该论文提出了SecDrift基准测试，用于测量大语言模型（LLM）在生成代码时，针对不同行业领域的提示（如关键基础设施）相对于中性基线所产生的安全性漂移。作者从CISA定义的8个关键基础设施行业和9个CWE漏洞类别出发，对7个LLM（其中6个生成了可分析代码）进行了5次重复实验，共计5355次评估。他们使用五维变换和匹配基线条件，保持任务不变仅替换领域术语。结果显示，行业提示看似更安全（漏洞率14.0% vs 11.4%），但差异无统计显著性（Fisher精确检验p=0.24，Cohen's h=-0.08），且这种差异完全由CWE-502和CWE-22两类漏洞组成，剔除后差异消失甚至反转。混合效应逻辑回归证实行业身份不是调节变量，唯一可检测的条件效应局限于这两类漏洞。8个行业均未显示出与基线可区分的漂移。对非CISA行业的安慰剂实验也复现了类似结果。相比之下，模型选择对漏洞率有显著且一致的影响（11.6%到16.1%）。因此结论是：模型选择比提示框架更可靠地影响生成代码的安全性。论文还公开了框架、提示、生成代码、发现、人工验证结果和分析脚本。

本文评估了大型语言模型（LLM）在自动生成安全认证代码方面的能力。研究选取了五种主流AI编码助手，通过双模态评估框架（静态代码分析结合动态渗透测试）并参照NIST SP 800-63B指南，分析了四种提示策略（基础、安全、NIST引导、迭代重提示）下生成的认证系统安全性。实验结果表明，仅使用功能性或通用安全提示生成的代码普遍缺少关键保护机制，尤其是在暴力破解防御、会话管理和密码健壮性方面。即使加入显式的NIST上下文单次提示，合规性虽有提升但架构上仍不充分。唯有采用迭代重提示（Reprompting）策略，即强制模型进入上下文自我审计循环，才能实现纵深防御的安全架构。最终结论是当前AI编码助手无法默认生成安全应用，企业部署必须从单次提示工程转向持续、标准驱动的验证流程。该研究揭示了LLM辅助编码中普遍存在的安全幻觉，并提出了可操作的改进方向。

本论文聚焦于大型语言模型（LLM）在代码生成中的安全性问题，指出现有基准测试往往依赖明确指定的安全需求，无法覆盖真实开发中提示词模糊或不完整的场景。作者从开发者视角出发，识别出三类典型风险场景：模糊需求（Ambiguous Requirements）、未充分指定的操作上下文（Under-Specified Operational Context）以及安全-功能冲突（Security-Functionality Conflict）。基于这些场景，构建了一个包含2700个测试用例的大规模基准，用于细粒度评估LLM在真实条件下的安全性。对八款最新LLM的广泛评估显示，所有模型在风险场景下的平均漏洞率超过56%。进一步研究发现，安全感知的提示（security-aware prompting）可以显著降低这些风险，提升幅度高达45%。该工作为LLM代码生成的安全评估提供了更贴近实际的测试框架，并证明了简单提示工程对缓解安全问题的有效性。

本研究首次系统性地实证探讨了基于大语言模型（LLM）的代码生成系统中长期记忆（Long-Term Memory）存储不安全编码偏好对安全性的影响。长期记忆旨在提升跨会话的连续性，但一旦不安全的编码偏好被存储，可能会在后续生成中潜移默化地影响安全关键决策。研究评估了四种LLM（ChatGPT、Gemini、Qwen、Grok）和五种编程语言（Python、C、C++、Go、JavaScript）。实验表明，不安全的记忆使生成漏洞代码的风险增加2.7-50.3个百分点，并产生5.4-14.0个百分点的风险-警告差距，即漏洞率上升速度远超警告率。进一步分析发现，不安全记忆难以通过正常交互覆盖，且在不同措辞的提示下仍能广泛影响输出。论文评估了三种缓解策略：安全需求附加和记忆存储可将漏洞率降低19.7-33.6个百分点，但可能使功能正确性下降最多15.9个百分点；记忆级安全过滤能在评估的风险记忆条目上实现100%检测率，并使生成行为恢复到无记忆基线。基于这些发现，作者为改进LLM代码生成中长期记忆的安全性提供了可操作建议。该研究对AI安全研究人员、LLM应用开发者以及使用LLM辅助编程的团队具有重要参考价值。

