論文の概要: GenSIaC: Toward Security-Aware Infrastructure-as-Code Generation with Large Language Models

• arxiv url: http://arxiv.org/abs/2511.12385v1
• Date: Sat, 15 Nov 2025 23:23:52 GMT
• ステータス: 翻訳完了
• システム内更新日: 2025-11-18 14:36:24.008351
• Title: GenSIaC: Toward Security-Aware Infrastructure-as-Code Generation with Large Language Models
• Title（参考訳）: GenSIaC: 大規模言語モデルによるセキュリティ対応インフラストラクチャ・アズ・コード生成を目指して
• Authors: Yikun Li, Matteo Grella, Daniel Nahmias, Gal Engelberg, Dan Klein, Giancarlo Guizzardi, Thijs van Ede, Andrea Continella,
• Abstract要約: 本稿では,セキュリティを意識したIaCコード生成におけるLarge Language Models(LLM)の可能性について検討する。 我々はまず,IaCコードの生成と検査において,IaCのセキュリティ上の重大な欠陥を認識するために,ベースLSMの包括的な評価を行う。 次に、LLMの潜在的なセキュリティ弱点を認識する能力を改善するために設計された命令微調整データセットであるGenSIaCを提案する。
• 参考スコア（独自算出の注目度）: 10.935901570421604
• License: http://creativecommons.org/licenses/by/4.0/
• Abstract: In recent years, Infrastructure as Code (IaC) has emerged as a critical approach for managing and provisioning IT infrastructure through code and automation. IaC enables organizations to create scalable and consistent environments, effectively managing servers and development settings. However, the growing complexity of cloud infrastructures has led to an increased risk of misconfigurations and security vulnerabilities in IaC scripts. To address this problem, this paper investigates the potential of Large Language Models (LLMs) in generating security-aware IaC code, avoiding misconfigurations introduced by developers and administrators. While LLMs have made significant progress in natural language processing and code generation, their ability to generate secure IaC scripts remains unclear. This paper addresses two major problems: 1) the lack of understanding of security weaknesses in IaC scripts generated by LLMs, and 2) the absence of techniques for enhancing security in generating IaC code with LLMs. To assess the extent to which LLMs contain security knowledge, we first conduct a comprehensive evaluation of base LLMs in recognizing major IaC security weaknesses during the generation and inspection of IaC code. Then, we propose GenSIaC, an instruction fine-tuning dataset designed to improve LLMs' ability to recognize potential security weaknesses. Leveraging GenSIaC, we fine-tune LLMs and instruct models to generate security-aware IaC code. Our evaluation demonstrates that our models achieve substantially improved performance in recognizing and preventing IaC security misconfigurations, e.g., boosting the F1-score from 0.303 to 0.858. Additionally, we perform ablation studies and explore GenSIaC's generalizability to other LLMs and its cross-language capabilities.
• Abstract（参考訳）: 近年、Infrastructure as Code(IaC)は、コードと自動化を通じてITインフラストラクチャを管理し、プロビジョニングするための重要なアプローチとして現れています。 IaCはスケーラブルで一貫した環境を構築でき、サーバと開発環境を効果的に管理できる。 しかし、クラウドインフラストラクチャの複雑さの増大は、IaCスクリプトにおける設定ミスやセキュリティ上の脆弱性の増加につながっている。 本稿では,セキュリティに配慮したIaCコード生成におけるLLM(Large Language Models)の可能性を検討する。 LLMは自然言語処理とコード生成に大きな進歩を遂げているが、セキュアなIaCスクリプトを生成する能力は未だに不明である。 本稿では,2つの問題に対処する。 1)LLMが生成するIaCスクリプトにおけるセキュリティの弱点の理解の欠如と 2) LLMによるIaCコード生成におけるセキュリティ向上手法の欠如。 まず,LLMがセキュリティ知識をどの程度含んでいるかを評価するため,IaCコードの生成と検査において,主要なセキュリティ脆弱性を認識するために,ベースLLMを総合的に評価する。 そこで我々は,LLMの潜在的なセキュリティ弱点を認識する能力を改善するために設計された命令微調整データセットであるGenSIaCを提案する。 GenSIaCを活用することで、LEMを微調整し、モデルにセキュリティを意識したIaCコードを生成するように指示します。 評価の結果,IaCのセキュリティの誤設定を認識・防止し,F1スコアを0.303から0.858に向上させることが確認できた。 さらに、Ablation 研究を行い、GenSIaC の他の LLM への一般化可能性とその言語間能力について検討する。

