May, 2024

基于机器学习的安卓开源项目易受攻击代码更改预测

PDF
TL;DR本文提出了一个能够有选择地触发源代码的安全审查的框架，通过作为代码审查服务中的审查机器人，该框架能够在代码更改提交到源代码存储库之前，在提交前自动请求额外的安全审查。该框架使用经过训练的分类器来识别具有漏洞的代码更改，采用多种类型的输入特征分析审查模式、跟踪软件工程过程以及挖掘给定代码更改中的特定文本模式。经过数据优化后的分类器及其特征使用了来自所提交代码更改以及 Android 开源项目（AOSP）中报告的漏洞的数据。评估结果表明，我们的漏洞预防（VP）框架能够在数据集中识别出约 80% 的引起漏洞的代码更改，精度比大约为 98%，误报率约为 1.7%。本文探讨了在多项目环境中部署 VP 框架的影响以及 Android 安全性研究的未来方向。本文探索和验证了我们对代码更改粒度漏洞预测方法的方法，并提供了一种在提交之前预防性地检测到有漏洞代码更改的软件安全技术。
frameworksecurity reviewscode changesclassifiervulnerability prevention
发现论文，激发创造
  • 基于机器学习的自动化软件漏洞检测

    利用机器学习和深度神经网络，针对 C++ 程序开发了一种基于数据驱动的漏洞检测方法，研究结果表明结合源代码和神经网络特征，可以获得更可靠的漏洞检测结果，最高检测能力达到 0.87。

    Feb, 2018

  • 使用深度表示学习自动检测源代码中的漏洞

    这项研究利用 C/C++ 开源代码，使用机器学习开发了一个基于函数级别的漏洞检测系统，并使用三个定位潜在攻击的静态分析器精心筛选标注了数百万个开源函数的数据集。研究表明深度学习源代码的特征表示法是一种自动化软件漏洞检测的有前途的方法。

    Jul, 2018

  • LLbezpeky：利用大型语言模型进行漏洞检测

    大规模语言模型 (LLM) 在检测安卓应用的漏洞方面表现出色，通过构建基于人工智能的工作流，能够帮助开发者识别和修复漏洞，并展示其有效性。实验证明，LLMs 在 Ghera 基准测试中能够准确标记不安全应用的案例达到 91.67%。此外，我们的实验还揭示了不同配置对真正阳性（TP）和假阳性（FP）率的影响。

    Jan, 2024

  • 自动漏洞检测的机器学习极限

    本文研究了机器学习用于自动漏洞检测的泛化问题，并提出了一种可行的模型基准测试方法来帮助研究人员更好地评估漏洞检测机器学习的进展。研究表明，当前模型对于特定的训练数据扩增方式表现出了较好的鲁棒性。

    Jun, 2023

  • 编程语言之间的软件漏洞预测知识转移

    使用转移学习技术，提出了一种智能自动软件漏洞检测模型，通过使用各种编程语言的代码样本训练卷积神经网络（CNN）模型，并使用可解释人工智能，成功检测出 C 和 Java 代码中的常见漏洞。

    Mar, 2023

  • 使用开源数据预测软件漏洞的利用

    本研究旨在研究使用机器学习模型来预测软件漏洞是否会被攻击，着重探讨了该方法的局限性和如何选择更合适的测试数据以准确预测漏洞被攻击的可能性。

    Jul, 2017

  • Python 源代码漏洞检测的机器学习技术

    应用和比较不同的机器学习算法，我们基于 Python 编程语言针对源代码漏洞检测问题进行实验评估并展示出双向长短期记忆（BiLSTM）模型的非凡性能（平均准确率 = 98.6%，平均 F-Score=94.7%，平均精确率 = 96.2%，平均召回率 = 93.3%，平均 ROC=99.3%），从而为 Python 源代码的漏洞检测树立了新的基准。

    Apr, 2024

  • 机器学习中漏洞检测的影响因素解析

    研究了软件项目中不同因素对于识别漏洞的准确性的影响，通过挖掘软件库中的漏洞并使用机器学习技术进行自动检测。通过实验发现，将基于词袋模型的签名与随机森林模型相结合，在 17 个真实世界项目中能提高 4% 的检测准确率，并观察到在跨域中转移漏洞签名的局限性。

    Jun, 2024

  • 用 Transformer 实现基于修改时间的代码漏洞检测：零样本、少样本或微调？

    本文采用机器学习和深度学习技术，提出了一种使用编辑时的不完整代码片段检测潜在代码漏洞的实用系统，通过 LLMs 等预训练模型的零样本、少样本和微调等方法，有效提高了潜在漏洞检测的准确性和效率。实验结果显示，相较于现有的漏洞检测模型，本文的方法可以提升 10% 左右的效果，并且在高风险代码场景下检测到的潜在漏洞可以减少达 90%。

    May, 2023

  • 基于信息论和对比学习的方法，识别导致软件漏洞的代码语句

    通过深度学习方法及聚类空间对比学习，精准识别程序漏洞中的漏洞相关代码语句，本方法运用于现实数据集上优于其他最新基线算法，显著提高 VCP、VCA、Top-10 ACC 等效果。

    Sep, 2022