تستدعي عمليات تحليل البرمجيات الضارة (Malware) تفسيرات سريعة ومعقدة لتقاريرات التفجير التي تشمل سلوكيات نظام الملفات والشبكة ومعالجة العمليات. في حين أن نماذج اللغة الكبيرة (Large Language Models) تظهر قدرات مذهلة في تفسير القطع الفنية التقنية، فإن غموض تكاليف استخدام واجهات برمجية مغلقة يجعل من الضروري استكشاف البدائل ذات الوزن المفتوح.

ومع ذلك، يمكن أن تكون العديد من النماذج ذات الوزن المفتوح كبيرة بما يكفي لتتطلب موارد حاسوبية ضخمة وتكاليف استضافة غير ضئيلة، مما يجعلها في متناول يد المشاريع ذات الموارد المحدودة. لذلك، أجرى البحث الحالي دراسة لاستكشاف ما إذا كانت الفرق المنسقة من نماذج لغوية صغيرة (Small Language Models) قادرة على مطابقة أو تجاوز أداء نموذج لغوي كبير في الإجابة عن الأسئلة حول تقارير انفجار البرمجيات الضارة.

للقيام بذلك، قام الباحثون بإنشاء معايير من خلال اختبار أحد عشر نموذجًا صغيرًا مفتوح الوزن، وثلاثة نماذج مدربة مسبقًا في مجال الأمن السيبراني، وستة نماذج لغوية كبيرة على معيار Meta CyberSecEval لتحليل البرمجيات الضارة. ثم تم تصميم وتقييم أربع هياكل للتنسيق:
- **خط أنابيب متعدد الوكلاء** يقوم بتفكيك التحليل إلى مراحل جمع الأدلة المنهجية والتفكير.
- **إطار الجدل العدائي** حيث يقوم وكيلان بانتقاد تفكير بعضهما البعض بشكل متكرر.
- **نظام استشاري هرمي** يربط نموذجًا لغويًا عامًا مع نموذج خبير مختص بالأمن السيبراني.
- **هيكل هجين** يجمع بين خطوط الأنابيب المتعاونة الموجهة بالأدلة مع التفكير العدائي.

أظهر النظام الهجين (Qwen3-4B مع Foundation-Sec-8B) دقة إجمالية بلغت 35.30%، متجاوزًا أقوى نموذج متخصص بالأمن السيبراني (22.54%) وأقوى نموذج غير مفتوح الفريق (34.77%). وعندما تم تزويدهم بنفس خط أنابيب الأدلة، بقي نموذج Gemini المبني على الأدلة هو الأقوى عند 38.22%.

تشير هذه النتائج إلى أن التنسيق القائم على الأدلة يمكن أن يحسن بشكل كبير من أداء نماذج اللغة الصغيرة المتعاونة لدعم تفسير تقارير انفجار البرمجيات الضارة.