Grands modèles de langage en cybersécurité

Nous avons évalué 7 grands modèles de langage dans 9 domaines de la cybersécurité en utilisant SecBench, un benchmark à grande échelle et multi-format pour les tâches de sécurité.

Nous avons testé chaque modèle sur 44 823 questions à choix multiples (QCM) et 3 087 questions à réponse courte (QRC), couvrant des domaines tels que la sécurité des données, la gestion des identités et des accès, la sécurité réseau, la gestion des vulnérabilités et la sécurité du cloud.

LLM spécialisés en cybersécurité LLMs

LLM à usage général pour la cybersécurité LLMs

Ces grands modèles de langage ne sont pas entraînés uniquement sur des données de cybersécurité, mais peuvent néanmoins bien performer dans ce domaine lorsqu'ils sont sollicités correctement ou évalués sur des benchmarks comme SecBench.

Exemples :

• GPT-4 / GPT-4o
• DeepSeek-V3
• Mistral
• Qwen2 / Yi / LLaMA-3-Instruct
• Hunyuan-Turbo

Évaluation des performances des LLM dans les domaines de la cybersécurité LLM

Ce benchmark évalue 7 LLM généraux LLMs, incluant à la fois des modèles propriétaires (par ex. GPT-4) et des modèles open-source (par ex. DeepSeek, Mistral). Le benchmark couvre 9 sous-domaines de la cybersécurité, notamment :

• Sécurité des données
• Gestion des identités et des accès
• Sécurité des applications
• Sécurité réseau
• Normes de sécurité (et autres)

Les domaines de l'axe des x sont triés par performance des LLM, les domaines à faible score étant placés à gauche et ceux à score élevé à droite.

Benchmark des QCM (Questions à choix multiples) :

QRC (Questions à réponse courte) :

Source : Conception de SecBench¹ Voir la méthodologie du benchmark.

Le rôle des LLM en cybersécurité LLMs

Les grands modèles de langage (LLMs) sont utilisés dans les opérations de cybersécurité pour extraire des informations exploitables à partir de sources non structurées telles que les rapports de renseignement sur les menaces, les journaux d'incidents, les bases de données CVE et les TTP des attaquants.

Les LLMs automatisent des tâches clés, notamment la classification des menaces, le résumé des alertes et la corrélation des indicateurs de compromission (IoC).

Lorsqu'ils sont affinés sur des données de cybersécurité, les grands modèles de langage peuvent détecter des anomalies dans les journaux, analyser les e-mails de phishing, prioriser les vulnérabilités et mapper les menaces à des cadres comme MITRE ATT&CK.

Applications des grands modèles de langage en cybersécurité

Renseignement sur les menaces

Co-pilote pour l'analyse contextuelle des menaces : Les outils pilotés par LLM comme CyLens soutiennent les analystes de sécurité tout au long du renseignement sur les menaces en analysant des rapports de menaces étendus avec des pipelines NLP modulaires et des filtres de corrélation d'entités.²

Renseignement proactif sur les menaces en temps réel : les systèmes intègrent des LLMs avec des cadres de génération augmentée par la récupération (RAG) pour ingérer des flux CTI continus (par ex. CVE) dans des bases de données vectorielles (comme Milvus), permettant une détection, un score et un raisonnement contextuels automatisés et à jour.³

Extraction de CTI basée sur les forums : les LLMs analysent des données non structurées provenant de forums de cybercriminalité pour extraire des indicateurs de menace clés à l'aide d'invites simples.⁴

Détection des vulnérabilités

Enrichissement des descriptions de vulnérabilités : Les LLMs tels que CVE-LLM enrichissent les descriptions de vulnérabilités en utilisant des ontologies de domaine, permettant un triage automatisé et l'intégration du score CVSS dans les systèmes de gestion de sécurité existants.⁵

Détection des vulnérabilités du système de fichiers Android : Étudie comment les LLMs peuvent détecter les vulnérabilités d'accès au système de fichiers dans les applications Android, y compris l'abus de permissions et le stockage non sécurisé.⁶

Affinage RL pour la détection des vulnérabilités : Applique l'apprentissage par renforcement (RL) pour affiner les LLMs (LLaMA 3B/8B, Qwen 2.5B) afin d'améliorer la précision dans l'identification des vulnérabilités logicielles.⁷

Anomalie détection et analyse des journaux

Détection sémantique des anomalies dans les journaux : Des cadres comme LogLLM utilisent des encodeurs/décodeurs LLM pour analyser et classer les entrées de journaux, améliorant la détection d'anomalies au-delà de la correspondance de motifs.⁸

Analyse des journaux avec des grands modèles de langage : L'analyse automatisée des LLM convertit les journaux non structurés en formats structurés via des approches basées sur des invites et affinées.⁹

Red teaming / prévention des attaques assistée par LLM

Pentesting et remédiation pilotés par LLM (penheal) : Automatise les tests d'intrusion en utilisant un pipeline à deux étapes ; d'abord l'identification des faiblesses de sécurité, puis la génération d'actions de remédiation en utilisant une configuration LLM personnalisée.¹⁰

Agent de red team local pour la sécurité interne (hackphyr) : Déploie localement un agent LLM de 7B affiné pour effectuer des tâches de red team telles que la simulation de mouvement latéral, la collecte d'identifiants et l'analyse des vulnérabilités dans les réseaux.¹¹

Découvrez davantage de nos benchmarks et analyses basées sur les données dans la recherche Google.