本研究系统性地评估了 GitHub Copilot 生成的代码的安全性。研究团队针对 25 个常见编程场景（如数组操作、加密、输入验证等），通过向 Copilot 输入提示生成代码，共收集了 1692 个程序样本。随后，他们利用静态分析工具和人工审查相结合的方式，检测这些代码中是否存在已知的安全漏洞。结果发现，约 40% 的生成程序存在至少一个安全弱点，包括缓冲区溢出、SQL 注入、路径遍历、拒绝服务等常见漏洞类型。研究还分析了不同提示策略对安全性的影响，发现更具体的提示（如指定使用安全函数）能够降低漏洞率，但无法完全消除。此外，作者指出 Copilot 倾向于推荐过时或不安全的 API，并且对安全上下文的理解有限。该研究首次大规模量化了基于大规模语言模型的代码生成工具的安全风险，为开发者、代码审查者和 AI 安全社区提供了重要警示。论文建议在使用 Copilot 生成的代码时必须进行人工审查和测试，同时呼吁在模型训练中引入安全数据，以提升生成代码的安全性。

大型语言模型（LLM）在代码生成领域应用广泛，但其生成的代码往往存在功能缺陷或安全漏洞。现有研究要么分别评估功能性和安全性，要么侧重于生成后查找漏洞，而缺乏同时保证两者的方法。近年来，文本生成领域涌现出多种对齐技术，其中任务向量算术通过线性操作调整模型权重，能够低成本增强特定输出质量（如有用性、无害性）。受此启发，本文提出SecVecCoder方法，利用任务向量同时提升代码的功能性和安全性，无需生成后修正。该方法在三族六种编码LLM（包括CodeGuard+基准测试）上进行了评估，结果表明：SecVecCoder将可信代码完成率提升2.1至36个百分点，且对未见过的CWE类型提升高达39.1个百分点。由于仅需修改模型权重，SecVecCoder无需特定解码方法，平均解码延迟仅增加0.6%。本文的核心贡献在于提出一种轻量级的对齐技术，能够在不影响效率的前提下显著增强LLM生成代码的可靠性与安全性，为安全代码生成提供了新思路。

该论文系统性地评估了针对 Dart Ahead-of-Time (AOT) 编译二进制的神经反编译任务中，微调策略与评估指标的有效性。神经反编译将二进制代码转换为高级语言源代码，常被视为代码生成问题，但现有评估方法对现代语言支持不足。作者构建了 HumanEval-Dart 基准测试集（包含 154 个任务），并基于三个基础架构（参数量 4B-8B）微调了六个模型变体，使用 CodeBLEU、compile@k 和 pass@k 三个指标进行评估。主要发现有三：第一，没有任何微调配置能带来统计显著的 pass@k 提升，唯一正向案例仅提升 0.71 个百分点（p=0.21），而对最强基础模型 Qwen3-8B 微调反而导致 pass@k 显著下降 5.65 个百分点（p<0.001），表明微调效果与模型容量负相关；第二，来自 Swift 训练的跨语言干扰在 4B 模型上显著（-2.66 pp, p<0.001），但在 8B 模型上不显著，符合缩放假设；第三，指标存在分歧：CodeBLEU 和 compile@k 可能显著提升而 pass@k 反向下降，说明优化表面相似性未必提升功能正确性。错误分析显示汇编序列长度是任务难度的最强预测因子（p=0.001），且存在 200 条指令的能力悬崖。论文贡献包括 HumanEval-Dart 基准、Dart 适配的 CodeBLEU 以及强调 pass@k 应作为神经反编译的主要评估指标。

