本文是一篇系统化知识综述（SoK），旨在全面梳理自动化漏洞修复（Automated Vulnerability Repair, AVR）领域的研究进展。作者通过系统性文献回顾，收集并分析了近年来发表的AVR相关论文，将现有方法划分为基于规则、基于检索、基于模板和基于机器学习等主要类别。针对每一类别，论文详细讨论了其核心原理、典型代表系统（如GenProg、ACS、DeepRepair、SequenceR等）以及各自的优缺点，重点关注修复正确性、泛化能力、可解释性和性能开销。在评估方面，论文分析了常用基准数据集（如Defects4J、BugAID、ManyBugs等）的特性与局限性，指出当前评估协议存在不一致性问题（如缺陷选择偏差、修复标准差异），导致不同方法之间难以公平比较。此外，论文还探讨了AVR在实际应用中面临的挑战，包括程序语义理解、修复补丁的正确性验证、跨语言和跨项目迁移能力、以及对于复杂逻辑漏洞的修复能力。最后，作者提出了未来研究方向的建议，包括：利用大语言模型（LLM）增强代码理解与生成、结合形式化验证确保补丁正确性、构建统一评估平台，以及将AVR集成到DevOps流水线中实现持续安全。该综述为安全研究人员和工程实践者提供了清晰的现状概览和发展脉络，有助于指导后续研究与工具选型。

本文提出了一种基于根因驱动的自动化漏洞修复系统Kumushi。当前基于LLM的修复系统面临两个主要挑战：一是缺乏对bug来源的强信号，导致修复仅针对表面症状（如使测试通过）而未解决根本问题；二是根因定位本身困难，即使是熟悉代码库的开发者也常修复症状而非根因，LLM代理则因上下文噪声和程序理解不足而更差。Kumushi通过结合多样化动态故障定位与证据加权排序，将LLM聚焦于与缺陷最相关的代码，从而生成根因修复。为了严格评估补丁质量，作者还引入了双层补丁质量度量：结合自动化oracle验证与结构化专家评估。在178个C/C++漏洞上的实验表明，Kumushi在自动化评估中显著优于先前的专业修复代理，并与前沿商用编程代理性能相当。专家评估揭示了oracle无法区分的差异：Kumushi生成更多根因修复和更少表面补丁，在多数成对比较中被专家优先选择。这些结果表明自动漏洞修复的进步不仅需要更强的修复系统，还需要能区分真正修复与仅通过oracle的修复的更丰富评估方法。