Локальная Qwen для анализа вредоносного ПО: размер модели решает не всё
Автор канала Order Of Six Angles @orderofsixangles проверил пять небольших моделей Qwen на статическом анализе Windows-вредоноса через собственный инструмент re-harness. Его ключевая идея — сократить интерфейс между LLM и IDA Pro: вместо 88 функций в типичном MCP-сервере модель получает пять инструментов, а схема занимает около 2 000 токенов вместо 30 000. Для локальных моделей это означает меньше путаницы при вызовах и больше контекста непосредственно под анализ.
Qwen 9B и 14B корректно работали с инструментами, но раскрыли лишь часть поведения образца. 9b модель покрыла около половины чек-листа и ошибочно назвала вредонос эксплойтом; 14B заметного прироста не дала. С 27B произошёл качественный скачок: модель распознала отключение VSS, установку драйвера, низкоуровневую работу с NTFS, повышение привилегий и другие функции. Цена — почти десять минут работы и 81 000 токенов контекста на стенде автора.
Qwen3-Coder-30B-MoE, несмотря на скорость, оказался слишком поверхностным: семь вызовов инструментов, две изученные функции и почти бесполезный отчёт. Лучшим компромиссом автор считает Qwen 35B-A3B-MoE: примерно за три минуты модель дала результат, близкий к 27B, пропустив лишь работу с драйвером.
Это не универсальный рейтинг: тест проводился на одном PE-файле размером 117 КБ без обфускации и в режиме one-shot промпта. Но вывод для локального AI-анализа практичный: качество зависит не только от числа параметров. Узкий набор инструментов, экономная схема и способность модели последовательно исследовать функции могут быть важнее специализации на программировании. 👍
Точный набор моделей (инфа от автора):
nvidia/Qwen3-14B-NVFP4
nvidia/Qwen3-Coder-30B-A3B-Instruct-FP4
unsloth/Qwen3.5-9B-GGUF (Qwen3.5-9B-UD-Q4_K_XL)
unsloth/Qwen3.6-27B-NVFP4
nvidia/Qwen3.6-35B-A3B-NVFP4
Тест новой qwen3.8:27b будет на более сложном образце малвари)
📹 Видео на YouTube
💻 re-harness
Автор канала Order Of Six Angles @orderofsixangles проверил пять небольших моделей Qwen на статическом анализе Windows-вредоноса через собственный инструмент re-harness. Его ключевая идея — сократить интерфейс между LLM и IDA Pro: вместо 88 функций в типичном MCP-сервере модель получает пять инструментов, а схема занимает около 2 000 токенов вместо 30 000. Для локальных моделей это означает меньше путаницы при вызовах и больше контекста непосредственно под анализ.
Qwen 9B и 14B корректно работали с инструментами, но раскрыли лишь часть поведения образца. 9b модель покрыла около половины чек-листа и ошибочно назвала вредонос эксплойтом; 14B заметного прироста не дала. С 27B произошёл качественный скачок: модель распознала отключение VSS, установку драйвера, низкоуровневую работу с NTFS, повышение привилегий и другие функции. Цена — почти десять минут работы и 81 000 токенов контекста на стенде автора.
Qwen3-Coder-30B-MoE, несмотря на скорость, оказался слишком поверхностным: семь вызовов инструментов, две изученные функции и почти бесполезный отчёт. Лучшим компромиссом автор считает Qwen 35B-A3B-MoE: примерно за три минуты модель дала результат, близкий к 27B, пропустив лишь работу с драйвером.
Это не универсальный рейтинг: тест проводился на одном PE-файле размером 117 КБ без обфускации и в режиме one-shot промпта. Но вывод для локального AI-анализа практичный: качество зависит не только от числа параметров. Узкий набор инструментов, экономная схема и способность модели последовательно исследовать функции могут быть важнее специализации на программировании. 👍
Точный набор моделей (инфа от автора):
nvidia/Qwen3-14B-NVFP4
nvidia/Qwen3-Coder-30B-A3B-Instruct-FP4
unsloth/Qwen3.5-9B-GGUF (Qwen3.5-9B-UD-Q4_K_XL)
unsloth/Qwen3.6-27B-NVFP4
nvidia/Qwen3.6-35B-A3B-NVFP4
Тест новой qwen3.8:27b будет на более сложном образце малвари)
📹 Видео на YouTube
💻 re-harness