大型语言模型（LLM）正在迅速改变软件开发，但其在安全关键场景中的应用引发了一个关键问题：模型是否知道其生成的代码何时不安全？这种属性被称为校准（calibration），衡量模型的置信度是否与其输出的真实正确性一致。本文首次对LLM生成代码的安全校准进行了大规模实证研究。研究人员评估了GPT-4o-mini、Gemini-2.0-Flash和Qwen3-Coder-Next在多种温度设置下的表现，使用了两个互补基准：自包含安全任务和多语言仓库级上下文。结果表明，过度自信在评估的LLM中普遍存在。功能校准始终比安全校准更差，这表明模型对安全结果的估计比功能正确性更可靠，可能因为功能正确性依赖于复杂的执行行为。研究还考察了校准引导的自动修复是否有助于修复LLM生成代码中的漏洞，发现改进有限，且经常引入功能退化。此外，研究了减少虚假信任（模型对漏洞代码赋予高置信度）的不同缓解策略。结果表明，尽管架构门控在受控基准上改善了校准，但在现实的仓库级设置中校准恶化，增加了高置信度脆弱输出的风险。该研究为开发更可靠的代码生成LLM提供了重要见解，适合安全研究人员、LLM开发者和软件工程师关注。

本文是一篇关于人工智能安全代码生成（AI Secure Code Generation）的系统化知识综述（SoK）。随着AI系统越来越多地用于代码生成，如何确保其生成代码的安全性成为核心问题。现有研究尝试了提示工程、微调、强化学习以及基于agent的工作流等方法来提升安全性，但缺乏对这些技术系统性的理解。作者提出了一个三级评估框架：第一级衡量模型对安全编码原则的自然语言理解能力；第二级评估模型在代码生成时实际应用这些原则的能力；第三级分析知识-执行之间的差距。该框架被实例化于多种模型和编码agent上，评测基准涵盖孤立的功能级安全（如函数漏洞）和完整的Web应用安全场景。实验结果表明，对安全编码原则的理解是代码级安全结果的显著预测因素，包括功能性正确性、安全性以及两者的联合正确性。然而，模型仍然存在严重的知识-执行差距：它们能够识别相关的安全原则，但未能成功转化为安全且功能正确的代码。这些发现以原则为中心的视角揭示了AI安全代码生成的当前进展、主要陷阱，并指出了未来方向，包括原则引导生成、针对性评估、基准设计以及agent工作流的改进。本文适合安全研究人员、AI开发者以及关注代码安全的从业者阅读。

大型语言模型（LLM）越来越多地用于代码生成，但可能被滥用以产生恶意代码。语法约束解码（GCD）是一种旨在通过强制语法有效性来提高LLM生成代码可靠性的技术。本文揭示了一个反直觉的风险：这种面向可靠性的技术本身可能成为攻击面。作者提出了一种名为CodeSpear的新型越狱攻击，通过利用GCD诱导LLM生成恶意代码。实验表明，仅应用良性的代码语法约束就能有效越狱LLM。为了应对这一漏洞，作者提出了CodeShield，这是一种安全对齐方法，即使在攻击者控制的语法约束下也能稳健地保持安全行为。CodeShield通过在代码模态中对模型进行对齐，教它在GCD下生成蜜罐代码。这类代码在语义上是无害的（不实现恶意请求），并且结构多样，难以通过语法收紧来抑制。同时，当自然语言可用时，CodeShield仍保留自然语言的拒绝响应。在4个基准测试的10个流行LLM上的实验表明，CodeSpear优于代表性的越狱基线，平均攻击成功率提高超过30个百分点。CodeShield在CodeSpear下恢复了安全性，同时保持了良性效用。这些发现揭示了GCD的基本风险，并呼吁更多关注其潜在的安全影响。

