論文の概要: How Humans, Bots, and Agents Communicate About Vulnerabilities in Pull Requests
- arxiv url: http://arxiv.org/abs/2606.28125v1
- Date: Fri, 26 Jun 2026 14:26:13 GMT
- ステータス: 翻訳完了
- システム内更新日: 2026-06-29 18:24:25.512507
- Title: How Humans, Bots, and Agents Communicate About Vulnerabilities in Pull Requests
- Title（参考訳）: プルリクエストの脆弱性について人間、ボット、エージェントが語る方法
- Abstract要約: 我々は,人間,ボット,コーディングエージェントによるプルリクエストにおける脆弱性通信の計画研究について述べる。
我々は、プルリクエストのタイトル、説明、レビューコメント、コミットメッセージ、タイムラインに関する明確な脆弱性参照と暗黙のセキュリティ関連シグナルを分析します。
- 参考スコア（独自算出の注目度）: 8.26054481096776
- License: http://creativecommons.org/licenses/by/4.0/
- Abstract: Developers may reference vulnerabilities in pull request discussions through both explicit identifiers, such as CVEs or GHSAs, and implicit security-related language (e.g., "unauthorized access" or "SQL injection"). Prior work has primarily focused on explicit identifiers, potentially overlooking vulnerability discussions that lack formal references. Bots and coding agents are becoming more common in pull requests, raising new questions about how different accounts communicate about vulnerabilities. In this registered report, we describe our planned study of vulnerability communication in pull requests by humans, bots, and coding agents. Building on the AIDev-pop dataset, we analyze explicit vulnerability references and implicit security-related signals across pull request titles, descriptions, review comments, commit messages, and timeline discussions. We further investigate whether these references are associated with vulnerabilities introduced or fixed in the modified code and how they relate to pull request review activity and outcomes. This study contributes a large-scale empirical investigation of vulnerability communication practices in modern software development.
- Abstract（参考訳）: 開発者は、CVEやGHSAといった明示的な識別子と暗黙的なセキュリティ関連言語("許可されていないアクセス"や"SQLインジェクション"など)を通じて、プルリクエストの議論で脆弱性を参照することができる。
以前の作業は主に明示的な識別子に焦点を当てており、正式な参照を持たない脆弱性の議論を見落としている可能性がある。
ボットやコーディングエージェントはプルリクエストで一般的になってきており、異なるアカウントが脆弱性についてどのようにコミュニケーションしているかという新たな疑問が持ち上がっている。
本報告では,人間,ボット,コーディングエージェントによるプルリクエストにおける脆弱性通信の計画研究について述べる。
AIDev-popデータセットに基づいて、プルリクエストタイトル、説明、レビューコメント、コミットメッセージ、タイムラインに関する明確な脆弱性参照と暗黙的なセキュリティ関連シグナルを分析します。
さらに、これらの参照は、修正されたコードに導入された脆弱性と、プルリクエストレビューアクティビティと結果との関連性について調べる。
本研究では,現代のソフトウェア開発における脆弱性コミュニケーションの実践について,大規模な実証的研究を行った。
関連論文リスト
- Automatic Red Teaming for Implicit Vulnerabilities of Text-to-Image Models [58.59008920408855]
本稿では,ターゲットモデルのパラメータへのアクセスを必要とせずに,暗黙の脆弱性を明らかにするためのAdvPIE(Adversarial Probing for Implicit VulnErabilities)を提案する。
AdvPIEは、審査員からのフィードバックに基づいて暗黙の敵のプロンプトを生成し、洗練するためのポリシーエージェントを採用する。
標準および安全性に適合したT2Iモデルの実験では、AdvPIE1が暗黙の脆弱性を効果的に発見している。
論文 参考訳（メタデータ） (2026-09-05T13:45:09Z) - AI Slop and Hallucinations in Vulnerability Assessment: A Survey on Reasoning Failures and Trustworthy Mitigation [48.55515767840701]
AIスロープ(AI slop)は、アーティファクト、幻覚的脆弱性、可視だが正しくないパッチ、セマンティックに再パッケージされたバグレポートである。
本稿では,実証的証拠を調査し,統一メカニズムを特定し,信頼に値するトリアージへの道筋をたどる。
