SplunkサーチでサードパーティのLLMサービスを使ってインサイトをすばやく獲得

Artificial Intelligence August 21, 2025 Greg Ainslie-Malik

私たちはこの数年間、基盤LLM (大規模言語モデル)の価値を目の当たりにしてきました。インターネット上のコンテンツに基づく一般知識を基盤LLMから得られるようになり、それによってあらゆる知識労働者の生産性が大きく高まったのです。

Splunkのお客様は、このたびリリースされた最新版のMachine Learning Toolkit (MLTK) 5.6により、Splunkデータを使ってこうした基盤LLMの力を活用できるようになりました。例えば、以下のようなことを頼めるのです。

調査の必要があるエラーログについて説明する
一連の受信アラートに優先順位を付ける
ユーザー別のログイン試行回数を多い順に並べる
ほか多数(可能性に限りはありません)

ここで注意しておきたいのは、入力したデータはLLMサービスプロバイダーに送信されるということです。また、基盤LLMは汎用目的でトレーニングされており、セキュリティやオブザーバビリティのユースケースに特化されてはいないことにもご注意ください。

このブログ記事では、MLTK 5.6を使ってLLMサービスをSplunkと統合する方法と、その統合を活用するための手始めとなるアイデアをいくつかご紹介します。

MLTK 5.6の新機能

MLTK 5.6では、生成AIをサーチパイプラインに組み込むために役立つ新機能がいくつか追加されています。簡単に言えば、外部LLMに接続したうえで、新しいサーチコマンドを使ったサーチでそのLLMを利用できます。その名も「ai」というサーチコマンドです。

LLMコネクター

MLTK 5.6には、[Connection Management]という新しいタブが追加されています。このタブで、外部でホストされているLLMへの接続を設定できます。現時点では、OpenAI、Azure OpenAI、Anthropic、Groq、Gemini、Amazon Bedrock、Ollamaが接続先としてサポートされています。

特定のプロバイダーへの接続に必要なものは、そのプロバイダーのURLとアクセス情報(トークンなど)のみです。接続後は、以下のような制御項目を設定してプロバイダーの利用を管理できます。

リクエストのタイムアウト
1回のサーチで処理できるSplunkデータの最大行数
1回のSplunkサーチで使用できるトークンの最大数

こうした設定により、Splunk内から外部LLMを利用する際の制御について基本的なスロットリングを指定できます。

`ai`コマンドによるAIへの指示

LLMプロバイダーとの接続を確立した後は、Splunkサーチでaiコマンドを使ってそのプロバイダーを利用できます。Splunkデータを外部LLMへのプロンプトに埋め込めるため、SplunkデータをLLMからのインサイトで補強する際の柔軟性が高まります。

複数のLLMプロバイダーが設定されている場合は、サーチ時にproviderとmodelオプションを使って、利用するプロバイダーを指定できます。

サーチ

ここで、外部LLMへのデータ送信は自己責任であることに注意してください。この件については、OWASPが良心的にも、さまざまなリスクと軽減策を分かりやすくまとめてこちらで公開しています。Splunkではロール機能も新しく追加し、Splunk環境でaiコマンドを使えるユーザーを限定できるようにしました。ぜひご活用ください。

セキュリティが特に気になる場合は、Ollamaインスタンスを自前のインフラで実行するという方法も、効果的な対策となります。また、外部LLMの利用には、そのプロバイダーとの契約条項が適用されることにも注意してください。

ONNXの適用

MLTKの既存の機能について、今回のリリースではONNXの適用機能にいくつかのアップデートがあります。MLTKでONNXモデルを使って、多変量出力を予測できるようになりました。さらに、ONNXモデルをREST API経由でアップロードすることで、モデルトレーニング用のあらゆる既存デプロイパイプラインとの統合が一層簡単にできるようになりました。