Il clustering semantico è una tecnica per raggruppare campioni di malware o artefatti in base alla somiglianza nel significato, nel comportamento o nella struttura, anziché in base ai byte esatti o ai nomi dei file. Può confrontare stringhe, prompt, riferimenti API, pattern di codice e altri metadati per individuare campioni che sembrano correlati anche quando gli attaccanti modificano il packing, gli hash o i dettagli superficiali.
Nella sicurezza informatica, questo è importante perché gli avversari spesso riutilizzano abitudini di sviluppo e indizi operativi nell'ambito di una campagna. I difensori possono usare il clustering semantico per collegare file che condividono lo stesso endpoint di un provider di AI, prompt incorporati simili o idee di controllo del flusso comparabili, quindi analizzarli come una famiglia. È particolarmente utile nei flussi di lavoro di hunting in cui l'esecuzione non è ancora avvenuta: gli analisti possono dare priorità ai campioni sospetti, costruire grafi di relazione e ridurre i falsi positivi rumorosi. Il metodo è potente per il triage, ma da solo non prova un intento malevolo, quindi i risultati raggruppati richiedono comunque una convalida manuale.