論文の概要: Security Incentivization: An Empirical Study of how Micropayments Impact Code Security
- arxiv url: http://arxiv.org/abs/2605.13100v1
- Date: Wed, 13 May 2026 07:12:13 GMT
- ステータス: 翻訳完了
- システム内更新日: 2026-05-14 23:30:27.869757
- Title: Security Incentivization: An Empirical Study of how Micropayments Impact Code Security
- Title（参考訳）: セキュリティインセンティブ化 - マイクロペイメントがコードのセキュリティに与える影響に関する実証的研究
- Authors: Stefan Rass, Martin Pinzger, Rainer W. Alexandrowicz, Georg Sengstbratl, Johann Glock, Alexander Lercher, Fabian Oraze, Christoph Wedenig,
- Abstract要約: セキュリティは、目に見える価値を直接生成しないため、開発者の注意を欠くことが多い。
我々は、チームレベルのインセンティブによる、測定可能なセキュリティ改善に関連する対策の評価を行った。
私たちの半自動メカニズムは、Bearer、Detekt、Mobsfscanの静的分析結果を収集し、セキュリティ問題密度を計算し、スプリント間の相対的な改善比率に基づいてチームに報酬を与えます。
- 参考スコア（独自算出の注目度）: 37.42753138542901
- License: http://creativecommons.org/licenses/by/4.0/
- Abstract: Security often receives insufficient developer attention because it does not directly generate visible value, leading to underinvestment in practice. We evaluate a countermeasure by team-level incentives tied to measurable security improvements over time. Our semi-automated mechanism aggregates static analysis findings from Bearer, Detekt, and mobsfscan, computes security issue density, and rewards teams based on the relative improvement ratio across sprints, enabling repeatable, scriptable reporting at scale. In a controlled course experiment with 84 students across 14 teams, we compared a security-incentivized condition, in which bonus points were linked to security scanner results, against a control condition with an otherwise identical grading scheme. The treatment group achieved significantly lower security issue density overall (beta regression: $β= -0.396, p = 0.0342$), indicating improved measurable security under incentivization. After controlling for platform, we observed a marked front-end/back-end disparity, with back-ends showing fewer issues and higher improvement ratios under incentives, highlighting heterogeneous effects across stack layers. Notably, these gains were not the byproduct of inflated code volume, as lines of code increased similarly across groups over time. The measurement pipeline and toolchain proved feasible for scripting and automation, supporting scalable adoption in practice. Our results suggest that aligning rewards with automated security metrics can measurably improve code security and merit follow-up in professional contexts and longer development lifecycles.
- Abstract（参考訳）: セキュリティは、目に見える価値を直接生成しないため、開発者の注意を欠くことが多い。
我々は、チームレベルのインセンティブによる、測定可能なセキュリティ改善に関連する対策の評価を行った。
私たちの半自動メカニズムは、Bearer、Detekt、Mobsfscanの静的分析結果を収集し、セキュリティ問題密度を計算し、スプリント間の相対的な改善比率に基づいてチームに報奨を与えます。
14チーム84名の学生を対象にした制御コース実験において,セキュリティ・インセンティブ付き条件と比較し,ボーナスポイントがセキュリティ・スキャナーの結果と関連付けられている場合と,それ以外はグレーディング方式の制御条件との比較を行った。
治療群は, 総合的なセキュリティ問題密度(β=-0.396, p = 0.0342$)を有意に低下させた。
プラットフォームをコントロールした後、バックエンドは問題が少なく、インセンティブの下で改善率が向上し、スタック層間の不均一な影響が強調されるなど、フロントエンド/バックエンドの相違が顕著に見られた。
特に、これらの利益は膨らませたコードボリュームの副産物ではない。
測定パイプラインとツールチェーンはスクリプティングと自動化が実現可能であることを証明し、実際にスケーラブルな採用をサポートする。
結果から,自動セキュリティメトリクスによる報酬の整合性は,プロフェッショナルなコンテキストと開発ライフサイクルの延長において,コードのセキュリティとフォローアップのメリットを計測的に向上させる可能性が示唆された。
