論文の概要: R+R: Reassessing Java Security API Misuse in Current LLMs: A Replication on JCA and JSSE APIs with External Security Knowledge

• arxiv url: http://arxiv.org/abs/2605.31135v1
• Date: Fri, 29 May 2026 10:46:20 GMT
• ステータス: 翻訳完了
• システム内更新日: 2026-06-01 20:56:50.54746
• Title: R+R: Reassessing Java Security API Misuse in Current LLMs: A Replication on JCA and JSSE APIs with External Security Knowledge
• Title（参考訳）: R+R: 現在の LLM における Java Security API の誤用を再評価する: 外部セキュリティ知識を備えた JCA と JSSE API の重複
• Abstract要約: 本稿では,Java Cryptography Architecture (JCA)とJava Secure Socket Extension (JSSE) APIに関するMousaviらの研究を再現する。 GPT-5.5をフロンティアのプロプライエタリなコーディングモデルとし、Llama-3.3-70B-Instructをセルフホストデプロイメントに関連する強力なオープンウェイトモデルとした。
• 参考スコア（独自算出の注目度）: 2.255599116578844
• License: http://arxiv.org/licenses/nonexclusive-distrib/1.0/
• Abstract: The misuse of Java security APIs is a serious security problem in software development. Research in 2024 has shown that this problem is widespread in LLM-generated code. However, it remains unclear whether this phenomenon persists in current models and how external security knowledge affects it. This paper presents a scoped replication and extension of Mousavi et al.'s study on the Java Cryptography Architecture (JCA) and Java Secure Socket Extension (JSSE) APIs. We focus on two complementary settings: GPT-5.5 as a frontier proprietary coding model, and Llama-3.3-70B-Instruct as a strong open-weight model relevant to self-hosted deployment. The results show that although newer LLMs perform better in using Java security APIs, the problem of Java security API misuse has not been eliminated. External security knowledge substantially improves the measured outcome, but its effect is model-dependent. For Llama-3.3-70B-Instruct, secure code examples are the most effective single knowledge type. For GPT-5.5, explicit misuse patterns eliminate all detected security API misuses among valid programs in our benchmark, although some outputs remain invalid due to compilation errors or target-API mismatches. In addition, developer-guide knowledge becomes much more effective, and secure prompting also provides large gains for GPT-5.5. Overall, these findings confirm the Java security API misuse risk identified in the original study and show that the benefits of retrieval-augmented knowledge depend not only on the knowledge itself and retrieval behavior, but also on model capability.
• Abstract（参考訳）: JavaのセキュリティAPIの誤用は、ソフトウェア開発における深刻なセキュリティ問題である。 2024年の研究では、この問題はLLM生成コードで広く使われていることが示されている。 しかし、この現象が現在のモデルに持続するかどうかや、外部のセキュリティ知識がそれに影響を与えるのかは不明だ。 本稿では,Java Cryptography Architecture (JCA) と Java Secure Socket Extension (JSSE) API に関する Mousavi et al のスコープ化されたレプリケーションと拡張について述べる。 GPT-5.5をフロンティアのプロプライエタリなコーディングモデルとし、Llama-3.3-70B-Instructをセルフホストデプロイメントに関連する強力なオープンウェイトモデルとした。 その結果、新しいLSMはJavaのセキュリティAPIを使うのに優れているが、JavaのセキュリティAPIの誤用に関する問題は解決されていないことがわかった。 外的セキュリティ知識は測定結果を大幅に改善するが、その効果はモデルに依存している。 Llama-3.3-70B-Instructでは、セキュアなコード例が最も効果的な単一知識型である。 GPT-5.5の場合、明示的な誤用パターンにより、ベンチマークで有効なプログラム間で検出されたすべてのセキュリティAPI誤用が排除されるが、いくつかの出力はコンパイルエラーやターゲットAPI誤マッチのために無効のままである。 さらに、開発者ガイドの知識はより効果的になり、セキュアなプロンプトも GPT-5.5 に大きな利益をもたらす。 これらの結果は,本研究で確認されたJavaセキュリティAPIの誤用リスクを確認し,検索強化知識の利点は,知識そのものや検索行動だけでなく,モデル能力にも依存することを示した。

