SHAP (SHapley Additive exPlanations) è un metodo di spiegazione post-hoc per modelli di machine learning. Stima di quanto ciascuna caratteristica di input abbia spinto una previsione verso l'alto o verso il basso rispetto a una baseline. Ad esempio, in un modello di phishing o frode, SHAP può mostrare che un'età del dominio sospetta, una posizione di accesso insolita o un importo di transazione non corrispondente hanno contribuito maggiormente al punteggio.
Nel cyber security, SHAP aiuta gli analisti a eseguire il debug delle rilevazioni, validare il comportamento del modello e comunicare il motivo per cui è scattato un alert. È utile per individuare bias, fuga di feature o deriva delle regole nei modelli dei difensori. Ma SHAP non verifica se i dati fossero autentici, aggiornati o autorizzati per l'uso; spiega solo la matematica del modello a posteriori. Ciò significa che SHAP dovrebbe essere affiancato da controlli di provenienza, controlli dei dati sensibili al fattore tempo e convalida delle policy prima dell'inferenza.