論文の概要: Security Vulnerability Patterns in AI-Generated Code: A Cross-Model Comparative Study

• arxiv url: http://arxiv.org/abs/2607.20713v1
• Date: Wed, 22 Jul 2026 20:31:11 GMT
• ステータス: 翻訳完了
• システム内更新日: 2026-07-24 18:26:25.217934
• Title: Security Vulnerability Patterns in AI-Generated Code: A Cross-Model Comparative Study
• Title（参考訳）: AI生成コードのセキュリティ脆弱性パターン: クロスモデル比較研究
• Abstract要約: リスクは特定のモデルではなく、タスクカテゴリに結びついています。 プラットフォーム間でのCVSSスコアの重み付けは10%以下であった。
• 参考スコア（独自算出の注目度）: 0.0
• License: http://arxiv.org/licenses/nonexclusive-distrib/1.0/
• Abstract: LLM-based coding tools enable non-expert users to generate routine automation scripts that may enter enterprise workflows without meaningful security review. This study examines that risk directly. Code was collected from ChatGPT, Microsoft Copilot, and Google Gemini using identical prompts across three automation domains. Claude Code performed a standardized vulnerability review. Each identified vulnerability was scored using CVSS v3.1 and mapped to the OWASP Top 10:2021 and the MITRE ATT&CK frameworks. Every script contained exploitable vulnerabilities. Nine of the 17 identified vulnerability classes appeared in code from all three models, while 14 of the 17 vulnerability classes appeared in at least two models. The weighted CVSS scores across platforms differed by less than 10%. The risk is not tied to any particular model but rather to the task category. Organizations should therefore ask not which tool to trust, but instead whether LLM-generated automation code should be deployed without review.
• Abstract（参考訳）: LLMベースのコーディングツールは、専門家でないユーザが、意味のあるセキュリティレビューなしでエンタープライズワークフローに入るような、定期的な自動化スクリプトを生成することができる。 本研究は, そのリスクを直接検討する。 ChatGPT、Microsoft Copilot、Google Geminiから3つの自動化ドメインで同じプロンプトを使用してコードが収集された。 Claude Codeは、標準化された脆弱性レビューを実行した。 各脆弱性はCVSS v3.1を使用して測定され、OWASP Top 10:2021とMITRE ATT&CKフレームワークにマッピングされた。 すべてのスクリプトには、悪用可能な脆弱性が含まれていた。 17の脆弱性クラスのうち9つは3つのモデルのコードに現れ、14の脆弱性クラスは少なくとも2つのモデルに現れた。 プラットフォーム間でのCVSSスコアの重み付けは10%以下であった。 リスクは特定のモデルではなく、タスクカテゴリに結びついています。 従って組織は、どのツールを信頼すべきかを問うのではなく、LLM生成の自動化コードがレビューなしでデプロイされるべきかどうかを問うべきだ。

