从晦涩难懂到清晰明了——通过训练大语言模型（LLM）的解释能力来检测智能合约中的漏洞

《ACM Transactions on Software Engineering and Methodology》：From Cryptic to Clear - Training on LLM Explanations to Detect Smart Contract Vulnerabilities

智能合约漏洞检测（SCVD）中，LLMs因缺乏监督学习而效果不佳。本文提出CodeXplain方法，结合LLMs的深度代码理解与监督学习的优势，设计九个提示引导生成漏洞相关解释，并利用CodeT5进行语义融合，提升检测性能。实验在3544个合约上验证，准确率93.88%，F1 94.12%，优于16种基线方法。

　　

摘要

智能合约彻底改变了交易执行的方式，提供了去中心化且不可篡改的框架。然而，如果智能合约代码中存在漏洞，其不可篡改性会带来重大风险，从而导致财务损失。尽管在利用深度学习进行智能合约漏洞检测（SCVD）方面取得了进展，但现有方法仍难以处理智能合约代码中复杂的逻辑和精妙的语义。大型语言模型（LLMs）在深入理解智能合约逻辑方面展现出潜力。不过，像GPT这样的LLMs仅采用解码器架构，并以无监督的方式训练，而非学习特定标签。在SCVD任务中，这些LLMs难以捕捉与漏洞相关的信息，从而导致准确率非常低。因此，我们提出了CodeXplain这一创新方法，它结合了LLMs对代码的深入理解与深度学习模型的监督学习能力，实现了最新的技术进步和性能提升。具体而言，我们深入分析了14种常见且危险的智能合约漏洞类型，并根据这些漏洞的特点设计了九种引导性提示，以帮助LLMs生成有助于SCVD的代码解释。接着，我们开发了一个基于CodeT5的语义融合模块，将智能合约代码与代码解释相结合。最后，通过对可信标签进行监督学习，进一步提升了SCVD的准确率。在3,544个真实智能合约上的实验结果表明，CodeXplain的表现优于16种最先进的SCVD方法，其F1分数达到了94.12%，准确率为93.88%，超越了所有基准方法。