関連論文リスト
- On-Policy Self-Evolution via Failure Trajectories for Agentic Safety Alignment [54.30690671490447]
既存の安全アライメント信号は、主に応答レベルまたは政治外である。
FATEは、検証済みの失敗を専門家のデモンストレーションなしで修復管理に変換する。
FATEは攻撃成功率を33.5%、有害なコンプライアンスを82.6%削減し、外的軌道安全診断を6.5%改善する。
論文 参考訳（メタデータ） (2026-05-12T09:56:28Z) - A Quasi-Experimental Developer Study of Security Training in LLM-Assisted Web Application Development [9.493071661387596]
実験では,事前学習と訓練後比較を併用した混合設計と,対象間の専門的要因を探索的に比較した。
主要参加者レベルエンドポイントは重度重み付き検証弱度スコアであった。
訓練後の条件は、正確なウィルコクソンの署名ランク試験で有意な対の減少を示した。
論文 参考訳（メタデータ） (2026-04-20T03:34:29Z) - Measuring and Exploiting Confirmation Bias in LLM-Assisted Security Code Review [6.417595678110472]
ソフトウェアサプライチェーン攻撃において,確認バイアスがLSMベースの脆弱性検出に影響を及ぼすか,また,この障害モードを悪用できるかを検討する。
調査1では,5つのフレーミング条件下で4つの最先端モデルに対して評価された250個のCVE脆弱性/パッチペアに対する制御実験により,確認バイアスを定量化する。
調査2は、既知の脆弱性を再導入する敵のプルリクエストを模倣して、セキュリティの改善やプルリクエストメタデータによる緊急機能修正を実施可能であることを評価する。
論文 参考訳（メタデータ） (2026-03-19T10:40:27Z) - SFCoT: Safer Chain-of-Thought via Active Safety Evaluation and Calibration [9.8659606914942]
本稿では,安全性の低い推論ステップを積極的に評価・校正するSaFer Chain-of-Thought(SFCoT)フレームワークを提案する。
実験の結果、SFCoTは攻撃成功率を58.97%から12.31%に引き下げた。
論文 参考訳（メタデータ） (2026-03-16T15:13:21Z) - Reward Under Attack: Analyzing the Robustness and Hackability of Process Reward Models [68.45272703833209]
現状のPRMは、逆最適化圧力下で体系的に利用可能であることを示す。
これらの脆弱性を定量化するために、敵の圧力を増大させる3段階の診断フレームワークを導入する。
我々は、PRM-BiasBenchと診断ツールキットをリリースし、デプロイ前にロバストネスの評価を可能にする。
論文 参考訳（メタデータ） (2026-02-20T23:38:03Z) - A Coin Flip for Safety: LLM Judges Fail to Reliably Measure Adversarial Robustness [57.510025257780306]
既存の検証プロトコルは、レッドチーム固有の分散シフトを考慮できないことを示す。
我々は、より一貫して判断可能な振る舞いのベンチマークであるReliableBenchと、判断失敗を公開するために設計されたデータセットであるJiceStressTestを提案する。
論文 参考訳（メタデータ） (2026-02-04T15:13:35Z) - RealSec-bench: A Benchmark for Evaluating Secure Code Generation in Real-World Repositories [58.32028251925354]
LLM(Large Language Models)は、コード生成において顕著な能力を示しているが、セキュアなコードを生成する能力は依然として重要で、未調査の領域である。
我々はRealSec-benchを紹介します。RealSec-benchは、現実世界の高リスクなJavaリポジトリから慎重に構築されたセキュアなコード生成のための新しいベンチマークです。
論文 参考訳（メタデータ） (2026-01-30T08:29:01Z) - How Secure is Secure Code Generation? Adversarial Prompts Put LLM Defenses to the Test [9.85596630285833]
本稿では,最先端のセキュアなコード生成手法に関する,最初の体系的な逆監査について述べる。
静的アナライザはセキュリティを7～21回過大評価し,37～60%が非機能である。
これらの知見に基づいて,ロバストなセキュアなコード生成手法の構築と評価のためのベストプラクティスを提案する。
論文 参考訳（メタデータ） (2026-01-11T22:28:21Z) - Assumptions to Evidence: Evaluating Security Practices Adoption and Their Impact on Outcomes in the npm Ecosystem [5.250288418639076]
本研究の目的は、実践者や政策立案者がどのセキュリティプラクティスを採用するべきかを判断するのを支援することである。
セキュリティプラクティスの採用状況と,145K npmパッケージのセキュリティ結果指標への影響を分析した。
以上の結果から,総合的なセキュリティプラクティスの採用には5.2の脆弱性,216.8日のMTTR,52.3日のMTTUが関与していることがわかった。
論文 参考訳（メタデータ） (2025-04-18T18:31:31Z) - Safe Deep Reinforcement Learning by Verifying Task-Level Properties [84.64203221849648]
コスト関数は、安全深層強化学習(DRL)において一般的に用いられる。
このコストは通常、国家空間における政策決定のリスクの定量化が難しいため、指標関数として符号化される。
本稿では,ドメイン知識を用いて,そのような状態に近接するリスクを定量化するための代替手法について検討する。
論文 参考訳（メタデータ） (2023-02-20T15:24:06Z)
関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。
指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。