論文の概要: From Backlog Items to Security Guidance: Towards Continuous Security Compliance
- arxiv url: http://arxiv.org/abs/2607.27374v1
- Date: Wed, 29 Jul 2026 18:31:01 GMT
- ステータス: 翻訳完了
- システム内更新日: 2026-07-31 21:37:00.306331
- Title: From Backlog Items to Security Guidance: Towards Continuous Security Compliance
- Title（参考訳）: バックログ項目からセキュリティガイダンスへ - 継続的セキュリティコンプライアンスを目指して
- Abstract要約: 規制されたドメインにおける継続的ソフトウェアエンジニアリングは、開発ライフサイクルを通してセキュリティに対処する必要がある。
エンジニアは代わりに、単純で自由な記述からバックログアイテムのセキュリティ関連性を推論する必要があります。
セキュリティ関連バックログ項目を検出し,関連するセキュリティ要件にリンクするNLPベースのバックログエンリッチメントシステムを提案する。
- 参考スコア（独自算出の注目度）: 1.6950215926321557
- License: http://arxiv.org/licenses/nonexclusive-distrib/1.0/
- Abstract: Continuous software engineering in regulated domains requires engineering teams to address security throughout the development lifecycle. Yet making security requirements explicit in backlog items is still problematic. Engineers must instead infer security relevance of backlog items from brief, free-form descriptions and often lack timely guidance on applicable requirements. We present an NLP-based backlog enrichment system that detects security-relevant backlog items and links them to relevant security requirements. The approach combines a security-relevance classifier with a retrieval-augmented generation (RAG) pipeline over security requirements documents. The approach was developed and evaluated in the context of a large enterprise in highly regulated domains. We present three contributions. First, we release a dataset of 288 backlog items labeled for security relevance by nine security practitioners, with substantial agreement (Fleiss' $κ=0.787$). Second, a recall-oriented classifier achieving $F2=0.774$ in-distribution and mean zero-shot G-measure $\approx 0.65$ across five established benchmarks, matching or outperforming most published classical-ML and open-source GPT baselines. Third, we preliminarily evaluated a four-stage security requirements document-grounded RAG pipeline with two practitioners on industrial backlogs using company-internal security policies and CIS Benchmarks. Of the retrieved 24 clauses, 12 were rated at least 4/5 for relevance. Our findings provide first indicators that NLP-based product backlog enrichment can support engineers in identifying security requirements early in the development process. With this work we aim to facilitate continuous security compliance through proactive introduction of security requirements in continuous software engineering.
- Abstract（参考訳）: 規制されたドメインにおける継続的ソフトウェアエンジニアリングは、開発チームが開発ライフサイクル全体を通してセキュリティに対処する必要がある。
しかし、バックログ項目でセキュリティ要件を明確にすることは依然として問題である。
エンジニアは代わりに、簡潔で自由な記述からバックログ項目のセキュリティ関連性を推論し、しばしば適用可能な要件に関するタイムリーなガイダンスを欠く必要があります。
セキュリティ関連バックログ項目を検出し,関連するセキュリティ要件にリンクするNLPベースのバックログエンリッチメントシステムを提案する。
このアプローチでは、セキュリティ関連分類器と、セキュリティ要件文書上の検索拡張世代(RAG)パイプラインを組み合わせる。
この手法は、高度に規制された領域における大企業の文脈で開発され、評価された。
コントリビューションは3つです。
まず、9人のセキュリティ実践者によってセキュリティ関連とラベル付けされた288のバックログ項目のデータセットをリリースする(Fleissの$κ=0.787$)。
第二に、リコール指向の分類器が5つの確立されたベンチマークで$F2=0.774$の分配と平均ゼロショットのG値の$\approx 0.65$を達成し、最も発行されている古典的MLとオープンソースのGPTベースラインをマッチングまたは上回る。
第3に,企業内部のセキュリティポリシとCISベンチマークを用いて,産業バックログの実践者2名を対象に,4段階のセキュリティ要件を文書化したRAGパイプラインを予備評価した。
回収された24節のうち12節は、少なくとも4/5は関連性について評価された。
この結果から,NLPをベースとしたプロダクトバックログの充実が,開発プロセスの初期段階におけるセキュリティ要件の特定において,技術者を支援できることが示唆された。
この作業は,継続的ソフトウェアエンジニアリングにおけるセキュリティ要件の積極的な導入を通じて,継続的セキュリティコンプライアンスを促進することを目的としています。
関連論文リスト
- A New Framework for Cybersecurity Refusals in AI Agents [52.94784168139071]
攻撃的セキュリティの文脈において、拒絶境界を確立するための最初の枠組みを提示する。
本研究では,現在のLLMエージェントがWebベースの攻撃的セキュリティシナリオにおいて,適切な拒絶境界にどのように準拠しているかを評価するために,このフレームワークを適用した。
論文 参考訳（メタデータ） (2026-05-31T15:39:39Z) - Specification-Driven Development Benchmark: Security Knowledge Transition [0.0]
