LLM

Ein Large Language Model (LLM) ist ein KI-Modell, das auf sehr grossen Textmengen trainiert wurde. Es versteht und erzeugt Sprache und kann Texte zusammenfassen, übersetzen, einordnen und Code schreiben.

So funktioniert es

Ein LLM sagt Token für Token (meist Wortteile) vorher, welche Fortsetzung am wahrscheinlichsten ist. Durch das Training auf grossen Datenmengen hat es Wissen und Sprachmuster gelernt. Mit Anweisungen, Beispielen und Werkzeugen lässt es sich für bestimmte Aufgaben steuern. Das Modell kennt aber nur, was im Training vorkam oder was es im Moment erhält. Es kann überzeugend klingende, aber falsche Aussagen machen.

Ein Beispiel aus der Praxis: Ein Alert enthält eine lange, verschleierte PowerShell-Befehlszeile. Ein LLM dekodiert und entschleiert sie und beschreibt in drei Sätzen, was der Befehl tut. Der Analyst prüft die Aussage anhand der EDR-Daten. Er spart dadurch mehrere Minuten manueller Analyse.

Worauf Sie achten sollten

• LLMs können falsche Angaben erfinden. Wichtige Aussagen brauchen eine Prüfung anhand von Daten.
• Eingaben können manipuliert sein. Prompt Injection ist ein reales Risiko.
• Klären Sie, wo das Modell läuft und ob Eingaben zum Training verwendet werden.
• Begrenzen Sie die Rechte von Systemen, die ein LLM steuern kann.
• Messen Sie die Qualität für Ihre Aufgaben mit einem festen Testset.

Schweiz und Regulierung

Für LLMs gibt es in der Schweiz kein eigenes Gesetz. Das revDSG gilt aber, sobald Personendaten verarbeitet werden. Der EDÖB hat klargestellt, dass das Datenschutzgesetz auch auf KI-Anwendungen anwendbar ist. Für Firmen mit EU-Bezug kommt der EU AI Act hinzu.

Einsatz im SOC

Im SOC eignen sich LLMs für Zusammenfassungen, die Auswertung unstrukturierter Daten und das Vorbereiten von Berichten. Entscheidungen mit Folgen für den Betrieb sollten an Regeln und menschliche Freigaben gebunden bleiben.

So setzen wir es um

Unsere Agentic AI nutzt LLMs für die Auswertung von Cases. Eingriffe in Ihre Systeme erfolgen nur innerhalb des Mandats.