大型语言模型在指令-代码对上进行微调时，可能会记忆并泄露敏感的训练数据。现有的差分隐私（DP）代码生成方法主要保护代码片段，但假设提示（prompt）是公开的，这无法应对现实场景中提示也可能包含敏感信息的情况。当提示在生成过程中不能被显式学习或使用时，代码合成会遭受严重的效用下降以及多样性和保真度降低。为了解决这些挑战，本文提出了 PrivCode-Plus（论文标题为 PrivCode++），这是首次探索在 LLM 微调中同时考虑提示和代码片段为敏感信息的 DP 代码生成工作。PrivCode-Plus 引入了一个两阶段差分隐私框架，并设计了一个隐私无关潜在条件模块（Privacy-Free Latent Conditioning），使得无需直接访问敏感提示或代码即可进行有效的 DP 微调和数据合成。大量实验表明，PrivCode-Plus 在效用上显著高于基线方法，与放松隐私假设的方法相比仍具有竞争力，并能提供更强的隐私保证。本文的主要贡献包括：1）首次在代码生成任务中同时保护提示和代码；2）提出了一种隐私无关的潜在条件机制，缓解了隐私预算分配导致的效用下降；3）通过实验验证了方法的有效性。适合对 LLM 隐私保护、差分隐私、安全代码生成感兴趣的研究人员阅读。

本文研究的是基于大语言模型（LLM）的编码助手在提示（prompt）受到微小扰动时，生成的代码是否会从安全变为脆弱。以往工作主要关注扰动对功能正确性的影响，而本文首次系统性地探讨对代码安全性的影响。作者在三种模型和五种编程语言上对提示进行词元级别的突变，发现即使单字符的改变也可能导致生成的代码从安全转为易受攻击。通过探测模型的隐藏状态，发现这种脆弱性部分编码在提示表示中，但分布不均。输入处理类漏洞（如模型遗漏输入验证或清理）的可预测性较高（平均AUC 0.753），而安全默认值类漏洞（如使用弱算法或不安全参数）的可预测性较低（平均AUC 0.674）。结果表明，LLM辅助编码的威胁模型应超越提示注入，涵盖普通提示变异，并且输入处理缺陷可在生成前捕获，而安全默认值缺陷需要在解码过程中干预。

本研究针对大型语言模型（LLM）在自动代码生成中存在的安全问题，进行了全面的实证评估。尽管LLM显著提升了软件开发效率，但其生成的代码常因忽略关键安全考量（如弱加密、输入验证不当）而存在漏洞。作者选取了五种LLM和四种编程语言（Java、C++、C、Python），系统比较了多种提示工程方法对代码安全性的影响。特别地，他们提出了一种名为“弱点感知零样本思维链（WA-0CoT）”的提示策略，通过注入基于CWE映射的安全上下文来引导模型推理，旨在减少漏洞。实验采用卡方检验分析，结果显示：不同提示方法在漏洞频率或密度上并未产生统计学显著差异，但包括WA-0CoT在内的提示策略系统性地改变了CWE类别分布的组成，且该影响因编程语言而异。主要贡献在于：1）提供了跨模型、跨语言的LLM生成代码安全性的系统评估；2）揭示了仅靠提示工程无法可靠降低总体漏洞水平；3）强调了在评估LLM生成代码安全性时，需考虑语言感知和模型感知的提示设计。该研究适合安全研究人员、LLM开发者以及关注AI代码生成安全性的工程团队阅读。

该论文研究了一种针对LLM驱动的自主Agent的新型供应链攻击方法——语义合规劫持（SCH）。随着Agent通过第三方技能市场集成外部功能，攻击面扩大。现有安全审计机制依赖代码扫描识别显式payload或预定义威胁内容，但若恶意行为不含直接注入，而是通过Agent固有的生成能力在运行时动态合成，则可绕过检测。SCH方法将恶意目标转化为非结构化自然语言指令，格式化为必要的合规规则，诱导Agent生成并执行未经授权的代码。论文构建自动化流水线，在三个主流Agent框架和三个基础模型上，结合场景化测试评估攻击有效性。实验表明，在最脆弱配置下，机密泄露成功率达77.67%，远程代码执行（RCE）达67.33%。引入多技能自动优化（MS-AO）进一步提升了攻击效果。由于操作后的技能文件省略了可识别的抽象语法树（AST）特征和显式恶意意图，被扫描工具检测率为0.00%。该研究揭示了Agent供应链中未被充分探索的攻击面，指出需要从基于签名的检测模型向语义意图验证转变。