本稿では,AIを活用した仕様駆動開発のためのセキュリティ知識運用手法を提案する。
多層仕様セキュリティモデル(Multilayer Specification Security Model)は、システムエンティティ間のトレーサブルな関係を通じてセキュリティ知識を表現する。
セキュリティ知識遷移法は、ビジネスおよび技術仕様を検証済みのセキュリティ強化世代契約に変換する。
論文 参考訳（メタデータ） (2026-05-29T12:36:48Z) - SecureForge: Finding and Preventing Vulnerabilities in LLM-Generated Code via Prompt Optimization [61.91729298584227]
SecureForgeは、フロンティアモデルのセキュリティリスクを監査し、監査インフォームされたセキュアなシステムプロンプトを生成する自動化パイプラインである。
SecureForgeは、まず静的に検出可能な脆弱性を生成する良性プロンプトを特定し、その後、さまざまなシナリオの大規模な合成プロンプトコーパスに増幅する。
フロンティアモデルでは、SecureForgeは、ユニットテストの成功と出力セキュリティの両方において統計的に有意な改善をもたらし、出力脆弱性は最大48%削減された。
論文 参考訳（メタデータ） (2026-05-08T18:40:47Z) - SecPI: Secure Code Generation with Reasoning Models via Security Reasoning Internalization [50.71047638695205]
RLM(Reasoning Language Model)は、プログラミングにおいてますます使われている言語モデルである。
しかし、最先端のRLMでさえ、生成されたコードに重大なセキュリティ脆弱性を頻繁に導入する。
我々は、構造化されたセキュリティ推論を内部化するためのRTMを教える微調整パイプラインであるSecPIを提案する。
論文 参考訳（メタデータ） (2026-04-04T04:29:11Z) - RealSec-bench: A Benchmark for Evaluating Secure Code Generation in Real-World Repositories [58.32028251925354]
LLM(Large Language Models)は、コード生成において顕著な能力を示しているが、セキュアなコードを生成する能力は依然として重要で、未調査の領域である。
我々はRealSec-benchを紹介します。RealSec-benchは、現実世界の高リスクなJavaリポジトリから慎重に構築されたセキュアなコード生成のための新しいベンチマークです。
論文 参考訳（メタデータ） (2026-01-30T08:29:01Z) - Frontier AI Auditing: Toward Rigorous Third-Party Assessment of Safety and Security Practices at Leading AI Companies [57.521647436515785]
私たちはフロンティアAIの監査を、フロンティアAI開発者の安全とセキュリティに関する主張の厳格な第三者による検証として定義しています。
本稿では,AI保証レベル(AAL-1からAAL-4)について紹介する。
論文 参考訳（メタデータ） (2026-01-16T18:44:09Z) - The "4W+1H" of Software Supply Chain Security Checklist for Critical Infrastructure [10.196356816275996]
ソフトウェアサプライチェーン攻撃の頻度と高度化は、重要なインフラセクターに深刻なリスクをもたらす。
意識の高まりにもかかわらず、既存のセキュリティプラクティスは断片化され、不十分である。
CIドメインに明示的に適合するフレームワークはほとんどない。
論文 参考訳（メタデータ） (2025-10-30T06:32:11Z) - GSPR: Aligning LLM Safeguards as Generalizable Safety Policy Reasoners [60.49708196646694]
大規模言語モデル(LLM)は、様々な領域にわたる多くのアプリケーションに統合されつつある。
本稿では,安全でない入力プロンプトとLLMの出力を不正に検出する汎用安全推論器GSPRを提案する。
我々のGSPRは、安全とカテゴリー予測の両方のタスクにおいて、既存の安全ガードレールの推論能力を大幅に改善する。
論文 参考訳（メタデータ） (2025-09-29T08:07:45Z) - A.S.E: A Repository-Level Benchmark for Evaluating Security in AI-Generated Code [49.009041488527544]
A.S.Eは、AI生成コードのセキュリティを評価するためのリポジトリレベルの評価ベンチマークである。
現在の大規模言語モデル(LLM)は、セキュアなコーディングに苦戦している。
大きな推論予算は、必ずしもより良いコード生成につながるとは限らない。
論文 参考訳（メタデータ） (2025-08-25T15:11:11Z) - SecFSM: Knowledge Graph-Guided Verilog Code Generation for Secure Finite State Machines in Systems-on-Chip [7.564898429501228]
SecFSMは、セキュリティ指向の知識グラフを利用して、よりセキュアなVerilogコードを生成するためにLLMをガイドする新しい方法である。
脆弱性を特定するためのユーザの要件を分析し、要件の脆弱性のリストを取得します。次に、脆弱性リストに基づいてFSKGから知識を取得します。最後に、Verilogコード生成のセキュリティ知識に基づいてセキュリティプロンプトを構築します。
論文 参考訳（メタデータ） (2025-08-18T13:18:53Z) - Software Security Mapping Framework: Operationalization of Security Requirements [12.04694982718246]
Software Security Mapping Frameworkは階層レベルのセキュリティ要件を運用するために設計された構造化ソリューションである。
このフレームワークは、131の洗練されたセキュリティ要件を、ソフトウェア開発ライフサイクルにまたがる400以上の実行可能な運用ステップに体系的にマッピングする。
Secure Software Environment、Secure Software Development、Software Traceability、Vulnerability Managementの4つのコアセキュリティ目標に基づいています。
論文 参考訳（メタデータ） (2025-05-22T06:34:48Z) - Incorporating Verification Standards for Security Requirements Generation from Functional Specifications [12.428384271131407]
F2SRD(Function to Security Requirements Derivation)は、機能仕様からセキュリティ要件(SR)を積極的に引き出す自動アプローチである。
まず、FRとVRペアのカスタムデータベースでトレーニングされたVRレトリバーを開発し、ASVSから適用可能なVRを積極的に選択できるようにします。
第二に、これらのVRは、SRを生成する際にGPT4を誘導する構造化プロンプトを構築するために使用される。
論文 参考訳（メタデータ） (2025-05-17T05:47:46Z)
関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。
指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。