摘要
软件漏洞是安全入侵的主要原因，因此，其大规模自动化检测已成为业界和学术界关注的紧迫问题。大多数用于漏洞检测的图神经网络（GNN）方法将代码图视为同构结构，因此，抽象语法树（AST）边、控制流图（CFG）边和数据流依赖边之间的语义区别被丢弃了。本研究的主要目标是确定明确地基于边类型条件化消息传递是否能产生准确且轻量级的检测。为此，提出了一种名为 FastVulnGNN 的边条件化 GNN，其中的消息传递计算基于从代码属性图（CPG）中提取的边类型信息。FastVulnGNN 运行在 Joern 生成的 CPG 上，包含 33 种节点类型和 21 种边类型，从而保留了完整的异组图结构。采用结合平均、最大和学习注意力池化的多尺度读出机制进行图级分类，并且结合焦点损失、标签平滑和余弦退火热重启的训练配置，通过训练目标的消融实验进行了单独验证。在包含 1904 个平衡 C/C++ 样本的 MegaVul 数据集上，仅用 71,810 个参数就实现了 71.1% 的准确率、0.70 的 F1 分数和 0.77 的 AUC-ROC。训练在单个 CPU 核心上不到两分钟即可完成，且不需要 GPU 资源。这项工作的意义在于，它证明了一种紧凑的、边感知架构可以匹配远大规模模型的独立复现结果，同时仍然可以在资源受限的环境中部署，例如持续集成流水线和开发人员工作站。本研究刻意被框定为一项受控且可复现的工程和评估贡献，而不是架构上的进步。此外，还报告了边类型消融研究、跨数据集评估和逐漏洞分析，以刻画模型的行为和局限性。
