L'apprendimento attivo è un flusso di lavoro di machine learning in cui il modello non aspetta un dataset completamente etichettato. Invece, seleziona i successivi esempi più informativi per un analista o uno strumento che li etichetti, di solito concentrandosi su campioni incerti, diversi o ad alto impatto. Questo riduce il costo di etichettatura e accelera il miglioramento del modello.
Nella sicurezza informatica, l'apprendimento attivo è utile quando i difensori si trovano di fronte a enormi flussi di log, email, file o eventi di rete ma possono esaminarne solo una piccola parte. Aiuta a dare priorità agli avvisi sospetti per il rilevamento del phishing, la classificazione del malware e il triage delle anomalie. In pratica, un sistema di apprendimento attivo può chiedere etichette per i casi al limite, quindi riaddestrarsi per migliorare il rilevamento. Gli attaccanti possono cercare di manipolare questo ciclo con campioni avvelenati o feedback rumorosi, sperando di allontanare il modello dalle minacce reali. Una buona validazione, controlli sul campionamento e la supervisione degli analisti aiutano a mantenere affidabile il sistema.