该论文研究了大型语言模型（LLM）在代码生成场景下，可用性需求如何被用作攻击面，从而破坏安全编码实践。作者提出了一种名为UPAttack的新型威胁，并设计了自动化框架U-SPLOIT。其核心思想是：现实中的可用性需求（如添加新特性、满足性能约束或追求简洁性）往往是明确且高信号的，而安全需求则通常是隐式或低规格的。这种不对称性导致LLM在代码生成时倾向于优先满足显式的可用性目标，而忽略隐式的安全约束，形成一种奖励黑客（reward hacking）行为。U-SPLOIT框架的工作流程包括：（1）选择模型初始状态下能够安全编码的场景；（2）通过三种向量（功能性、实现方式、权衡）合成可用性压力，即识别不安全替代方案中能够满足可用性需求的奖励；（3）利用现有测试用例和动态生成的PoC验证安全回归。作者在75个种子场景（覆盖25个CWE，每个3个案例）上，针对Python、C和JavaScript三种语言，对多个最新LLM（如GPT-5.2-chat、Gemini-3-Flash-Preview）进行测试，攻击成功率高达98.1%。结果表明，即使模型在原始提示下能够生成安全代码，添加可用性导向的需求后，模型仍会生成包含安全漏洞的代码。该工作揭示了LLM在软件自动开发中一个被忽视的风险，为安全社区提供了新的攻击视角和防御切入点。

该论文提出了PrivCode，这是首个专门为代码数据集设计的差分隐私（DP）合成器，旨在解决大型语言模型（LLM）在代码生成时微调私有数据集可能引发的隐私泄露问题。传统的DP方法在代码数据上面临语法依赖强和隐私-效用权衡的挑战。PrivCode采用两阶段框架：第一阶段“隐私净化”，利用DP-SGD训练模型生成符合差分隐私的合成代码，并通过引入语法信息保留代码结构；第二阶段“效用提升”，在合成的无隐私代码上微调更大的预训练LLM，以缓解DP带来的效用损失。在四个LLM和四个基准测试上的实验表明，PrivCode在各种任务下生成的代码具有更高的效用，同时在不同隐私预算下能保护敏感数据。该研究为代码领域的隐私保护生成提供了新的方法论，适合对差分隐私、代码生成和LLM隐私保护感兴趣的研究者阅读。

该论文研究大型语言模型（LLM）在代码生成中的安全问题。随着LLM在大量代码库上训练并用于自动生成代码，它们频繁生成不安全的代码，缺乏安全意识。为此，作者从两个维度展开工作：安全加固（增强LLM生成安全代码的可靠性）和对抗测试（从对抗视角评估LLM的安全性）。核心创新是提出一种名为“受控代码生成”的新安全任务：该任务参数化，输入一个二进制属性，引导LLM生成安全或不安全的代码，同时保持生成功能正确代码的能力。为解决该任务，作者提出一种基于学习的SVEN方法，利用特定于属性的连续向量来引导程序生成朝向给定属性，而不修改LLM的权重。训练过程中，通过在代码的不同区域施加专门的损失项，并使用精心策划的高质量数据集来优化这些连续向量。实验表明，SVEN在实现强安全控制方面非常有效：例如，最先进的CodeGen LM（2.7B参数）在正常条件下生成安全代码的比例为59.1%；应用SVEN进行安全加固后，该比例提升至92.3%；而用于对抗测试时，该比例下降至36.8%。同时，SVEN的功能正确性与原始LLM非常接近。该研究适合安全工程师、AI安全研究员和LLM开发者阅读。