関連論文リスト

• SecPI: Secure Code Generation with Reasoning Models via Security Reasoning Internalization [50.71047638695205]
  RLM(Reasoning Language Model)は、プログラミングにおいてますます使われている言語モデルである。 しかし、最先端のRLMでさえ、生成されたコードに重大なセキュリティ脆弱性を頻繁に導入する。 我々は、構造化されたセキュリティ推論を内部化するためのRTMを教える微調整パイプラインであるSecPIを提案する。
  論文  参考訳（メタデータ） (2026-04-04T04:29:11Z)
• Contextualizing Sink Knowledge for Java Vulnerability Discovery [7.342448037592857]
  GONDARはシンク中心のファジリングフレームワークで、ターゲットとする脆弱性発見のためにシンクAPIセマンティクスを体系的に活用する。 GONDARはまず、CWE固有のスキャンを通じて、到達可能で悪用可能なシンクコールサイトを特定する。 次に2つの特殊エージェントを配置し、カバー誘導ファザーと協調して動作する。
  論文  参考訳（メタデータ） (2026-04-02T05:43:25Z)
• RealSec-bench: A Benchmark for Evaluating Secure Code Generation in Real-World Repositories [58.32028251925354]
  LLM(Large Language Models)は、コード生成において顕著な能力を示しているが、セキュアなコードを生成する能力は依然として重要で、未調査の領域である。 我々はRealSec-benchを紹介します。RealSec-benchは、現実世界の高リスクなJavaリポジトリから慎重に構築されたセキュアなコード生成のための新しいベンチマークです。
  論文  参考訳（メタデータ） (2026-01-30T08:29:01Z)
• The Trojan Knowledge: Bypassing Commercial LLM Guardrails via Harmless Prompt Weaving and Adaptive Tree Search [58.8834056209347]
  大規模言語モデル(LLM)は、有害な出力を誘導するために安全ガードレールをバイパスするジェイルブレイク攻撃に弱いままである。 CKA-Agent(Correlated Knowledge Attack Agent)は、ターゲットモデルの知識基盤の適応的木構造探索としてジェイルブレイクを再構成する動的フレームワークである。
  論文  参考訳（メタデータ） (2025-12-01T07:05:23Z)
• Jailbreaking in the Haystack [64.82605038772253]
  NINJA(Needle-in-haystack jailbreak attackの略)は、有害なユーザ目標に良質なモデル生成コンテンツを追加することで、LMをジェイルブレイクする手法である。 我々は、NINJAがLLaMA、Qwen、Mistral、Geminiを含む最先端のオープンおよびプロプライエタリモデルの攻撃成功率を著しく向上させることを示した。 これらの知見は、注意深いゴール位置決めを施された長いコンテキストでさえ、現代のLMに根本的な脆弱性をもたらすことを示している。
  論文  参考訳（メタデータ） (2025-11-05T01:12:50Z)
• Are Sparse Autoencoders Useful for Java Function Bug Detection? [5.119371135458389]
  ソフトウェア脆弱性はセキュリティ侵害の主な原因である。 従来の脆弱性検出方法は、高い偽陽性率、スケーラビリティの問題、手作業への依存によって制限されている。 Sparse Autoencoderはこの問題に対して有望な解決策を提供する。
  論文  参考訳（メタデータ） (2025-05-15T14:59:17Z)
• Mining for Lags in Updating Critical Security Threats: A Case Study of Log4j Library [2.593806238402966]
  パッチ更新の適用の遅れにより、クライアントシステムはエクスプロイトに晒される可能性がある。 更新遅延に影響する要因を特定し,バージョン分類に基づいて分類する。 結果は遅延が存在することを示しているが、より高いリリースサイクルのプロジェクトはより迅速に深刻なセキュリティ問題に対処する傾向にある。
  論文  参考訳（メタデータ） (2025-04-14T03:02:16Z)
• SQL Injection Jailbreak: A Structural Disaster of Large Language Models [71.55108680517422]
  大規模言語モデル(LLM)は、有害なコンテンツを生成するよう誘導するジェイルブレイク攻撃の影響を受けやすい。 本稿では,LLMの外部特性をターゲットとした新しいジェイルブレイク手法を提案する。 ユーザプロンプトにジェイルブレイク情報を注入することで、SIJは有害なコンテンツを出力するモデルをうまく誘導する。
  論文  参考訳（メタデータ） (2024-11-03T13:36:34Z)
• Iterative Self-Tuning LLMs for Enhanced Jailbreaking Capabilities [50.980446687774645]
  本稿では,対戦型LDMをジェイルブレイク能力に富んだ反復的自己調整プロセスであるADV-LLMを紹介する。 我々のフレームワークは,様々なオープンソース LLM 上で ASR を100% 近く達成しながら,逆接接尾辞を生成する計算コストを大幅に削減する。 Llama3のみに最適化されているにもかかわらず、GPT-3.5では99%のASR、GPT-4では49%のASRを達成している。
  論文  参考訳（メタデータ） (2024-10-24T06:36:12Z)
• What's in a Package? Getting Visibility Into Dependencies Using Security-Sensitive API Calls [3.6525326603691504]
  本稿では,エコシステムのためのセキュリティに敏感なAPIリストを構築するための新しい手法を提案する。 次に、機能的に類似したパッケージグループにおけるセキュリティに敏感なAPIの頻度を比較します。 開発者の半数以上が、もし利用可能であれば、依存関係の選択プロセスでセキュリティに敏感なAPI情報を使用するだろう。
  論文  参考訳（メタデータ） (2024-08-05T22:01:18Z)
• An Investigation into Misuse of Java Security APIs by Large Language Models [9.453671056356837]
  本稿では,Java のセキュリティ API ユースケースに対する ChatGPT のコード生成に対する信頼性を体系的に評価する。 タスク毎に30の試行にまたがるコードインスタンスの約70%には、セキュリティAPIの誤用が含まれており、20の異なる誤用タイプが識別されている。 約半数のタスクにおいて、この割合は100%に達し、開発者がセキュリティAPIコードを安全に実装するためにChatGPTに頼るまでには長い道のりがあることを示している。
  論文  参考訳（メタデータ） (2024-04-04T22:52:41Z)
• How Effective Are Neural Networks for Fixing Security Vulnerabilities [25.050519427592253]
  本稿では LLM と DL ベースの APR モデルの Java 脆弱性修復機能について検討し比較した。 結果として、より大きな脆弱性修復トレーニングデータを作成するなど、Javaの自動脆弱性修正を強化するイノベーションが求められている。
  論文  参考訳（メタデータ） (2023-05-29T20:50:27Z)
• Not what you've signed up for: Compromising Real-World LLM-Integrated Applications with Indirect Prompt Injection [64.67495502772866]
  大規模言語モデル(LLM)は、様々なアプリケーションに統合されつつある。 本稿では、プロンプトインジェクション攻撃を用いて、攻撃者が元の命令をオーバーライドし、制御を採用する方法を示す。 我々は、コンピュータセキュリティの観点から、影響や脆弱性を体系的に調査する包括的な分類法を導出する。
  論文  参考訳（メタデータ） (2023-02-23T17:14:38Z)

関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。

指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。