Ajouter comme source préférée

Méthodologie du benchmark

SecBench est un benchmark à grande échelle et multidimensionnel pour évaluer les LLMs en cybersécurité à travers différentes tâches, domaines, langues et formats.

Dimensions d'évaluation

1. Raisonnement multi-niveaux :

• Rétention des connaissances (KR) : Questions testant des connaissances factuelles ou des définitions. Ceux-ci sont plus simples.
  
• Raisonnement logique (LR) : Questions nécessitant une inférence et une compréhension plus profonde. Ceux-ci sont plus difficiles et testent la capacité du modèle à raisonner en fonction du contexte.

2. Multi-format :

• QCM (Questions à choix multiples) : Format traditionnel où le modèle sélectionne parmi des réponses prédéfinies. Total de 44 823 questions.
  
• QRC (Questions à réponse courte) : Format ouvert nécessitant au modèle de générer sa réponse pour évaluer le raisonnement, la clarté et la résistance aux hallucinations. Total de 3 087 questions.

3. Multi-langue :

SecBench inclut des questions en chinois et en anglais.

4. Multi-domaine :

Les questions couvrent 9 domaines de la cybersécurité (D1–D9), notamment : gestion de la sécurité, sécurité des données, sécurité réseau, sécurité des applications, sécurité du cloud, et plus encore.

Évaluation

Les QCM sont notés en vérifiant si le modèle sélectionne le(s) bon(s) choix(s).

Les QRC sont notés à l'aide d'un GPT-4o mini « agent de notation », qui compare la réponse du modèle à la vérité terrain et attribue un score basé sur l'exactitude et l'exhaustivité.

Évaluation des performances des LLM : Par exemple, la sécurité réseau (D3) est évaluée en regroupant les questions pertinentes de son ensemble de données QCM de 44 823 questions.

La précision est mesurée en fonction des performances de chaque modèle, spécifiquement sur les questions étiquetées sous le domaine D3. Le pourcentage de score d'un modèle pour D3 reflète la proportion de questions de sécurité réseau auxquelles il a répondu correctement.

Citer cette recherche

Choisissez le format qui correspond à votre lieu de publication. Coller la version avec lien dans votre CMS préserve le lien retour.

@misc{dilmegani2026,
  author = {Dilmegani, Cem},
  title  = {{Grands modèles de langage en cybersécurité}},
  year   = {2026},
  month  = jun,
  howpublished    = {\url{https://aimultiple.com/llms-in-cybersecurity}},
  note   = {AIMultiple. Consulté le 5 Juin 2026}
}

Liens de référence

1.

https://arxiv.org/pdf/2412.20787

2.

[2502.20791] CyLens: Towards Reinventing Cyber Threat Intelligence in the Paradigm of Agentic Large Language Models

3.

[2504.00428] LLM-Assisted Proactive Threat Intelligence for Automated Reasoning

4.

https://arxiv.org/pdf/2408.03354

5.

https://arxiv.org/pdf/2502.15932

6.

https://arxiv.org/pdf/2407.11279

7.

https://arxiv.org/pdf/2505.02079

8.

https://arxiv.org/pdf/2411.08561

9.

https://arxiv.org/pdf/2504.04877

10.

https://arxiv.org/pdf/2407.13267

11.

https://arxiv.org/pdf/2407.08991

Cem Dilmegani

Analyste Principal

Suivre

Cem est analyste principal chez AIMultiple depuis 2017. AIMultiple informe des centaines de milliers d'entreprises (selon similarWeb), dont 60% du Fortune 500 chaque mois. Les travaux de Cem ont été cités par des publications internationales de premier plan, notamment Business Insider, Forbes, Washington Post, des entreprises mondiales comme Deloitte, HPE et des ONG comme le World Economic Forum et des organisations supranationales comme la Commission européenne. Tout au long de sa carrière, Cem a exercé en tant que consultant technologique, acheteur technologique et entrepreneur technologique. Il a conseillé des entreprises sur leurs décisions technologiques chez McKinsey & Company et Altman Solon pendant plus d'une décennie. Il a également publié un rapport McKinsey sur la digitalisation. Il a dirigé la stratégie technologique et les achats d'une entreprise de télécommunications tout en relevant du PDG. Il a également dirigé la croissance commerciale de l'entreprise de technologie profonde Hypatos, qui a atteint un revenu récurrent annuel à 7 chiffres et une valorisation à 9 chiffres en partant de zéro en l'espace de 2 ans. Les travaux de Cem chez Hypatos ont été couverts par des publications technologiques de premier plan comme TechCrunch et Business Insider. Cem intervient régulièrement lors de conférences technologiques internationales. Il est diplômé de l'Université Bogazici en tant qu'ingénieur informatique et titulaire d'un MBA de la Columbia Business School.

Voir le profil complet

Soyez le premier à commenter

Votre adresse courriel ne sera pas publiée. Tous les champs sont obligatoires. Les commentaires sont laissés dans leur langue d'origine.

Nom

Adresse email

Commentaire

0/450

Publier un commentaire