الدماغ الدفاعي: لماذا Claude + Foundation-Sec-8B + RAG

وكيل ذكاء اصطناعي يحلّل الأحداث الأمنية لا يكون أفضل من النموذج الذي وراءه والمعرفة التي يستطيع الوصول إليها. اخترنا كليهما بمعايير قياس حقيقية — وتعلّمنا رؤية واحدة توفّر مالًا كثيرًا.

المشكلة: ليس كل نموذج جيّدًا في السيبرانية

من السهل افتراض أن "النموذج الأذكى" هو الأفضل في كل شيء. في السيبرانية، ليس ذلك صحيحًا. يتطلب تحليل الحوادث حلقة تكرار: اكتب استعلامًا، اقرأ النتائج، صحّح، وحاول من جديد. بعض النماذج تبرع في هذا وبعضها ينهار — وليس ذلك دائمًا النموذج "الأقوى".

بماذا قارنّا — معايير قياس، لا ضجيج

اعتمدنا على مصدرين أوليين: CTI-REALM من مايكروسوفت (50 مهمة مقابل محاكاة هجوم حقيقية) وCyberSOCEval من Meta/CrowdStrike (609 حالة مُتحقَّق منها من خبراء). برزت رؤيتان مخالفتان للبديهة:

• يتصدّر Claude العمل الوكيلي — بفضل حلقة كرِّر-وحسِّن، حيث بلغ 0.86–0.92 بينما هبط المنافسون دون 0.50.
• وضع الاستدلال المكلِّف لا يُحسّن التحليل السيبراني — خلافًا للرياضيات والبرمجة. لم تُدرَّب النماذج على "التفكير" في التحليل الأمني، فدفع المال مقابل reasoning-high في الفرز هدر.

ما اخترناه — توجيه ذكي، لا نموذجًا واحدًا

يوفّر التوجيه المال ويصون الخصوصية: معظم العمل يجري على نماذج مجانية/مفتوحة، وتُوجَّه الحالات الأصعب فقط إلى Claude المدفوع.

ولماذا RAG — لا الضبط الدقيق

تتغيّر المعرفة السيبرانية كل يوم: ثغرات CVE جديدة، تقنيات هجوم جديدة، مؤشرات IOC جديدة. لا يمكنك إعادة تدريب نموذج على ذلك. فالأساس هو RAG — نُضمِّن قواعد المعرفة العامة (MITRE ATT&CK، D3FEND، Sigma، تغذيات التهديد) في مخزن متجهات، فيسترجع الوكيل التقنية ذات الصلة، والمضادّ المطابق، وقاعدة الكشف في الزمن الحقيقي.

يُحفَظ الضبط الدقيق لتحويلين ضيّقين فقط حيث يبلغ RAG سقفه: توليد قواعد Sigma ومطابقة تقنية مع ATT&CK — حيث يتفوق نموذج مفتوح صغير مضبوط حتى على النماذج العملاقة.

المراسي الأربعة — وكلها مشروعة تجاريًا

اخترنا عمدًا مصادر مفتوحة يجوز تضمينها في منتج مدفوع: MITRE ATT&CK + D3FEND (تقنية↔مضادّ)، وSigma (قواعد كشف، ترخيص DRL)، وAtomic Red Team (MIT) بوصفه مولّد الأمثلة. حذرنا من ألغام الترخيص: بعض مجموعات البيانات الأكاديمية مسموح بها للبحث فقط ولا يجوز تضمينها في منتج — فنُبقيها منفصلة.

الخصوصية: "وضع خاص" للعملاء الحسّاسين

سجلات الشركة بيانات حسّاسة. فالافتراضي هو العمل على Workers AI (تبقى البيانات داخل مستأجر Cloudflare)، وقبل أي قفزة إلى واجهة خارجية توجد خطوة تنقية PII. ينال أشدّ العملاء حساسية "وضعًا خاصًا" مثبَّتًا على Foundation-Sec-8B الذي نستضيفه بأنفسنا — ولا تغادر البيانات حدودنا إطلاقًا.

يصف هذا المقال بنية الذكاء الاصطناعي واعتبارات الاختيار. أرقام معايير القياس دقيقة حتى 2026 وينبغي التحقق منها مقابل المصدر. لا توجد هنا مفاتيح API ولا أسرار ولا مطالبات داخلية.