Sophos hat am 11. November 2026 neue Ergebnisse zur KI-gestützten Verbesserung von Sicherheitsmodellen veröffentlicht. Die Forscher nutzen statistische Anomalieerkennung, um seltene und schwer einzuordnende Dateien aufzuspüren. Ein großes Sprachmodell (LLM) bewertet diese Beispiele anschließend, bevor ausgewählte Fälle die Trainingsdaten klassischer Malware-Klassifikatoren ergänzen. Die Methode soll deren Erkennungsleistung verbessern, ohne aus jeder statistischen Auffälligkeit einen Sicherheitsalarm zu machen.
Die von Sophos veröffentlichten Versuche betreffen unter anderem HTML-Dateien, RTF-Dokumente und Kommandozeilen. Besonders bei RTF-Dateien verbesserte sich ein Qualitätsmaß des Klassifikators deutlich. Die Einzelheiten stammen aus dem Forschungsbeitrag von Sophos; eine gleichwertige offizielle deutsche Fassung war bei der Recherche nicht verfügbar.
Das Problem: Sicherheitsmodelle kennen vor allem typische Fälle
Viele Sicherheitsprodukte verwenden Klassifikatoren, die aus zuvor bewerteten Dateien und Vorgängen lernen. Solche Trainingsbestände enthalten häufig leicht erkennbare harmlose Beispiele und bereits untersuchte Angriffsmuster. Seltene legitime Dokumente, ungewöhnliche Skripte oder neue Angriffstechniken sind dagegen unterrepräsentiert. Genau bei diesen Grenzfällen können später Fehlalarme oder übersehene Angriffe entstehen.
Sophos setzt an dieser Lücke der Trainingsdaten an. Verfahren zur Anomalieerkennung suchen zunächst Beispiele, die von gewohnten Mustern abweichen. Anders als bei einem klassischen Warnsystem sollen diese Abweichungen aber nicht unmittelbar als Bedrohung beim Administrator aufschlagen. Sie sind zunächst Kandidaten für eine genauere Bewertung und eine mögliche spätere Aufnahme in den Trainingsbestand.
Zwei gegensätzliche KI-Bewertungen statt einer einzigen Entscheidung
Das Forschungsteam kombiniert drei Verfahren: Isolation Forest, K-Means und einen auf Hauptkomponentenanalyse (PCA) beruhenden Rekonstruktionsfehler. Sie betrachten unterschiedliche Eigenschaften der Dateien. Dazu gehören Strukturmerkmale wie die Zeichenverteilung, Textmuster sowie das gemeinsame Auftreten bestimmter Begriffe oder Zeichenfolgen. Weil die Verfahren nicht dieselben Ausreißer finden, sollen ihre Ergebnisse unterschiedliche Lücken im Trainingsmaterial sichtbar machen.
Die ausgewählten Beispiele werden anschließend mit zwei unterschiedlich ausgerichteten LLM-Abfragen bewertet. Die eine behandelt zweifelhafte Fälle eher als schädlich, die andere eher als harmlos. Nur wenn beide Bewertungen übereinstimmen, wird das Ergebnis als zusätzlicher Trainingsdatensatz akzeptiert. Uneinige Fälle werden verworfen. Damit soll verhindert werden, dass die KI zweifelhafte Beispiele zu selbstsicher falsch etikettiert.
Die KI übernimmt damit nicht die endgültige Malware-Abwehr auf Endgeräten. Sie hilft, neues Lernmaterial für separate, überwachtes Lernen verwendende Sicherheitsklassifikatoren zu gewinnen. Für Sicherheitsabteilungen ist die Unterscheidung wichtig: Eine bessere Kennzeichnung von Trainingsfällen ist nicht dasselbe wie eine durch eine KI direkt ausgelöste Echtzeitwarnung.
RTF-Erkennung verbessert, Ergebnisse bei HTML uneinheitlich
Sophos untersuchte den Ansatz anhand von drei Datentypen mit sehr unterschiedlichen Mengen: ungefähr zehn Millionen Kommandozeilen, eine Million HTML-Dateien und 10.000 RTF-Dateien pro Monat. Die neu veröffentlichten Zahlen zeigen, dass der Nutzen vom Datentyp und vom vorgeschalteten Anomalieverfahren abhängt.
Bei RTF-Dokumenten stieg die sogenannte ROC-AUC mit zusätzlichen Beispielen aus Isolation Forest von 0,9602 auf 0,9833. Der Hersteller beziffert dies als relative Verbesserung um 2,41 Prozent. Bei HTML-Dateien erreichte K-Means den besten Einzelwert: Die ROC-AUC stieg von rund 0,9705 auf 0,9771. Die gemeinsame Nutzung aller untersuchten Ausreißer führte hier zu einem geringeren Zugewinn, während das PCA-Verfahren allein den Messwert sogar verschlechterte.
ROC-AUC bewertet die Fähigkeit eines Modells, harmlose und schädliche Beispiele über unterschiedliche Entscheidungsschwellen hinweg zu trennen. Aus dem Wert lässt sich weder eine konkrete neue Erkennungsquote im Produktivbetrieb noch eine unmittelbar sinkende Zahl von Fehlalarmen ablesen. Die Ergebnisse zeigen einen Erfolg im beschriebenen Versuchsaufbau, sind aber kein Nachweis einer bereits eingeführten Verbesserung sämtlicher Sophos-Produkte.
Warum das für Sicherheitsteams relevant ist
Die Untersuchungen betreffen ein Grundproblem automatisierter Bedrohungserkennung: Neue oder seltene Muster sind für klassische Erkennungssysteme oft besonders schwierig. Ein Verfahren, das genau solche Beispiele kontrolliert in den Trainingsprozess zurückführt, könnte Modelle gezielt dort verbessern, wo bekannte Datensätze Lücken haben. Das gilt prinzipiell auch für ungewöhnliche PowerShell-Aufrufe, verdächtige HTML-Inhalte oder Dokumente mit missbräuchlich verwendeten Funktionen.
Für den praktischen Einsatz bleibt die Qualität der hinzugefügten Kennzeichnungen entscheidend. Werden fehlerhafte Labels übernommen, kann das Modell unerwünschte Muster lernen. Der von Sophos beschriebene Abgleich der zwei KI-Bewertungen reduziert diese Gefahr nach den Tests, ersetzt aber keine unabhängige Validierung unter realen Einsatzbedingungen. Auch die Messung von Fehlalarmzahlen, Ressourcenbedarf und Robustheit bei sich verändernden Angriffsmethoden bleibt erforderlich.
Für Anwender und Administratoren entsteht aus der Forschungsnachricht kein unmittelbarer Update- oder Konfigurationsbedarf. Sophos beschreibt eine Forschungsmethode und Versuche zur Modellverbesserung, keine neue Softwareversion oder konkret freigegebene Schutzfunktion.
Forschungsbericht und technische Details
Die Beschreibung des Verfahrens, die verwendeten Modelle und die Ergebnis-Tabellen sind bei Sophos nachlesbar: Anomaly detection with LLMs – Sophos Research (11. November 2026). Der Beitrag enthält auch Hinweise für Teams, die das Verfahren mit eigenen Trainingsdaten untersuchen wollen.
Werbung
(**) UVP: Unverbindliche Preisempfehlung
Preise inkl. MwSt., zzgl. Versandkosten