推荐 6.6
Conf: 50%
精确识别漏洞引入提交(Vulnerability-Inducing Commit)是软件安全领域多项任务(如漏洞检测、受影响版本分析)的基础。传统的SZZ算法通过追溯代码历史来定位最早修改漏洞代码的提交,但现有方法(如定制化V-SZZ和当前最先进的LLM4SZZ)存在两个关键缺陷:锚点选择错误(即无法准确定位漏洞相关语句)以及回溯能力不足,导致实际应用中可靠性低下。本文提出了一种基于多智能体协作的SZZ算法MAS-SZZ。给定一个CVE描述及其对应的修复提交,MAS-SZZ首先利用智能体总结漏洞根因,然后采用结构化的逐步提示(step-forward prompting)策略,根据每个补丁块(patch hunk)的变更意图,精准定位漏洞相关语句。这些语句作为锚点,再由另一个智能体自动回溯仓库历史,找到首次引入漏洞的提交。实验在多个数据集和编程语言上进行,结果显示MAS-SZZ在F1分数上相比最佳现有SZZ算法提升了高达65.22%,显著优于所有基线方法。该方法为漏洞引入提交识别提供了一种自动化、高精度的解决方案,有望推动漏洞管理、软件供应链安全等领域的实践。本文适合安全工程师、软件维护团队以及从事漏洞分析的研究人员阅读。
💡 推荐理由: 漏洞引入提交的精准识别是漏洞修复、影响范围评估和供应链安全防护的关键前提。MAS-SZZ通过多智能体协作克服了传统SZZ的锚点误差和回溯不足问题,显著提升准确性,为自动化漏洞归因提供了可靠方案。
🎯 建议动作: 研究跟进
排序因子: 有可用补丁/修复方案 (+3) | 命中热门研究主题 (+2) | Community 数据源 (+1) | LLM 评分加成 (+0.6)