関連論文リスト

• Exploring Automated Vulnerability Identification in JavaScript Code Using Large Language Models [9.103541014019232]
  JavaScriptはすべてのWebサイトの98.8%を占めている。 静的アプリケーションセキュリティ テストツールは、分離されたコードスニペットに適用した場合、多くの現実世界の脆弱性を特定するのに失敗することが多い。 本稿では,大規模言語モデル(LLM)に基づくJavaScriptプログラムの脆弱性識別に関する実証的研究について述べる。
  論文  参考訳（メタデータ） (2026-09-12T08:59:33Z)
• Evaluating and Preventing Security Smells in AI-Generated Ansible Code [0.3262230127283452]
  CISベンチマークに対して、Apache Tomcat v10とMongoDB v7のロールを生成する16のAIモデルを評価します。 セキュリティガイダンスがなければ、すべての16のAIモデルは、セキュリティの臭いを含むコードを生成し、結果として、コンプライアンスの検証に失敗し、人間の開発者が書いたコードを過小評価する脆弱なインフラストラクチャを生み出した。 我々は、ベストプラクティスとCISベンチマークをプロンプトに統合するアプローチを導入し、デプロイ後の検出よりも、合成中のセキュリティの臭い防止を可能にする。
  論文  参考訳（メタデータ） (2026-08-25T07:15:16Z)
• SkillGate: Cost Efficient Runtime Malicious Skill File Detection in Coding Agents [9.553517006800913]
  ソフトウェアエンジニアリングチームは、AIコーディングエージェントを第一級の生産性ツールとしてデプロイした。 悪意のあるスキルファイルは、エージェントの振る舞いをサイレントにプログラムしたり、認証情報を流出させたり、生成されたコードにバックドアを注入したり、エージェントアクションを攻撃者が制御するエンドポイントにリダイレクトしたりすることができる。 我々は、エージェントのインストール前にAIスキルパッケージをスクリーニングするデプロイ可能なセキュリティゲートウェイであるSkillGateを紹介する。
  論文  参考訳（メタデータ） (2026-07-28T11:50:19Z)
• SecPI: Secure Code Generation with Reasoning Models via Security Reasoning Internalization [50.71047638695205]
  RLM(Reasoning Language Model)は、プログラミングにおいてますます使われている言語モデルである。 しかし、最先端のRLMでさえ、生成されたコードに重大なセキュリティ脆弱性を頻繁に導入する。 我々は、構造化されたセキュリティ推論を内部化するためのRTMを教える微調整パイプラインであるSecPIを提案する。
  論文  参考訳（メタデータ） (2026-04-04T04:29:11Z)
• AI Security Beyond Core Domains: Resume Screening as a Case Study of Adversarial Vulnerabilities in Specialized LLM Applications [71.27518152526686]
  大きな言語モデル(LLM)はテキストの理解と生成に優れており、コードレビューやコンテンツモデレーションといった自動タスクに最適である。 LLMは履歴書やコードなどの入力データに隠された「逆命令」で操作でき、意図したタスクから逸脱する。 本稿では,特定の攻撃タイプに対して80%以上の攻撃成功率を示すとともに,この脆弱性を再開スクリーニングで評価するためのベンチマークを提案する。
  論文  参考訳（メタデータ） (2025-12-23T08:42:09Z)
• OmniSafeBench-MM: A Unified Benchmark and Toolbox for Multimodal Jailbreak Attack-Defense Evaluation [94.61617176929384]
  OmniSafeBench-MMはマルチモーダル・ジェイルブレイク攻撃防御評価のための総合ツールボックスである。 13の代表的な攻撃方法と15の防衛戦略、9つの主要なリスクドメインと50のきめ細かいカテゴリにまたがる多様なデータセットを統合している。 データ、方法論、評価をオープンソースで再現可能なプラットフォームに統合することで、OmniSafeBench-MMは将来の研究のための標準化された基盤を提供する。
  論文  参考訳（メタデータ） (2025-12-06T22:56:29Z)
• RedCodeAgent: Automatic Red-teaming Agent against Diverse Code Agents [70.24175620901538]
  コードエージェントは、強力なコード生成機能とコードインタプリタとの統合により、広く採用されている。 現在の静的安全性ベンチマークとレッドチームツールは、出現する現実世界のリスクシナリオを特定するのに不十分である。 我々はRedCodeAgentを提案する。RedCodeAgentは、多様なコードエージェントの脆弱性を体系的に発見するように設計された、最初の自動リピートエージェントである。
  論文  参考訳（メタデータ） (2025-10-02T22:59:06Z)
• SecureAgentBench: Benchmarking Secure Code Generation under Realistic Vulnerability Scenarios [17.276786247873613]
  SecureAgentBenchは、セキュアなコード生成において、コードエージェントの機能を厳格に評価するために設計された105のコーディングタスクのベンチマークである。 その結果、(i)現在のエージェントがセキュアなコードを生成するのに苦労していることが示され、最高のパフォーマンスのエージェントであるDeepSeek-V3.1がサポートしているSWE-agentも15.2%の正安のソリューションしか達成していない。
  論文  参考訳（メタデータ） (2025-09-26T09:18:57Z)
• MGC: A Compiler Framework Exploiting Compositional Blindness in Aligned LLMs for Malware Generation [22.29476520010842]
  大規模言語モデル(LLM)はソフトウェア開発を民主化し、複雑なアプリケーションをプログラミングする際の専門知識の障壁を減らした。 このアクセシビリティは、悪意のあるソフトウェア開発にまで拡張され、重大なセキュリティ上の懸念がもたらされる。 本稿では,モジュール分解とアライメント回避生成を通じて,この脆弱性を活用する新しいフレームワークであるMalware Generation Compiler(MGC)を紹介する。
  論文  参考訳（メタデータ） (2025-07-02T18:00:49Z)
• RedCode: Risky Code Execution and Generation Benchmark for Code Agents [50.81206098588923]
  RedCodeはリスクの高いコード実行と生成のためのベンチマークである。 RedCode-Execは、危険なコード実行につながる可能性のある、挑戦的なプロンプトを提供する。 RedCode-Genは160のプロンプトに関数シグネチャとドキュメントを入力として提供し、コードエージェントが命令に従うかどうかを評価する。
  論文  参考訳（メタデータ） (2024-11-12T13:30:06Z)
• LLMs as Hackers: Autonomous Linux Privilege Escalation Attacks [0.0]
  我々は,完全に自動化されたLanguage Models(LLM)駆動の,自動Linux特権エスカレーション攻撃用プロトタイプであるHackingBuddyGPTを紹介する。 GPT-4-Turboは高い有効性を示し,33～83%の脆弱性を悪用した。
  論文  参考訳（メタデータ） (2023-10-17T17:15:41Z)
• Demystifying RCE Vulnerabilities in LLM-Integrated Apps [20.01949990700702]
  LangChainのようなフレームワークはLLM統合アプリ開発を支援し、カスタムアクションのためのコード実行ユーティリティ/APIを提供する。 これらの機能は理論的にはリモートコード実行(RCE)脆弱性を導入し、プロンプトインジェクションによるリモートコード実行を可能にする。 以前の研究では、これらのフレームワークのRCE脆弱性や、アプリケーションやエクスプロイトの影響を体系的に調査することはなかった。
  論文  参考訳（メタデータ） (2023-09-06T11:39:37Z)
• CodeLMSec Benchmark: Systematically Evaluating and Finding Security Vulnerabilities in Black-Box Code Language Models [58.27254444280376]
  自動コード生成のための大規模言語モデル(LLM)は、いくつかのプログラミングタスクにおいてブレークスルーを達成した。 これらのモデルのトレーニングデータは、通常、インターネット(例えばオープンソースのリポジトリから)から収集され、障害やセキュリティ上の脆弱性を含む可能性がある。 この不衛生なトレーニングデータは、言語モデルにこれらの脆弱性を学習させ、コード生成手順中にそれを伝播させる可能性がある。
  論文  参考訳（メタデータ） (2023-02-08T11:54:07Z)

関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。

指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。