Réduction des fausses alertes dans les systèmes IDS au moyen de modèles de langage (LLMs)

Informations

Établissement

Université Gaston Berger

Date de soutenance

07/01/2026

Résumé

A l'ère de la transformation numérique, le volume de menaces et d’intrusions s’accroît, ce qui fait de la cybersécurité une priorité stratégique pour les organisations. Les systèmes de détection d’intrusion (IDS) sont déployés pour identifier les activités suspectes, utilisant des approches par signatures ou par anomalies. Cependant, ces systèmes, en particulier ceux reposant sur les techniques traditionnelles ou les modèles de Machine Learning (ML) seuls, souffrent d’une limite majeure : la génération d’un taux élevé de faux positifs (FP).
Ce phénomène sature les Security Operations Centers (SOCs), provoque une surcharge d’alertes et conduit à la fatigue des analystes (Alert Fatigue), réduisant l’efficacité globale des opérations de sécurité. Face à ces défis, les méthodes basées sur les statistiques de flux montrent leurs limites, car elles manquent de la capacité à analyser, contextualiser et comprendre les informations sémantiques complexes issues des journaux d’alertes. La recherche s’est orientée vers l’Intelligence Artificielle (IA) avancée.
Ce mémoire s’inscrit dans cette problématique en explorant une architecture hybride IDS+LLM appliquée au jeu de données CICIDS2018. Un classifieur XGBoost est d’abord utilisé pour générer des alertes à partir de caractéristiques de flux réseau, puis différents LLM sont sollicités pour requalifier ces alertes (trafic normal, faux positifs, faux négatifs, véritables attaques) et produire une justification textuelle à partir des seules métriques réseau disponibles. L’objectif est double : améliorer la qualité globale des décisions (en particulier sur les cas ambigus) et fournir des explications compréhensibles, afin de rapprocher la détection automatique des besoins réels des analystes SOC. Les résultats expérimentaux montrent que l’intégration du LLM permet une réduction significative des fausses alertes, notamment grâce à sa capacité à analyser le contexte sémantique des événements. Cette approche nous a permis d’atteindre un niveau de performance élevé et prometteur pour l’amélioration de la détection au sein d’un SOC.