AspisAI: A Canonical, Machine-Interpretable Governance Framework for Automated Multi-Standard Compliance Monitoring
该论文针对受监管行业与关键基础设施组织面临的合规困境：企业往往需要同时满足 ISO/IEC 27001、NIST CSF 2.0、Cyber Essentials、GDPR 等多个异构的网络安全与隐私框架要求。现实中这些义务通常依靠人工映射
#cs.SE
共收录 457 条相关情报。
← 返回所有主题A2ABreak: Systematic Security Analysis of the A2A Protocol
该论文《A2ABreak: Systematic Security Analysis of the A2A Protocol》针对由 Linux 基金会治理、正在成为多智能体生态水平通信层的 Agent2Agent（A2A）协议开展首次系统
Beyond Static Guarantees: Measuring the Static-Pass Dynamic-Fail Gap in Security-Sensitive and LLM-Generated Python Code
该论文提出并量化了「静态通过、动态失败」（Static-Pass Dynamic-Fail, SPDF）现象：代码通过了静态安全扫描，但在真实运行时仍可被利用。作者指出，静态分析因可扩展、可复现、成本低，被广泛当作软件供应链与 AI 生成代
Wicked Problem, Parsimonious Solution: Securing Electric Vehicle Charging Station Software
本文是一篇立场论文（position paper），聚焦电动汽车充电基础设施中充电站这一最脆弱环节，尤其指出充电站供电设备（EVSE）中的嵌入式与配套软件目前是一块几乎不受保护、也缺乏特征刻画的攻击面。作者认为，充电桩软件同时承受传统 IT
TrajMark: Ownership Attribution and Segment-Level Tamper Localization for Coding-Agent Trajectories
该论文关注编码智能体（coding agent）过程溯源问题。现有做法多为对智能体最终产出的补丁（patch）打水印，只能为提交的产物提供来源证据，却无法验证产生该产物的可见执行轨迹（trajectory）是否被篡改；而行为水印方法通常只给
Towards Scalable and Cost-Efficient Vulnerability Detection: A Study on Automatic Query Generation
该论文聚焦于静态分析在软件安全中的核心地位与 CodeQL 等工具面临的现实瓶颈：构建高覆盖率查询套件通常需要大量人工投入。尽管大语言模型（LLM）在代码推理方面展现出潜力，但其生成结构化、可执行安全查询的实际能力仍缺乏系统评估。为此，作者
Measuring the Security of the Evolving Software Supply Chain: a Research Agenda
软件供应链安全已成为现代软件工程中的核心关注点，因为现代软件对第三方依赖有着广泛依赖，且攻击面持续扩大。然而，现有的基于量化测量的分析方法和漏洞管理手段往往碎片化，并局限于特定生态系统（如npm、PyPI等），难以在跨环境之间提供可比较的风
VEX-Bench: Benchmarking LLM Agents for Assessing Exploitability of Software Supply Chain Vulnerabilities
软件供应链已成为日益暴露的攻击面，原因是其依赖关系复杂而脆弱。现有的防御工具（如 GitHub Dependabot）常常产生大量误报，因为它们的粗粒度匹配无法确定易受攻击的依赖项是否真正可利用。安全分析师通常需要花费大量时间逐案评估漏洞可
EventSpec: Defining and Detecting Event-Semantic Issues in Blockchain Ecosystems
近年来，智能合约已成为去中心化应用（DApp）的核心基础设施，而链下系统（如跨链桥、钱包、索引器等）高度依赖事件日志（event logs）来跟踪合约执行和状态变化。然而，以太坊虚拟机（EVM）并不验证或强制事件语义，导致日志可能与链上状态
Do AI Coding Assistants Check Before They Install? A Pre-Registered Demand-Side Audit of Trust Signals in the Research Software Supply Chain
