> projects / xdr
XDR 单包研判模型 2.0&3.0
01项目背景与目标
面向重点 KA 客户的 XDR 安全运营能力,模型以单条数据包(HTTP 请求)为研判单位,输出「是否攻击」与攻击结果。真实场景中长期存在误报、漏报偏高的问题:一方面把正常行为判为攻击,抬高运营成本;另一方面漏掉真实攻击,留下风险敞口。
目标是把这个单包研判模型从「能跑」推到「能上线」:降低误报 / 漏报,提升攻击结果判定的准确率,并让新版本能够稳定、快速、可复现地交付上线。
02端到端方案
作为项目的核心研发成员,独立完成从根因分析、数据泛化、SFT + RL(GRPO)训练、自测集与蓝军 Benchmark 测评,到 vLLM 部署的全链路迭代。整条链路共九道工程环节,按发生顺序串成一条链:训练侧产出模型,交付侧把它变成可服务、并且能持续压成本,验证侧证明它真的可用。其中量化与蒸馏处在同一位置,是两条并行的降本路线——量化改精度不动结构,蒸馏直接换一个小模型,两者可单选也可叠加。
各环节的原理、参数与踩坑属于技术细节,已单独整理成文——见 技术分享全文。本页只呈现项目层面的效果与结果。
03技术栈
链路涉及的主要算法、框架与工具:
各算法的原理与参数细节,见 技术分享全文。
04效果与指标
业务效果(线上)
在自测集与蓝军 Benchmark 上,各项指标相比上一版提升 2%~14%,误报 / 漏报率压到 1% 以内;线上真实业务效果从 29% 提升到 91%。
迭代效率(RL 训练数据压缩)
针对 RL 训练耗时长的问题,独立设计分层自适应抽样 + SimHash / MMR 去重 + 难度加权的压缩算法,把训练数据从 14690 条压到 4000 条,单次训练从 30 小时缩短到约 7 小时,核心指标基本不掉(算法详情)。
交付效率
从 0 到 1 搭建「数据回流 & 打标 & 生产 & 训练 & 测评」的自动化交付闭环,沉淀出可复用的交付标准与模板,把单次交付周期从约一周缩短到 3 天。
05个人贡献与亮点
- 独立端到端交付:从根因分析到线上部署全链路由我独立推进,模型版本完成 2.0&3.0 的迭代。
- 数据侧突破:自研 GRPO 训练数据压缩算法,在几乎不掉点的前提下把训练数据压到约四分之一、训练提速约 4.3 倍。
- 工程化沉淀:搭建自动化交付闭环与标准化模板,让迭代从「手工」转向「可复现」。
- 认可:公司级「年度优秀个人」、体系级「优秀新人」。