Смысловой анализ коммуникаций для выявления фрода и утечек
Локальная система на базе LLM, которая находит подозрительные эпизоды в почте, звонках и ЭДО, даже когда сотрудники пытаются обойти контроль, и не выпускает персональные данные за пределы контура.
Проблема
В отделе информационной безопасности аналитики проверяли корпоративную почту, звонки и ЭДО сотрудников, чтобы выявлять коррупционные схемы и утечки информации.
- DLP искала ключевые слова простым сравнением, поэтому её легко было обойти синонимами, сленгом или опечатками.
- Расширение словаря не помогало: оно только увеличивало число ложных срабатываний, и аналитики тонули в неинформативных данных.
- Звонки анализировались полным прослушиванием, на которое уходило огромное количество времени.
Задача
Построить систему смыслового анализа коммуникаций, которая находит подозрительные эпизоды даже при попытках обхода и при этом не выпускает персональные данные за пределы контура. Для этого требовалось:
- Подобрать серверное оборудование под локальные модели.
- Упростить для аналитиков работу с закрытой DLP-системой.
- Локально развернуть LLM для разбора данных и модель для транскрибации звонков.
- Обеспечить обезличивание ПДн перед отправкой данных во внешнюю модель.
- Собрать конвейер обработки сырых данных — от выгрузки до результата у аналитика.
Решение
Подобрал серверное оборудование и развернул на нём локально:
| Компонент | Назначение |
|---|---|
| Qwen 72B | Разбор и структурирование данных |
| GigaAM | Транскрибация звонков |
| Qdrant | Векторное хранилище |
| PostgreSQL | Хранение оригиналов и словаря токенов |
Клиент для аналитика
Написал на C# клиентское приложение: файлы выбираются в проводнике и через контекстное меню (правая кнопка мыши) отправляются на сервер по закрытой локальной сети.
Конвейер обработки
Выгрузка → Транскрибация → Чанкинг → Обезличивание → Проверка ПДн → Анализ → Результат
- Транскрибация. GigaAM переводит аудиофайлы в текст, если они есть в выгрузке.
- Логические пакеты. Qwen 72B разбивает массив данных на чанки по диалогам и контексту.
- Обезличивание. Персональные и чувствительные данные заменяются токенами; оригиналы и словарь токенов сохраняются в локальной БД.
- Контроль утечки ПДн. Обезличенные данные дополнительно проверяются алгоритмическим фильтром и регулярными выражениями.
- Анализ на фрод. Проверенные данные уходят во флагманскую LLM (Claude Opus 5) для подробного анализа на различные виды мошенничества.
- Отображение. В приложении аналитика выводятся выводы по каждому эпизоду с пояснением и ссылками на оригинал в ключевых моментах, с обратной подстановкой данных из словаря токенов.
Результаты
Время проверки одного кейса: 2,5 часа до 20 минут
- Поиск по смыслу, а не по совпадению. Система находит подозрительные схемы, даже когда сотрудники используют сленг, опечатки или намеренно обходят ключевые слова.
- Меньше ложных срабатываний. Аналитик получает готовые выводы с объяснением и ссылкой на оригинал.
- Звонки — наравне с почтой и ЭДО. Больше не нужно прослушивать записи целиком.
- ПДн не покидают контур. Во внешнюю модель уходят только обезличенные данные — это позволило согласовать использование флагманской LLM с ИБ.
- Пара кликов из проводника. Без ручной выгрузки и отдельного обучения аналитиков.
- Гибкое расширение. Новые сценарии фрода добавляются через промпты и шаблоны, без раздувания словаря ключевых слов.