکتر سریع‌تر اجرا می‌شدند اما اغلب نتایج ضعیف‌تری ارائه می‌دادند. این الگو در سراسر آزمایش‌ها مشاهده شد.

مزایای استفاده از مدل‌های زبانی کوچک

اجرای مدل‌ها روی سیستم‌های داخلی، اطلاعات حساس را در جای خود نگه می‌دارد. URLها، HTML و فراداده‌های کاربر به جای عبور از ارائه‌دهندگان خارجی، در داخل سازمان باقی می‌مانند. این موضوع برای تیم‌هایی که تحت قوانین سختگیرانه حفاظت از داده‌ها کار می‌کنند یا با مواد حساس سروکار دارند، اهمیت دارد. در تشخیص فیشینگ‌، یک تنظیمات محلی همچنین به تیم‌ها کنترل مستقیم بر داده‌های خود را می‌دهد و قرار گرفتن در معرض سیستم‌های خارجی را کاهش می‌دهد.

مدل‌های این مطالعه به شکل پیش‌فرض خود آزمایش شدند، اما سازمان‌هایی که مهارت‌های مناسبی دارند می‌توانند آن‌ها را برای کار فیشینگ تنظیم کنند. مجموعه داده‌های داخلی می‌توانند برای تنظیم وزن‌های مدل یا ساخت سیستم‌های مبتنی بر بازیابی که عملکرد را افزایش می‌دهند، استفاده شوند.

اجرای مدل‌ها به صورت محلی، وابستگی به ارائه‌دهندگان خارجی را از بین می‌برد و از وابستگی به فروشنده جلوگیری می‌کند. عملیات به در دسترس بودن، تغییرات قیمت‌گذاری یا تصمیمات داخلی شخص ثالث وابسته نیست. یک راه‌اندازی محلی همچنین از قطعی‌های ابری و مشکلات شبکه خارجی مصون است که می‌تواند قابلیت اطمینان را بهبود بخشد. تأخیر کمتر مزیت دیگری است و زمانی که تشخیص فیشینگ نیاز به پاسخ سریع دارد، مفید است.

مدل‌های کوچک از سیستم‌های اختصاصی بزرگ‌تر عقب می‌مانند و این شکاف در هر معیاری خود را نشان می‌دهد. مدل‌های آزمایش‌شده برای مقیاس خود عملکرد خوبی داشتند و برخی از گزینه‌های کوچک‌تر در وظایف محدود عملکرد خوبی داشتند، اما هیچ‌کدام به سطحی که در کارهای مرتبط با سیستم‌های اختصاصی بزرگ‌تر مشاهده شد، نرسیدند. این شکاف احتمالاً تحت آزمایش‌های مشابه نیز وجود خواهد داشت. همچنین این امر ریسک‌هایی را به همراه دارد، زیرا عملکرد پایین‌تر منجر به هشدارهای کاذب یا تهدیدهای از دست رفته بیشتر می‌شود که می‌تواند تشخیص فیشینگ را مختل کند و به مهاجمان فضای حرکت بدهد.

[author title=”نويسنده” image=”https://soroosheamniyat.ir/wp-content/uploads/2025/03/68ce8398-24e3-40b3-8f1a-cd664029e334.png”]مسعود اسدپور کارشناس امنيت وخبرنگار پايگاه خبري سروش امنيت[/author]

منبع  :
پلیس فتا

پویش #دو_درجه_کمتر