L'analisi forense basata su LLM è l'uso di un modello linguistico di grandi dimensioni per aiutare gli analisti a esaminare log, avvisi, trascrizioni di chat, eventi degli endpoint e altri dati di incidenti. Il modello può riassumere timeline rumorose, raggruppare eventi correlati, estrarre indicatori probabili e suggerire domande per indagini più approfondite. Non sostituisce un analista umano, ma può trasformare grandi volumi di telemetria in un insieme più ristretto di piste.
Questo è importante perché le intrusioni moderne generano troppi dati per una revisione manuale da sola. Durante la difesa, un LLM può aiutare a correlare i fallimenti di autenticazione con chiamate API sospette, identificare sequenze insolite nei log della pipeline o redigere una ricostruzione di ciò che probabilmente è accaduto. Negli attacchi, la stessa capacità può essere usata per velocizzare l'analisi malevola se esposta a telemetria sensibile. Per questo motivo, le organizzazioni dovrebbero mantenere gli artefatti dell'incidente in un ambiente controllato, convalidare l'output del modello rispetto alle prove grezze e trattare i risultati assistiti da LLM come ipotesi, non come prova.