15亿参数安全模型本地运行：security-slm-1.5b深度评测

导语：近日，安全研究人员Nguuma发布了一款专注于网络安全场景的小型语言模型——security-slm-unsloth-1.5b。该模型基于DeepSeek-R1-Distill-Qwen-1.5B微调而来，仅需1.2GB内存即可在CPU上本地运行，覆盖提示词注入检测、勒索软件事件响应、MITRE ATT&CK映射等核心安全能力。

来源：本文编译自@0x0SojalSec在X平台发布的模型发布公告及HuggingFace官方说明文档。

一、项目概述

安全大模型通常需要高端GPU才能运行，这让许多安全从业人员望而却步。security-slm-1.5b的出现打破了这一瓶颈——这是一款专为网络安全场景优化的15亿参数语言模型，经过量化压缩后仅需1.2GB内存即可在普通CPU上运行。

该模型基于Unsloth优化的DeepSeek-R1-Distill-Qwen-1.5B（4bit量化版本），采用GGUF Q4_K_M格式打包，Apache-2.0开源许可，完全可离线部署。针对当前AI时代的新型网络威胁，模型覆盖了11个核心安全领域，从攻击检测到防御响应均有所涉及。

二、核心能力解析

2.1 蓝队能力

提示词注入与工具污染检测：模型针对MCP（Model Context Protocol）攻击、工具调用注入、上下文污染等2025-2026年新兴的AI原生威胁进行了专项训练，可识别异常的工具调用模式并给出处置建议。

勒索软件事件响应：内置LockBit、BlackCat/ALPHV、Cl0p、Akira等主流勒索软件家族的分类识别能力，可辅助生成事件响应剧本和恢复优先级排序。

MITRE ATT&CK映射与检测规则生成：能够从告警日志中提取TTP（战术、技术和程序），映射到MITRE ATT&CK框架，并生成对应的Sigma规则或KQL查询语句。

CVE/CWE推理分析：支持漏洞根因分析，覆盖CWE-89（SQL注入）、CWE-79（跨站脚本）、CWE-287（身份认证绕过）、CWE-502（反序列化）等常见漏洞类型。

2.2 红队能力

攻击链路模拟：模型可从防御视角反向推演攻击路径，帮助红队人员快速构建攻击剧本。

云原生AI攻击：覆盖RAG污染、通过AI代理发起SSRF、S3配置错误利用等新兴云原生攻击手法。

Guardrail绕过技术识别：可识别Base64编码、Unicode同形字符、编码混淆等主流逃逸技术。

2.3 合规与欺诈检测

模型还内置了金融欺诈模式分析（账户接管、钱骡检测、SIM交换、深度伪造身份欺诈等）以及NDPR、GDPR、PCI-DSS v4.0、ISO 27001等合规框架的差距分析推理能力。

三、训练与性能数据

security-slm-1.5b的训练基于11个安全领域的精选样本，每条样本均采用红队/蓝队配对方式构建——同一威胁同时从攻击者和防御者两个视角进行建模。

指标	数值
基座架构	Qwen2 / DeepSeek-R1-Distill
参数量	15亿（1.5B）
量化格式	GGUF Q4_K_M
推理内存占用	~1.2 GB
训练轮次	5 epochs
最终训练损失	1.69
评测分数（微调前）	3.4 / 10
评测分数（微调后）	8.0 / 10
性能提升	+135%
思考块激活率	100%
LoRA秩	r=16
目标模块	q_proj, k_proj, v_proj, o_proj, gate_proj, up_proj, down_proj

四、快速部署指南

4.1 通过Ollama运行（推荐）

一条命令即可下载并运行：

ollama run hf.co/Nguuma/security-slm-unsloth-1.5b

如需自定义系统提示词，可创建Modelfile：

FROM hf.co/Nguuma/security-slm-unsloth-1.5b

SYSTEM """You are a Cybersecurity assistant with Blue and Red team security reasoning. Think step by step before answering."""

PARAMETER temperature 0.7
PARAMETER top_p 0.9
PARAMETER num_predict 512
PARAMETER num_ctx 2048

然后执行：

ollama create security-slm -f Modelfile && ollama run security-slm

4.2 通过llama.cpp运行

huggingface-cli download Nguuma/security-slm-unsloth-1.5b --include "*.gguf" --local-dir ./

./llama-cli -m security-slm-finetuned.gguf 
  --prompt "Analyse this log entry for signs of prompt injection: ..." 
  -n 512

4.3 Python调用示例

from huggingface_hub import hf_hub_download
from llama_cpp import Llama

model_path = hf_hub_download(
    repo_id="Nguuma/security-slm-unsloth-1.5b",
    filename="security-slm-finetuned.gguf",
    local_dir="./models",
)

llm = Llama(model_path=model_path, n_ctx=2048, n_threads=4, verbose=False)

response = llm.create_chat_completion(
    messages=[
        {"role": "system", "content": "You are a Cybersecurity assistant with Blue and Red team security reasoning. Think step by step before answering."},
        {"role": "user", "content": 'An AI agent received this tool-call response: {"file": "../../../../etc/passwd"}. Is this a path traversal attack? What should the agent do?'},
    ],
    max_tokens=512,
    temperature=0.7,
    top_p=0.9,
)

五、下载方式

模型已开源至HuggingFace，完全免费商用：

HuggingFace地址：https://huggingface.co/Nguuma/security-slm-unsloth-1.5b

模型文件说明：

文件	说明
`*.gguf`	Q4_K_M量化模型，推荐配合Ollama或llama.cpp使用
`adapter_model.safetensors`	LoRA适配器权重（约30MB），需配合Transformers + PEFT使用
`adapter_config.json`	LoRA配置文件
`tokenizer*`	分词器文件