論文 参考訳（メタデータ） (2026-08-26T11:48:38Z) - SEVRA-BENCH: Social Engineering of Vulnerabilities in Review Agents [21.409263140916327]
大規模言語モデル (LLM) レビュアーはプルリクエスト (PR) においてますます使われている。
これにより、静的な脆弱性検出やコード生成のベンチマークが対処しないという疑問が持ち上がる。
自動レビュアーがそのようなプルリクエストを承認する頻度を測定するベンチマークであるSEVRA-BENCHを紹介する。
論文 参考訳（メタデータ） (2026-06-11T16:35:56Z) - Agents of Chaos [50.53354213047402]
実験室環境に展開する自律言語モデルを用いたエージェントの探索的再チームの研究を報告する。
20人のAI研究者が、良心的および敵対的な条件下でエージェントと対話した。
我々の発見は、現実的なデプロイメント設定におけるセキュリティ、プライバシ、ガバナンスに関連する脆弱性の存在を確立します。
論文 参考訳（メタデータ） (2026-02-23T16:28:48Z) - How AI Coding Agents Communicate: A Study of Pull Request Description Characteristics and Human Review Responses [6.061536429904841]
AIDevデータセットを用いて、5つのAI符号化エージェントが生成したプルリクエストを実証分析する。
AIコーディングエージェントは、レビュアーのエンゲージメント、応答時間、マージ結果の違いに関連する、異なるPR記述スタイルを示す。
論文 参考訳（メタデータ） (2026-02-19T05:06:31Z) - Who Said CVE? How Vulnerability Identifiers Are Mentioned by Humans, Bots, and Agents in Pull Requests [8.26054481096776]
この記事では、自律エージェント、ボット、ヒューマン開発者によって書かれたGitHubのプルリクエストで使用される脆弱性IDを比較します。
ボットはすべての言及の69.1%を占め、プルリクエスト記述に識別子をほとんど追加しない。
人間とエージェントは、修正、メンテナンス、議論をサポートするためにそれを使う。
論文 参考訳（メタデータ） (2026-01-27T14:13:08Z) - Security in the Age of AI Teammates: An Empirical Study of Agentic Pull Requests on GitHub [4.409447722044799]
本研究の目的は,自律型コーディングエージェントが実際にソフトウェアセキュリティにどのように貢献するかを特徴付けることである。
AIDevデータセットを用いてエージェントによるPRの大規模解析を行う。
次に、頻度、受け入れ結果を分析し、自律エージェント、プログラミングエコシステム、コード変更のタイプをレビューします。
論文 参考訳（メタデータ） (2026-01-01T21:14:11Z) - The Trojan Knowledge: Bypassing Commercial LLM Guardrails via Harmless Prompt Weaving and Adaptive Tree Search [58.8834056209347]
大規模言語モデル(LLM)は、有害な出力を誘導するために安全ガードレールをバイパスするジェイルブレイク攻撃に弱いままである。
CKA-Agent(Correlated Knowledge Attack Agent)は、ターゲットモデルの知識基盤の適応的木構造探索としてジェイルブレイクを再構成する動的フレームワークである。
論文 参考訳（メタデータ） (2025-12-01T07:05:23Z) - Malice in Agentland: Down the Rabbit Hole of Backdoors in the AI Supply Chain [82.98626829232899]
自分自身のインタラクションからのデータに対する微調整のAIエージェントは、AIサプライチェーン内の重要なセキュリティ脆弱性を導入している。
敵は容易にデータ収集パイプラインに毒を盛り、検出しにくいバックドアを埋め込むことができる。
論文 参考訳（メタデータ） (2025-10-03T12:47:21Z) - Evaluating Language Model Reasoning about Confidential Information [95.64687778185703]
言語モデルが文脈的堅牢性を示すか、文脈依存型安全仕様に準拠する能力を示すかを検討する。
我々は,ユーザ要求がいつ承認されたか,言語モデルが正しく判断できるかどうかを測定するベンチマーク(PasswordEval)を開発した。
現在のオープンソースとクローズドソースのモデルでは、一見単純な作業に苦労しています。
論文 参考訳（メタデータ） (2025-08-27T15:39:46Z) - Not what you've signed up for: Compromising Real-World LLM-Integrated
Applications with Indirect Prompt Injection [64.67495502772866]
大規模言語モデル(LLM)は、様々なアプリケーションに統合されつつある。
本稿では、プロンプトインジェクション攻撃を用いて、攻撃者が元の命令をオーバーライドし、制御を採用する方法を示す。
我々は、コンピュータセキュリティの観点から、影響や脆弱性を体系的に調査する包括的な分類法を導出する。
論文 参考訳（メタデータ） (2023-02-23T17:14:38Z) - Enriching Vulnerability Reports Through Automated and Augmented
Description Summarization [6.3455238301221675]
脆弱性の説明は、脆弱性情報をセキュリティアナリストに伝える上で重要な役割を果たす。
本稿では、第三者参照(ハイパーリンク)スクラップによる脆弱性記述を強化するパイプラインを考案する。
論文 参考訳（メタデータ） (2022-10-03T22:46:35Z)
関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。
指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。