関連論文リスト

• A.S.E: A Repository-Level Benchmark for Evaluating Security in AI-Generated Code [49.009041488527544]
  A.S.Eは、AI生成コードのセキュリティを評価するためのリポジトリレベルの評価ベンチマークである。 現在の大規模言語モデル(LLM)は、セキュアなコーディングに苦戦している。 大きな推論予算は、必ずしもより良いコード生成につながるとは限らない。
  論文  参考訳（メタデータ） (2025-08-25T15:11:11Z)
• Guiding AI to Fix Its Own Flaws: An Empirical Study on LLM-Driven Secure Code Generation [16.29310628754089]
  大規模言語モデル(LLM)は、コードの自動生成のための強力なツールになっている。 LLMは、しばしば重要なセキュリティプラクティスを見落とし、安全でないコードを生成する。 本稿では、安全性の低いコードを生成するための固有の傾向、自己生成する脆弱性ヒントによってガイドされた場合にセキュアなコードを生成する能力、フィードバックレベルが異なる場合に脆弱性を修復する効果について検討する。
  論文  参考訳（メタデータ） (2025-06-28T23:24:33Z)
• SEC-bench: Automated Benchmarking of LLM Agents on Real-World Software Security Tasks [11.861657542626219]
  SEC-benchは、大規模言語モデル(LLM)エージェントを評価するための、最初の完全に自動化されたベンチマークフレームワークである。 当社のフレームワークは,再現可能なアーティファクトを備えた高品質なソフトウェア脆弱性データセットを,インスタンス当たり0.87ドルで自動生成します。 最先端のLLMコードエージェントの包括的な評価では、大きなパフォーマンスギャップが明らかになっている。
  論文  参考訳（メタデータ） (2025-06-13T13:54:30Z)
• The Hidden Risks of LLM-Generated Web Application Code: A Security-Centric Evaluation of Code Generation Capabilities in Large Language Models [0.769672852567215]
  本稿では,複数のモデルにまたがるLLM生成コードのセキュリティコンプライアンスを評価するために,予め定義されたセキュリティパラメータを用いる。 この分析は、認証機構、セッション管理、入力バリデーション、HTTPセキュリティヘッダに重大な脆弱性を明らかにしている。 我々の発見は、LLM生成コードのセキュアなソフトウェアデプロイメントやレビューのために、人間の専門知識が不可欠であることを示している。
  論文  参考訳（メタデータ） (2025-04-29T10:23:11Z)
• Global Challenge for Safe and Secure LLMs Track 1 [57.08717321907755]
  LLM(Global Challenge for Safe and Secure Large Language Models)は、AI Singapore(AISG)とCyberSG R&D Programme Office(CRPO)が主催する先駆的イニシアチブである。 本稿では,AI Singapore(AISG)とCyberSG R&D Programme Office(CRPO)が組織した先駆的イニシアチブであるLLM(Global Challenge for Safe and Secure Large Language Models)を紹介する。
  論文  参考訳（メタデータ） (2024-11-21T08:20:31Z)
• Can We Trust Large Language Models Generated Code? A Framework for In-Context Learning, Security Patterns, and Code Evaluations Across Diverse LLMs [2.7138982369416866]
  大規模言語モデル(LLM)は、ソフトウェア工学における自動コード生成に革命をもたらした。 しかし、生成されたコードのセキュリティと品質に関する懸念が持ち上がっている。 本研究は,LLMの行動学習をセキュアにするための枠組みを導入することで,これらの課題に対処することを目的とする。
  論文  参考訳（メタデータ） (2024-06-18T11:29:34Z)
• CodeAttack: Revealing Safety Generalization Challenges of Large Language Models via Code Completion [117.178835165855]
  本稿では,自然言語入力をコード入力に変換するフレームワークであるCodeAttackを紹介する。 我々の研究は、コード入力に対するこれらのモデルの新たな、普遍的な安全性の脆弱性を明らかにした。 CodeAttackと自然言語の分布ギャップが大きくなると、安全性の一般化が弱くなる。
  論文  参考訳（メタデータ） (2024-03-12T17:55:38Z)

関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。

指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。