論文の概要: Securing AI-Generated Code: A Just-in-Time Vulnerability Detection and Remediation Pipeline
- arxiv url: http://arxiv.org/abs/2608.16187v1
- Date: Mon, 17 Aug 2026 07:09:09 GMT
- ステータス: 翻訳完了
- システム内更新日: 2026-08-18 19:59:03.563995
- Title: Securing AI-Generated Code: A Just-in-Time Vulnerability Detection and Remediation Pipeline
- Title（参考訳）: AI生成コードのセキュア: ジャストインタイム脆弱性検出と修正パイプライン
- Abstract要約: 本稿では、LLMSecEvalからPythonコードを生成する自動セキュリティ評価パイプラインについて、CodeQLとBanditを使用して脆弱性のプロンプトとスキャンを行う。
また、Code Generation LLM経由で修正を生成し、CodeQLとBanditで再スキャンして結果を検証する。
修復は15-22%のケースで新たな脆弱性を導入し、P2は4つのモデルのうち3つを縮小し、ソネット5が唯一の例外となった。
- 参考スコア（独自算出の注目度）: 0.0
- License: http://creativecommons.org/licenses/by/4.0/
- Abstract: AI-assisted development tools generate vulnerable code at significant rates, yet few automated mechanisms exist to detect, enrich, fix, and verify security issues at development velocity, particularly ones that ground remediation in real-world threat context. This paper presents an automated security evaluation pipeline that generates Python code from LLMSecEval prompts, scans for vulnerabilities using CodeQL and Bandit in parallel with an independent Code Validator LLM, enriches the Code Validator findings with MITRE ATT&CK techniques, CWE Observed Examples, and Python best practice guidelines, generates fixes via the Code Generation LLM, and re-scans with CodeQL and Bandit to verify outcomes. Two pipeline configurations were evaluated: Pipeline 1 (P1), using enriched Code Validator findings only, and Pipeline 2 (P2), where it additionally receives the initial CodeQL and Bandit findings. Both configurations were run across four Claude models: Opus 4.8, Sonnet 4.6, Sonnet 5, and Haiku 4.5, producing 80 runs against 26 LLMSecEval prompts covering 9 CWE categories. P1 reduced static analyzer findings across all four models, ranging from -9% (Opus 4.8) to -54% (Sonnet 5). P2 deepened these reductions further, ranging from -29% (Opus 4.8) to -69% (Haiku 4.5), with P2 outperforming P1 for every model. Verdict consistency averaged approximately 81% modal agreement across all configurations, with P2 marginally more stable than P1. Remediation introduced new vulnerabilities in 15-22% of cases: roughly 70% involved a single new finding, and P2 reduced churn for three of four models, with Sonnet 5 as the sole exception. Notably, the best Code Generation LLM (Opus 4.8) was not the best pipeline performer, as Sonnet 4.6 produced the lowest residual findings and highest pass rate after P2 remediation, suggesting that pipeline effectiveness and first-draft security are distinct properties.
- Abstract（参考訳）: AI支援開発ツールは、脆弱なコードをかなりの速度で生成するが、開発速度でのセキュリティ問題の検出、強化、修正、検証を行う自動化メカニズムはほとんど存在しない。
本稿では,LLMSecEvalのプロンプトからPythonコードを生成する自動セキュリティ評価パイプライン,独立したコードバリケータLDMと並行してCodeQLとBanditを使用した脆弱性のスキャン,MITRE ATT&CK技術,CWE Observed Examples,PythonベストプラクティスガイドラインによるCode Validator発見の強化,Code Generation LLMによる修正生成,CodeQLとBanditによる再スキャンによる結果の検証を行う。
強化されたCode Validator結果のみを使用したパイプライン1(P1)と、最初のCodeQLとBandit結果の受信を行うパイプライン2(P2)の2つのパイプライン構成が評価された。
どちらの構成もOpus 4.8、Sonnet 4.6、Sonnet 5、Haiku 4.5の4つのクロードモデルで実行され、9つのCWEカテゴリをカバーする26のLMSecEvalプロンプトに対して80回の実行が行われた。
P1は4つのモデルにまたがる静的解析結果を、-9%(Opus 4.8)から-54%(Sonnet 5)まで減らした。
さらにP2は29% (Opus 4.8) から69% (Haiku 4.5) まで減少させ、P2は全てのモデルでP1を上回った。
検証の整合性は、P2がP1よりも極端に安定しているため、すべての構成で約81%のモーダル合意が得られた。
修復は15-22%のケースで新たな脆弱性を導入した: 約70%は1つの新しい発見を伴い、P2は4つのモデルのうち3つのモデルで混乱を減らし、Sonnet 5が唯一の例外となった。
特に、最高のコード生成 LLM (Opus 4.8) は最高のパイプラインパフォーマーではなく、Sonnet 4.6はP2修復後に最も低い残差と最高パスレートを発生させ、パイプラインの有効性と最初のドラフトセキュリティが異なる特性であることを示唆した。
関連論文リスト
