小型、免费且高效：编排开源小语言模型在恶意软件分析中优于单一大型语言模型

一篇论文研究用多个开源小语言模型（SLM）编排进行恶意软件分析。设计了四种编排架构，其中混合架构（Qwen3-4B结合Foundation-Sec-8B）整体准确率达35.30%，超过最强网络专门基线（22.54%）和前沿无根基基线，证明小模型编排可超越单一大型语言模型。

此前恶意软件分析依赖大型语言模型，但封闭模型API成本高、开源大模型计算资源需求大。该研究表明通过合理编排多个小模型，可达到或超过单一大型模型性能，且成本显著降低，为资源受限场景提供可行替代方案。

通过多代理流水线将分析分解为证据收集与推理阶段、对抗辩论框架让两代理相互批判推理、层级咨询系统结合通用与专业模型，以及混合架构融合证据驱动的流水线与对抗辩论推理，利用小模型互补优势提升整体准确率。

安全产品团队可转而部署由多个开源小模型组成的编排系统进行恶意软件分析，减少对昂贵API的依赖，降低计算和托管成本，同时获得相当或更优分析质量。

• 在端点检测产品中集成基于SLM编排的恶意软件分析模块，替代单一LLM。
• 开发免费或低成本的恶意软件分析SaaS服务，利用小模型编排降低运营成本。
• 为安全运营中心提供可本地部署的轻量级分析引擎，避免数据外传风险。

• 混合架构在高并发或实时分析场景下的延迟和吞吐量是否满足生产要求？
• 编排方案对恶意软件变种或从未见过的新型攻击是否仍有效？
• 不同小模型组合（非论文所用模型）是否能复现类似性能提升？
• 该编排方法是否适用于其他安全分析任务（如钓鱼检测、漏洞分析）？