本研究针对AI编程助手在自动选择、安装和配置软件时是否利用供应链安全信号的问题，进行了预注册的受控实证审计。背景是攻击者已通过伪造包名、入侵维护者账号、篡改仓库文本等方式利用助手的能力实施攻击；供应链社区为此发布了机器可验证的信任信号，包括
Scanning the Harness: An Empirical Study of Supply-Chain Defects in AI Coding-Agent Configurations
该论文针对AI编码助手（如Claude Code、Cursor、GitHub Copilot、OpenAI Codex）的供应链安全缺陷进行了实证研究。这些工具通常通过开发者编写和共享的配置文件（指令文件、技能、钩子、MCP服务器声明、子代
One Is Not Enough: The Untold Story of Multiple Security Patches for One Vulnerability
本研究针对软件漏洞修复中的一个盲点展开：一个漏洞往往并非由一个安全补丁（SP）就能彻底解决，而是可能通过多个补丁增量修复、跨维护分支传播或在相关代码库中复制完成。由于现有漏洞数据库通常只记录部分补丁，下游用户可能只应用了部分修复，导致漏洞未
AURA-Eval: Evaluation Framework for Acting Under Risk Awareness in LLM Agent Trajectories
本文提出 AURA-Eval，一个用于评估大语言模型智能体在工具调用轨迹中“风险感知下的行动”能力的框架。现有安全评估往往将行为简化为单一分数，难以区分模型是否真正识别风险、是否在行动前有预检测能力，以及在存在安全解决方案时能否安全完成任务
SemVul: Semantic-Enhanced Graph Neural Networks for Code Property Graph-based Vulnerability Detection
本文提出了一种名为 SemVul 的漏洞检测流水线，旨在提高源代码漏洞检测的准确率与泛化能力。研究背景指出，源代码漏洞是网络攻击的根本原因之一，攻击者常利用软件弱点进行未授权访问、数据窃取或服务破坏。现有基于代码属性图（Code Prope
The History Is the Detector: Executing CVE Patch History, End-to-End
本文提出 BUGSTONE-E2E，一种将漏洞历史（尤其是 CVE 修复提交）转化为可执行检测规则并自动化验证的端到端框架。当前公共漏洞数据库虽然记录了已知软件缺陷的类型、影响组件和补丁信息，但这些信息主要用于人工查阅，缺乏自动化复用机制，
PatchBench: Evaluating AI Agents for Vulnerability Patching
本文针对基于大语言模型的AI智能体在自动化漏洞修复评估中存在的效度威胁问题开展研究。作者指出，现有评估方法通常仅通过让补丁接受原始PoC（概念验证）输入不再触发崩溃来判定补丁有效，但这种验证方式存在两个主要缺陷：一是智能体可能直接复现历史开
Automated Vulnerability Injection in Smart Contracts Using Large Language Models
这篇论文提出了一种利用大型语言模型（LLM）自动向 Solidity 智能合约中注入漏洞的方法，旨在解决智能合约漏洞检测工具评估中“带真实标签数据集稀缺且人工构建困难”的问题。作者以 OpenSCV 分类中的 49 种漏洞类型为目标，对来自
Boundary-Mutation Testing for Pattern-Based Secret Detection: A Rule-Level Method and Cross-Scanner Evaluation
本文研究模式化秘密扫描器（pattern-based secret scanners）的验证方法。现有验证通常使用基于示例的夹具（example-based fixtures），这些夹具固定了一个关键变量：凭据周围的文本上下文。作者提出边界
Modelstamp: Pre-Deserialization Verification of Machine-Learning Artifacts and Runtime Environment State
本文提出 Modelstamp，一个轻量级 Python 持久化库，旨在解决机器学习模型在反序列化之前的完整性验证与运行时环境状态核验问题。研究背景是：已持久化的 ML 模型可以保持字节完全一致，但其加载所依赖的软件环境会随时间演变，因此仅
Towards Behavior Tree-Guided Vulnerability Detection with Lightweight LLMs
本文研究如何利用轻量级本地大语言模型（LLM）进行软件漏洞检测，重点关注源代码输入表示对检测效果的影响。当前多数提示方法直接使用原始源代码，也有部分工作采用抽象语法树（AST）等结构化表示，但AST的冗长性显著增加了输入token数量，可能