持续集成流水线的成本敏感型安全控制措施

《Computers & Security》：Cost-Sensitive Security Controls for Continuous Integration Pipelines

　　

摘要：CI 安全控制在发布前结合了契约、语义、策略、溯源、依赖和审查证据。二元门控难以调整：低阈值会中断良性变更，而高阈值则允许残留安全风险通过。本研究评估了一种成本敏感决策框架，该框架聚合阶段证据，并在逃逸风险、误拦截率和审查负载之间的明确权衡下选择阈值。评估使用了一个确定性实验组，包含 960 项集成变更，跨越八种压力配置的 60 个种子重复实验，一个 REST 接口检查，以及针对 32,281 条与 CISA 已知被利用漏洞（KEV）目录链接的 GitHub 审核安全公告的回顾性发布队列审计。在确定性实验组中，阈值 5 拦截了包含 99.35% 生成风险的变更，仅出现一次误拦截；在种子实验组中，基线条件下的平均拦截变更风险覆盖率为 99.30%。在 1% 的故障变更流行率下，传输后的平均精确率在阈值 5 时为 77.7%，在阈值 3 时为 29.0%。分层分数置换将阈值 5 的拦截变更风险覆盖率降至 65.25%，暴露了对生成器分数排序的依赖性。在公告审计中，平衡的非加权点覆盖了 96.23% 的观测 KEV 风险，审查份额为 48.58%，而审查受限的正则化点覆盖率为 62.26%，审查份额为 3.45%。当前的 EPSS 在匹配的 CVE 子集上表现更强，因此审计展示的是跨域风险 - 工作量分析，而非验证 CI 门控或确立评分优越性。结果支持明确的、本地验证的运行点，而非通用阈值。

引言：现代软件交付流水线越来越作为安全控制点运行，而不仅仅是简单的构建脚本。安全保证和从业者研究将验证视为生命周期活动，并表明选择、集成和维护控制仍然是组织面临的挑战（Shukla 等人 2022；Sinan 等人 2025）。软件供应链研究增加了溯源和依赖完整性义务（Newman 等人 2022；Torres-Arias 等人 2019；Gokkaya 等人 2026）。面向 API 的系统增加了契约、认证和授权检查；经同行评审的 REST 测试和安全研究表明，这些义务暴露了不同的行为和访问控制故障（Atlidakis 等人 2019；Santos Filho 等人 2025）。因此，单个集成变更可能会触发契约检查、语义检查、安全扫描、策略检查、溯源检查、依赖检查以及审查或裁决阶段。

现有的软件测试研究提供了强有力的产生证据的技术，但为流水线门控留下了一个单独的决策问题。基于模型的测试定义了行为模型和预期输出（Utting 等人 2012）。变异测试评估测试是否检测到种入的行为变化（Offutt 等人 1996）。定向随机测试、基于语法的模糊测试和符号执行扩展了探索的输入空间（Godefroid 等人 2005, 2008；Cadar 等人 2008）。基于搜索的生成自动化了测试构建（Fraser 和 Arcuri 2011）。REST API 模糊测试和访问控制策略测试将这些思想扩展到服务和授权规则（Atlidakis 等人 2019；Pretschner 等人 2008；Martin 等人 2006）。这些技术提高了故障变得可观测的可能性。它们本身并不定义来自多个阶段的异质证据何时严重到足以阻断 CI 变更。

漏洞优先级研究解决了问题的另一部分，通过区分严重性和观测到的利用情况，并表明任一信号单独都不能完全代表操作风险（Allodi 和 Massacci 2014；Jacobs 等人 2021；Mell 等人 2024）。最近的安全控制和供应链研究还强调可重复的控制、可追溯性、发布完整性以及在软件生命周期中维护控制的难度（Sinan 等人 2025；Skandylas 和 Asplund 2025；Tang 等人 2025；Gokkaya 等人 2026）。这些研究证明了风险敏感决策的合理性，但它们并未为必须权衡逃逸风险、误拦截率、审查容量和漂移的 CI 门控提供经验运行前沿。在实践中，团队通常将证据简化为警告计数、严重性标签或固定的通过 - 失败规则。当证据阶段在故障覆盖率、假阳性行为和审查成本上存在差异时，此类规则难以证明其合理性。

