该论文研究了自动化安全补丁回溯移植（backporting）这一关键问题。安全补丁回溯移植是指将针对新版本软件的安全修复代码移植到旧版本或不同分支，以缓解N-day漏洞。以往研究的工具在各自数据集上宣称成功率超过80%，但这些评估往往局限于同质环境（如单一仓库或特定项目版本），导致其真实泛化能力未知。为此，作者提出了Porting Benchmark：一个包含1,234个安全补丁回溯移植用例的数据集，覆盖跨版本、跨分支和跨仓库场景，并配套统一的评估框架。在该基准下，作者对五款工具进行了对齐设置下的评估，涵盖程序分析、LLM提示和LLM智能体等方法。结果表明，统一的评估协议改变了性能排序：PortGPT和TSBPort在Replication Dataset上仍然相对强劲，而FixMorph和Mystique在统一协议下性能显著下降。在结构复杂的补丁上性能急剧下降：最佳commit级成功率从Type-I补丁的85.2%降至Type-IV的24.0%。作者归纳了四类根本原因（缺少目标API感知、跨版本语义不匹配、非局部依赖传播失败、补丁构造或定位失败），为下一代工具设计提供了具体方向。在一个包含45例经过动态验证的子集上（具有验证测试用例和构造的POC），作者进一步发现基于静态参考的基准分数不能完全反映真实世界修复效果：精确匹配分数严重低估了更难的目标适应，而可执行验证揭示了目标中静态参考一致所无法捕获的残留集成失败。可执行反馈精炼在最具挑战性的可执行用例上提供了有限但可测的恢复。该研究为安全补丁回溯移植工具的可靠评估和后续研发提供了重要参考。适合安全工程、漏洞管理及软件维护相关研究人员和从业者阅读。

本文提出 VeriPort，一个端到端的自动化补丁回溯系统，旨在解决开源依赖中已知漏洞的修复难题。当前，安全补丁通常仅针对最新版本发布，开发者面临两难：要么升级到最新版本（可能引入破坏性变更），要么手动将补丁回溯到旧版本。现有回溯方案只能针对单个指定版本，且无法提供充分证据证明补丁能阻断漏洞利用并保持原有功能。VeriPort 能够根据给定的漏洞公告，将该补丁可扩展地回溯到该包的所有受影响版本。对于每个回溯版本，VeriPort 构建一条证据链，以确认补丁阻断了漏洞利用并保留了预期行为。作者使用 BackportBench 基准测试（包含 128 个回溯任务）进行评估，VeriPort 成功解决了 95.3% 的任务，比现有最佳方案 Claude Code 高出 22.7 个百分点。此外，研究团队将 VeriPort 部署在 169 个高/严重等级 CVE 上，生成了超过 5000 个经过验证的回溯补丁。更重要的是，VeriPort 还发现了 2100 个版本被错误报告为受影响，以及 127 个之前未被识别的脆弱版本（涉及 92 个公告），其中 23 个公告已在上游得到修正（删除了 387 个错误版本，新增了 81 个正确版本）。该论文适合安全工程师、开源维护者和依赖管理工具开发者阅读。