VulRTex：一种基于推理的方法，用于从丰富的文本问题报告中识别漏洞

《ACM Transactions on Software Engineering and Methodology》：VulRTex: A Reasoning-Guided Approach to Identify Vulnerabilities from Rich-Text Issue Report

软件漏洞相关问题报告（IRs）的自动识别存在挑战。本文提出VulRTex方法，利用大型语言模型（LLM）构建漏洞推理数据库，通过检索历史案例生成推理指导，指导LLM对IRs的富文本信息进行漏洞分析。实验表明该方法在973,572个IRs数据集上F1值提升11%，AUPRC提升20.2%，且处理速度比基线方法快2倍。实际应用中成功发现30个新兴漏洞，其中11个获得CVE编号。

　　

摘要AI 摘要

要查看此由 AI 生成的摘要，您必须具有高级访问权限。

了解更多登录

摘要

摘要

开源软件（OSS）中存在安全漏洞，发现这些漏洞的开发者可以提交问题报告（IR）来描述其详细信息。安全人员需要花费大量时间手动从社区中识别与漏洞相关的问题报告，而这种时间差可能会被攻击者利用来危害系统。此前，研究人员提出了自动化的方法来帮助识别这些与漏洞相关的问题报告，但这些方法主要关注文本描述，而缺乏对问题报告中丰富文本信息的全面分析。在本文中，我们提出了 VulRTex，这是一种基于推理的方法，用于识别包含丰富文本信息的与漏洞相关的问题报告。具体而言，VulRTex 首先利用大型语言模型（LLM）的推理能力来准备包含历史问题报告的漏洞推理数据库。然后，它从准备好的推理数据库中检索相关案例，生成推理指导，从而指导 LLM 通过对目标问题报告的丰富文本信息进行推理分析来识别漏洞。为了评估 VulRTex 的性能，我们在 973,572 份问题报告上进行了实验，结果表明，在数据集不平衡的情况下，VulRTex 在识别与漏洞相关的问题报告和预测 CWE-ID 方面表现最佳，其 F1 分数提高了 11.0%，AUPRC 提高了 20.2%，Macro-F1 分数提高了 10.5%，并且所需时间仅为基线方法的二分之一。此外，VulRTex 已被应用于识别 2024 年 GitHub 上 10 个代表性 OSS 项目中的 30 个新兴漏洞，其中 11 个漏洞成功分配了 CVE-ID，这证明了 VulRTex 的实用性。

AI 摘要

AI 生成的摘要（实验性)

此摘要是使用自动化工具生成的，并非由文章作者编写或审核。它旨在帮助发现漏洞、帮助读者评估内容的相关性，并协助来自相关研究领域的读者理解本文的工作。它旨在补充作者提供的摘要，后者仍然是文章的正式摘要。完整文章才是权威版本。点击此处了解更多。

点击 此处 对此摘要的准确性、清晰度和实用性进行评论。您的反馈将有助于改进未来的版本。

要查看此由 AI 生成的简单语言摘要，您必须具有高级访问权限。