- SENTINEL-RL: Offloading Topological Reasoning from LLM Agents in the Security Operations Center [0.0]
Sentinel-RLは、意味論的推論から位相論的推論を分離するエージェントSOCアーキテクチャである。
本稿では,LANL Comprehensive, Multi-Source Cyber-Security Events データセット, インディアナ大学クォーツHPCクラスタ上でシステムをインスタンス化する。
論文 参考訳（メタデータ） (2026-09-03T17:49:12Z) - AgentDV: Closed-Loop Agentic AI for Hardware Design Verification [1.5477055061671623]
AgentDVは、自動RTL検証環境生成のためのクローズドループエージェントAIフレームワークである。
単発LLMテストベンチ生成をツール地上検証パイプラインに変換する。
AgentDVは4つのDUTで100%パスレートを達成し、Claude Sonnet 4.6を使用してすべてのDUTで平均80.9%パスレートを達成している。
論文 参考訳（メタデータ） (2026-08-27T14:00:16Z) - KAT-Coder-V2.5 Technical Report [61.907486544595336]
KAT-Coder-V2.5は、実際の実行可能リポジトリ内で自律的に動作するよう訓練されたコーディング中心のエージェントモデルである。
マルチ言語リポジトリをサンドボックス環境に再構築し、フェイル・ツー・パスとパス・ツー・パスの検証を大規模に行う。
我々はさらに、ハーネスランダム化による強化学習、信頼性の強化されたサンドボックス、非対称なアクター-クリティックPPO、およびハイチ指向の報酬フレームワークをスケールする。
論文 参考訳（メタデータ） (2026-07-06T08:14:02Z) - Inductive Deductive Synthesis: Enabling AI to Generate Formally Verified Systems [100.24694338574402]
本稿では,インダクティブ・デダクティブ・シンセシス(IDS)について述べる。
IDSは約6.8時間で7/7を達成し、1仕様あたり106ドル、専門家の努力の約200倍、SOTAエージェントの約17%を達成している。
IDSはパフォーマンスフィードバックを同じループに組み込んでおり、検証されたシステムよりも最大3倍高速な実装を実現している。
論文 参考訳（メタデータ） (2026-05-22T00:05:36Z) - Distributional Energy-Based Models for Uncertainty-Aware Structured LLM Reasoning [40.342912574072024]
大規模言語モデルは、旅行計画やコードソリューションのような構造化されたアウトプットを生成する。
個々の推論ステップは正しく見えるが、アウトプット全体が予算に違反したり、テストケースに失敗したり、あるいは以前の推論に矛盾することがある。
構造化LCM出力の検証のための決定論的解析制約付き学習品質スコアラを提案する。
論文 参考訳（メタデータ） (2026-05-15T17:08:27Z) - Position: AI Security Policy Should Target Systems, Not Models [2.741152471987327]
本稿では,複数の軽量LCMエージェントが共有メモリを介して協調する,オープンソースの逆テストフレームワークを提案する。
我々の結果は、フロンティアモデルの安全性回避とソフトウェア脆弱性発見の両方が、効果的にゼロコストで達成可能であることを実証している。
論文 参考訳（メタデータ） (2026-05-10T12:27:14Z) - Many Hands Make Light Work: An LLM-based Multi-Agent System for Detecting Malicious PyPI Packages [3.7667883869699597]
PyPIのようなオープンソースリポジトリの悪意のあるコードは、ソフトウェアサプライチェーンに対する脅威が増大している。
本稿では,悪質なPyPIパッケージを検出するために協調言語モデルを用いたマルチエージェントシステムであるLAMPSを提案する。
論文 参考訳（メタデータ） (2026-01-17T19:43:22Z) - SemGuard: Real-Time Semantic Evaluator for Correcting LLM-Generated Code [46.20378145112059]
ポストホック修復パイプラインは、実行後にのみそのような障害を検出する。
本稿では,実時間で行レベルのセマンティック監視を行うセマンティック評価フレームワークSemGuardを紹介する。
論文 参考訳（メタデータ） (2025-09-29T09:21:32Z) - SOPBench: Evaluating Language Agents at Following Standard Operating Procedures and Constraints [59.645885492637845]
SOPBenchは、各サービス固有のSOPコードプログラムを実行可能な関数の有向グラフに変換する評価パイプラインである。
提案手法では,各サービス固有のSOPコードプログラムを実行可能関数の有向グラフに変換し,自然言語SOP記述に基づいてこれらの関数を呼び出しなければならない。
我々は18の先行モデルを評価し、上位モデルでさえタスクが困難であることを示す。
論文 参考訳（メタデータ） (2025-03-11T17:53:02Z) - ProofAug: Efficient Neural Theorem Proving via Fine-grained Proof Structure Analysis [50.020850767257095]
本稿では,LLMに様々な粒度で自動化手法を付加するProofAugを提案する。
本手法は,オープンソースのDeep-math-7bベースモデルとIsabelle証明アシスタントを用いて,MiniF2Fベンチマークで検証した。
また、ProofAugのLean 4バージョンを実装し、Kimina-Prover-seek-Distill-1.5Bのパス@1のパフォーマンスを44.3%から50.4%に改善します。
論文 参考訳（メタデータ） (2025-01-30T12:37:06Z) - Fine-Grained 1-Day Vulnerability Detection in Binaries via Patch Code Localization [12.73365645156957]
バイナリの1日間の脆弱性は、ソフトウェアセキュリティに対する大きな脅威になっている。
パッチの有無テストは 脆弱性を検出する効果的な方法の1つです
パッチコードとそのコンテキストから安定な値を利用するPLocatorという新しい手法を提案する。
論文 参考訳（メタデータ） (2025-01-29T04:35:37Z) - How Well Do Large Language Models Serve as End-to-End Secure Code Agents for Python? [42.119319820752324]
GPT-3.5 と GPT-4 の 4 つの LLM で生成されたコードの脆弱性を識別し,修復する能力について検討した。
4900のコードを手動または自動でレビューすることで、大きな言語モデルにはシナリオ関連セキュリティリスクの認識が欠けていることが判明した。
修復の1ラウンドの制限に対処するため,LLMにより安全なソースコード構築を促す軽量ツールを開発した。
論文 参考訳（メタデータ） (2024-08-20T02:42:29Z)
関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。
指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。