此处解决的是安全测试证据与发布阻断之间的成本敏感决策层差距。以往的工作主要关注测试充分性和生成的证据（Bertolino 2007；Utting 等人 2012；Offutt 等人 1996），服务探索（Atlidakis 等人 2019），或策略覆盖率测量（Pretschner 等人 2008；Martin 等人 2006）；本文探讨了当契约、语义、安全、策略、溯源、依赖和裁决阶段产生信号后，门控如何聚合证据。新颖之处在于在一项实证研究中结合了四个要素：集成变更的多阶段风险评分模型；报告逃逸风险、误拦截率、审查负载和流行率敏感精确率的阈值运行点；跨自举重采样、种子实验、域、周期、压力配置和生成器耦合扰动的稳健性分析；以及测试不同边际风险覆盖率的阶段消融和聚合器比较。回顾性公告审计单独演示了相同的成本敏感分析如何描述具有观测利用标签的跨域优先级任务。这是一个成本敏感决策问题，而不是新的扫描器、模糊测试器或策略语言。

本文研究使用受控基准测试的集成流水线成本敏感安全门控，基准测试包含对集成契约和流水线工件的变更。每个变更可能包含架构、语义、安全、策略、溯源、依赖或模糊故障。每个保证阶段发出证据分数和裁决负担。累计分数超过阈值的变更会被保留以供审查；由于发布在审查前不会进行，基准测试将其视为待审查的阻断。由于基准测试是生成的，评估区分了模拟器内部的稳定性和外部证据的有效性，并检查了替代部署流行率下的精确率（Davis 和 Goadrich 2006；Saito 和 Rehmsmeier 2015）。研究提出了五个问题：
RQ1：门控阈值如何在替代故障变更流行率下权衡拦截变更风险覆盖率、逃逸风险、误拦截率、审查负载和精确率？
RQ2：选定的阈值在自举重采样、种子基准变化、域、周期和压力配置之间有多稳定，结果与生成器的耦合程度有多强？
RQ3：哪些证据阶段贡献了不同的边际风险覆盖率，替代聚合器是否改变模拟前沿？
RQ4：容量限制、周期留出转移和成本假设如何改变阈值选择？
RQ5a：当证据跨越本地 REST 服务边界时，门控接口是否仍然可行？
RQ5b：在具有观测 KEV 结果的回顾性公告级演示中，声明的成本配置是否产生不同的风险 - 工作量运行点？

评估包含一个确定性实验组，有 960 项集成变更和 1,865 个注入故障事件，外加一个种子实验组，包含 60 个重复基准测试、八种压力配置和 4,800 次阈值评估。本文做出了四项贡献。首先，它定义了多阶段集成保证的成本敏感门控模型。其次，它报告了阈值前沿，揭示了拦截变更风险覆盖率、逃逸风险、误拦截率、审查负载和流行率敏感精确率之间的权衡。第三，它通过自举区间、种子实验、域和周期分解、压力配置和生成器耦合扰动评估稳定性。第四，它提供了容量分析、周期留出模拟、成本敏感性、证据阶段消融、聚合器比较以及回顾性跨域公告演示。这些补充完善了运行前沿，而没有改变本文的核心对象：在异质保证证据产生后做出的发布决策。

部分片段 相关工作 安全与可靠性测试研究为这项研究提供了第一个基础：只有当测试拥有与相关故障类别相匹配的输入模型和预言机时，故障才会变得可观测（Bertolino 2007；Whittaker 2000）。基于模型的测试使模型明确化，通过从行为规范中导出测试义务（Utting 等人 2012）。变异测试采取互补的观点：它评估测试套件是否区分原始程序和种入的行为

