A Function-level Dataset of Vulnerable and Fixed Source Code in JavaScript and TypeScript
该论文针对 JavaScript 与 TypeScript 生态中自动化漏洞检测长期受限于高质量训练数据不足的问题，构建并公开发布了函数级漏洞数据集 JsVul。与常见的多语言通用数据集不同，JsVul 采用面向 JS/TS 的语言特定处理
#code-security
共收录 14 条相关情报。
← 返回所有主题Beyond Static Guarantees: Measuring the Static-Pass Dynamic-Fail Gap in Security-Sensitive and LLM-Generated Python Code
该论文提出并量化了「静态通过、动态失败」（Static-Pass Dynamic-Fail, SPDF）现象：代码通过了静态安全扫描，但在真实运行时仍可被利用。作者指出，静态分析因可扩展、可复现、成本低，被广泛当作软件供应链与 AI 生成代
Asleep at the Keyboard? Assessing the Security of GitHub Copilot's Code Contributions.
该论文针对 GitHub Copilot 这一人工智能代码补全工具所生成代码的安全性进行了系统评估。研究动机在于，随着开发者越来越多地使用大语言模型（LLM）辅助编写代码，其输出可能隐含安全漏洞，而开发者往往因信任或疏忽而直接采用。作者构建
Prompt Structure Redistributes, Not Reduces: An Empirical Analysis of Security-Weaknesses in LLM-Generated Python Code
本文针对大型语言模型（LLM）从自然语言提示生成代码时，提示工程如何影响生成软件安全性的问题展开实证研究。现有观点认为结构化、面向安全的提示可以促使模型生成更安全的代码，但作者指出，其影响不能仅通过检测到的弱点是否存在来衡量。为此，研究者使
Testability Tarpits: the Impact of Code Patterns on the Security Testing of Web Applications.
该研究聚焦于静态应用安全测试（SAST）工具在发现 Web 应用漏洞时受到代码风格影响的问题。尽管 SAST 工具被广泛使用，但已知其存在诸多局限性，而编码风格对漏洞检测能力的影响此前鲜有系统研究。作者通过组合商业与开源的多种安全扫描器，对
Securing AI-Generated Code: A Just-in-Time Vulnerability Detection and Remediation Pipeline
本文针对 AI 辅助开发工具生成代码中普遍存在安全漏洞、却缺乏在开发速度下自动检测、富化、修复和验证安全问题的机制这一痛点, 提出并评估了一套即时 (Just-in-Time) 漏洞检测与修复流水线。该流水线由多个阶段组成: 首先从 LLM
Activation Probes Surface Code-Security Signals that the Model's Output Misses
该研究针对AI编码代理生成代码的安全审查瓶颈问题展开。随着AI编码代理在生产环境中生成越来越多代码，人工安全审查的速度难以匹配代码生成速度。对于广泛使用的闭源权重模型，部署团队无法读取其内部结构，但可以使用开源权重模型作为代理输出的审查器，
The Language of Security: How Prompt Syntax Shapes Secure Code Generation in Open LLMs
大型语言模型（LLM）在代码生成任务中广泛应用，但其输出常存在安全漏洞。现有研究通过提示工程（prompt engineering）来降低风险，但存在两个局限：一是大多关注高层次提示策略，忽视了细粒度句法变体对模型行为的显著影响；二是主要评
Routing Ceilings Are Domain-Independent: Structural Prior Injection in Code Security Vulnerability Detection
本文研究了大型语言模型（LLM）在代码安全漏洞检测中的路由天花板现象。作者基于先前的数学推理研究（SAIR）假设，将结构先验（即“小抄”）注入提示词，以提升模型在特定分布下的漏洞检测能力。实验使用了三个LLM（GPT-OSS-120B、Ll
Cross-Cutting Security Analysis of LLM-Generated Code via Metamorphic Testing and Association Rule Mining
大型语言模型（LLM）生成的代码经常包含安全漏洞，且这些漏洞往往不是孤立的，而是跨多个关注领域同时出现，反映了软件安全中的横切性质。本文提出一个框架，将安全导向的蜕变关系（MR）与关联规则（AR）挖掘相结合，用于检测LLM生成代码中的漏洞，
SV-TrustEval-C: Evaluating Structure and Semantic Reasoning in Large Language Models for Source Code Vulnerability Analysis.
该论文提出了一个名为 SV-TRUSTEVAL-C 的基准测试，用于评估大语言模型（LLM）在 C 语言源代码漏洞分析中的结构推理和语义推理能力。结构推理评估模型在不同数据流和控制流复杂度下识别代码元素间关系的能力；语义推理则检验模型在代码
Which Neurons Detect Malicious Code? A Probing Study of LLM Security Knowledge
本文研究了大语言模型（LLM）内部如何识别恶意代码的机制。尽管LLM在代码补全、漏洞检测等软件工程任务中表现优异，但其识别恶意或漏洞代码的内部工作机制仍不透明。作者采用机械可解释性方法，对三个指令微调的LLM（Llama3.1-8B-Ins
Beware What You Autocomplete: Forensic Attribution of Backdoored Code Completions
本文提出 CodeTracer，一个面向大语言模型代码补全系统中后门攻击的取证框架。背景是：代码补全系统（如 Copilot）依赖大型语言模型，但模型可能通过恶意微调数据被植入后门，导致生成恶意代码。现有防御技术难以检测和缓解自适应后门攻击
Willing but Unable: Separating Refusal from Capability in Code LLMs via Abliteration
本文研究了一种名为“abliteration”的低秩权重编辑方法，用于解除代码大语言模型（LLM）在生成指定漏洞代码时的安全对齐拒绝行为。在基于学习的安全漏洞检测任务中，大规模有标注漏洞代码数据集的构建一直面临标签噪声问题，现有的LLM增强