Evaluating Fine-Tuning and Metrics for Neural Decompilation of Dart AOT Binaries
该论文系统性地评估了针对 Dart Ahead-of-Time (AOT) 编译二进制的神经反编译任务中，微调策略与评估指标的有效性。神经反编译将二进制代码转换为高级语言源代码，常被视为代码生成问题，但现有评估方法对现代语言支持不足。作者构
#cs.SE
共收录 457 条相关情报。
← 返回所有主题Multi-Channel Spread-Spectrum Code Watermarking
该论文提出了一种名为多通道扩频码水印（Multi-Channel Spread-Spectrum Code Watermarking）的新方法，用于解决大型语言模型（LLM）生成代码的归属问题。现有方案分为生成时水印和事后水印：生成时水印需
xDECAF: An Extensible Data Flow Diagram Analysis Framework for Information Security
论文提出了 xDECAF，一个可扩展的数据流图（DFD）分析框架，专注于信息安全领域的架构级分析。该框架扩展了传统 DFD 元模型，引入了带标签的节点和边，以支持更丰富的安全属性标注；同时提供了一种领域特定约束语言，支持不同的流操作，允许分
Hidden Amplifiers: Cross-Level Risk in Software Supply Chains
现代软件供应链包含成百上千的传递依赖，然而现有的分析工具要么在生态层面（依赖图），要么在代码层面（包内静态分析）运行。这种分离带来了两种失败模式：一是对不可达代码产生误报的CVE告警；二是对结构上关键的微依赖存在盲区。本文提出了跨层级风险传
Beyond Refusal: A Same-Lineage Study of Aligned and Abliterated LLMs for Vulnerability Analysis
本研究聚焦于大型语言模型（LLM）在辅助软件安全分析中的安全状态影响。LLM辅助的软件安全分析处于一个微妙的边界：用于合法代码审查、分类和修复的漏洞分析术语可能与滥用场景下的术语高度相似。现有安全评估常比较不同模型家族，混淆了安全行为与架构
Unicode TAG-Block Concealment of Tool-Metadata Payloads in the Model Context Protocol: An Approval-View Fidelity Gap Across Three Independent Server Implementations
本研究揭示了模型上下文协议（MCP）中的一个安全漏洞：工具元数据在客户端审批视图与注入模型上下文的字节之间可能存在不一致。作者将这种差距定义为“隐藏编码”机制，并聚焦于Unicode TAG块（U+E0000至U+E007F），该块在所有主
The Cathedral and the Bazaar of Software Vulnerabilities: From the NVD to the CNAs
本文系统分析了国家漏洞数据库（NVD，称为“大教堂”）与多个CVE编号机构（CNA，称为“集市”）之间在通用漏洞评分系统（CVSS）指标上的分歧问题。NVD长期以来作为漏洞信息的权威来源，支撑着软件更新优先级等下游任务；而众多CNA提供了多
Look-Ahead-Freedom as Temporal Non-Interference: A Verifiable Correctness Property for Backtesting and Agentic Trading Pipelines
前瞻偏差（Look-ahead bias）是回测和机器学习评估中最常见的陷阱：它使用了决策时刻之后的信息来优化该时刻的决策，导致系统在部署时表现远不如回测。当前业界主要通过特定构造的经验规则和经验性检测器来管理这一问题，但这些方法仅在单一通
ShadowProbe: Language-Extensible Detection of Hidden Algorithmic Complexity Vulnerabilities
算法复杂度漏洞（ACV）是指攻击者通过精心构造的输入触发目标系统的最坏情况执行行为，导致严重性能退化或拒绝服务。现有ACV检测工具通常依赖模糊测试、符号执行或混合分析，但存在语言特异性、需要大量人工构建测试框架以及运行时插桩开销大等问题。本
RustMizan: A Compilable, Contamination-Aware Benchmarking Framework for Rust Vulnerabilities
