Koppel een AI-model aan je IOC-zoekopdrachten

GoChannel Desk werkt met een cloud-AI-aanbieder via een standaard API-eindpunt, met een model dat op je eigen pc draait of met het ingebouwde model. De keuze doet ertoe. Ze bepaalt waar de logregels in een prompt naartoe gaan, en dat telt als logs gebruikersnamen en IP-adressen bevatten.

Drie manieren om een model te koppelen

Een cloud-AI-aanbieder

Een cloud-AI-aanbieder koppel je via een standaard API-eindpunt en past bij grotere logmappen of lastiger redeneerwerk. Prompts gaan naar dat eindpunt, dus alle logregels die de agent meestuurt verlaten je pc. Geheimen in de uitvoer van tools worden afgeschermd voordat ze het model bereiken. Logs bevatten persoonsgegevens. Ook gewone logregels met gebruikersnamen en IP-adressen gaan naar het eindpunt, dus lees eerst de regels van je organisatie.

Een model op je pc

Een model dat lokaal op je pc draait, houdt alles op de machine: bij een lokaal model verlaat niets de pc, wat past bij logs met gebruikersnamen en adressen en bij incidenten die privé moeten blijven. Snelheid en kwaliteit hangen af van je hardware en het model dat je draait. Test het eerst op onschuldige voorbeeldlogs.

Het ingebouwde model

Het ingebouwde model is de optie om te proberen als je geen eindpunt of sleutel bij de hand hebt. De kwaliteit wisselt. Controleer de uitvoer net als die van elk ander model en volg de regels van je organisatie voor persoonsgegevens voordat je het gevoelige logkopieën geeft.

Controleer het eindpunt met Test

De knop Test controleert een eindpunt voordat je erop vertrouwt. Hij toont de responstijd en het contextvenster, en dat zegt hoeveel logtekst in één verzoek past. Test opnieuw na wijzigingen. Een klein venster betekent dat je de agent kleinere bestanden of telkens één map moet geven.

Een model kiezen voor het doorzoeken van logs

Gebruik een groter model voor stappen die inschattingsvermogen vragen, zoals treffers uit meerdere logbestanden met elkaar verbinden of de notitie met bevindingen opstellen, en een kleiner model voor smalle bewerkingen zoals het terugzetten van «defanged» tekst in iocs.txt. run_on_model stuurt één lastige stap naar een groter model, terwijl de rest van de taak op je standaardmodel blijft. Combineer ze.

De kwaliteit wisselt per model. Controleer zelf elke diff en elk zoekresultaat en gebruik Ask first als je een nieuw model probeert, zodat elke wijziging op jouw OK wacht. Een schoon resultaat bewijst nooit dat een systeem schoon is.