成本敏感门控模型 设 ?? 为集成变更，?? 为保证阶段集合。在基准测试中，?? 包含契约、语义、安全、策略、溯源、依赖和裁决阶段。每个阶段 ??∈?? 发出非负证据分数 ?????(??) 和裁决负担 ?????(??)。门控分数为 ???(??)=∑??∈???????(??)。当 ???(??)≥?? 时，阈值 ?? 将变更保留以供审查；基准测试将此干预记录为待审查的阻断。分数是非概率性的证据量度，因此阈值选择

受控模拟基准测试 确定性实验组是一个受控模拟，而非观测到的 CI 数据集。它包含 960 项生成的集成变更，跨越六个领域：民事登记、社会福利、公共卫生、教育、土地管理和开放数据。四个时间周期模拟基线行为、策略爆发、依赖爆发和语义漂移。表 2 总结了 615 项故障变更、345 项非故障控制、1,865 个注入故障事件以及总模拟风险权重 16,395.47。由此产生的

RQ1：阈值运行点与流行率传输 确定性实验组包含 615 项故障和 345 项安全变更，因此需要混淆计数来解释表观前沿。表 3 报告了每个评估阈值的 TP、FP、FN 和 TN。阈值 3 拦截了包含几乎全部生成风险的变更，但其九次误拦截在安全变更中产生了 2.61% 的假阳性率。阈值 5 相对于阈值 3 减少了七个真阻断和十五次审查，同时将误拦截从九个减少到一个。阈值 20 产生

讨论：对于安全运营，主要结果是一个 CI 门控可以作为成本敏感控制来报告，而不是作为不透明的通过 - 失败规则。最近关于控制集成和自动化安全测试的研究强调了实际部署、控制验证和预集成风险检测（Sinan 等人 2025；Skandylas 和 Asplund 2025；Tang 等人 2025）。阈值前沿增加了缺失的运行视图：它量化了多少加权风险位于待审查的变更中

有效性威胁 构念效度受限于基准测试的风险权重、证据分数和故障族。拦截变更风险覆盖率衡量的是位于待审查变更中的风险，而不是确证的修复或防止的损失。模拟的证据阶段编码了专业化，而不是执行商业扫描器。在公告审计中，KEV 链接是一个选择性的观测阳性代理；非 KEV 公告仍未标记，且当前元数据并未确立项目暴露或可达性。

结论：成本敏感安全门控提供了一种可测量的方法来在流水线发出异质保证证据时选择 CI 阈值。在确定性实验组中，阈值 5 拦截了包含 99.35% 生成风险的变更，仅出现一次误拦截；种子、压力、流行率和耦合分析界定了该结果。REST 小型案例确立了接口可行性。回顾性公告演示产生了不同的风险 - 工作量点，但未验证 CI 门控，且

数据可用性 公共复现包位于 https://github.com/ictu-se/risk-calibrated-security-gates-replication，包含实验代码、版本化配置、溯源记录和派生结果，可用于复现模拟和回顾性公告审计。

资助 本研究未收到公共、商业或非营利部门资助机构的任何特定赠款。

利益冲突声明 作者声明没有已知可能影响本文报告工作的竞争性经济利益或个人关系。

伦理声明 本研究分析公共软件工件和生成的基准记录，不涉及人类参与者、个人数据或动物主体；因此不适用伦理批准和同意。

生成式人工智能和人工智能辅助技术在稿件准备过程中的声明 在准备本工作期间，作者使用 ChatGPT 支持语言编辑和稿件组织。作者审查并编辑了所有输出，独立验证了分析、参考文献、数值结果和结论，并对文章内容承担全部责任。生成式人工智能未用于创建研究数据、标签或图表。

CRediT 作者贡献声明 The-Vinh Nguyen：写作 – 审查与编辑，写作 – 原始草案，可视化，验证，软件，方法论，形式分析，数据管理，概念化。The-Vinh Nguyen 泰国信息通信技术大学