本文提出RustMizan，一个针对Rust语言漏洞分析的可编译、污染感知的基准测试框架。现有漏洞分析基准通常依赖小型不可编译的代码片段，仅关注二分类（是否有漏洞），且未考虑公开数据集可能已包含在模型训练语料中带来的数据污染风险。RustM
Advanced Topic Modeling Techniques for Categorizing Software Vulnerabilities
随着软件漏洞的日益复杂和频繁，传统的分析方法在处理大量非结构化文本数据时往往效率低下，迫切需要更先进的解决方案。本研究利用基于大型语言模型（LLM）的最先进主题建模技术，从软件漏洞数据集的'Threat'特征中提取有价值的见解。研究中采用了
AutoCedar: An Agentic Framework for Verifier-Guided Access Control Policy Synthesis
该论文提出了AutoCedar，一个基于智能体（agent）的框架，旨在解决从自然语言需求自动生成访问控制策略时存在的安全隐患。传统上，大语言模型将自然语言需求转化为代码，但在访问控制中，生成的策略可能编译通过且看起来正确，却授予了未经批准
Execution Divergence Graphs:Effective Discovery of Control-Flows from Execution Traces as Fuzzing Feedback
本文针对模糊测试中反馈收集的局限性问题展开研究。在传统模糊测试中，通常需要能够观察和插桩二进制程序中的基本块以获取执行反馈，从而指导输入生成。然而，在许多实际场景中，例如对黑盒设备进行原位模糊测试或对经过混淆编译的二进制进行测试时，无法直接
LLM-Enhanced Hierarchical Heterogeneous Graph Representation Learning for Malicious Python Package Detection
恶意Python包已成为开源软件供应链生态系统（如PyPI）的主要安全威胁。现有基于学习的检测方法难以捕获不同程序实体之间的层次组织结构和异构交互。大型语言模型（LLM）在代码理解和语义推理方面表现出强大能力，但很少与结构化程序表示相结合用
Builder, Defender, Breaker: The Case Against Removing the Human from the AI-Driven Security Lifecycle
该论文聚焦于人工智能在安全生命周期中日益增强的自动化趋势，指出当前同一类生成式AI模型被用于编写代码、强化代码以及探测代码漏洞，使得构建者、防御者和攻击者三个角色逐渐融合。作者认为，这种将完全自动化视为目标的主流观点存在根本性缺陷。当构建、
A Measurement Study on the Adoption of Pledges and Unveils in the OpenBSD Operating System
该论文对OpenBSD操作系统中pledge和unveil系统调用的采用情况进行了纵向测量研究。pledge和unveil是OpenBSD提供的沙箱机制，用于限制程序对系统资源的访问，从而增强安全性。研究基于覆盖19个OpenBSD版本的完
HTTP REST API Structure Learning
本文针对 REST API 安全中因文档不完整或缺失导致传统安全方案失效的问题，提出了一种无监督异常检测方法 HRAL（HTTP REST API Learning）。HRAL 直接从网络流量中学习 API 端点结构（如 URL 路径、参数
Steerability via constraints: a substrate for scalable oversight of coding agents
该论文聚焦于编码代理（coding agents）的安全监督问题。随着LLM驱动的编码代理能力日益增强，人类审查成为瓶颈，无约束的代理会引入安全风险（如后门注入）、破坏代码库的可扩展性，并使人工代码审查成本急剧上升。作者提出一个核心论点：管
Cloak and Detonate: Scanner Evasion and Dynamic Detection of Agent Skill Malware
该论文针对LLM编码代理（coding agent）中第三方技能（skill）带来的软件供应链攻击面展开研究。代理技能从公共市场获取，并拥有与代理相同的权限，恶意技能可能窃取凭证、泄露源代码或安装后门。现有防御主要采用基于模式匹配或LLM作
Knowledge Over Parameters: Evolving Smart Contract Vulnerability Detection
该论文提出 EvoVuln，一个自动生成智能合约漏洞检测程序化知识的框架。现有基于大语言模型（LLM）的方法存在局限：基于提示的方法依赖人工设计的检测规则，而微调则需要大量标注样本，这在智能合约领域难以获取。EvoVuln 将漏洞检测重新定