論文の概要: GraftyVul: Synthesising Insecure Programs Through Real-World Vulnerability Grafting

• arxiv url: http://arxiv.org/abs/2608.27928v1
• Date: Fri, 28 Aug 2026 05:10:49 GMT
• ステータス: 翻訳完了
• システム内更新日: 2026-08-31 17:16:04.209979
• Title: GraftyVul: Synthesising Insecure Programs Through Real-World Vulnerability Grafting
• Title（参考訳）: GraftyVul: リアルタイム脆弱性グラフトによるセキュアでないプログラムの合成
• Abstract要約: GraftyVulは、実際の脆弱性をオープンソースプロジェクトに移植することで、脆弱性のあるプログラムを構築する。 5つのプログラミング言語にまたがる212の検証済みかつ悪用可能な脆弱性プログラムを生成します。
• 参考スコア（独自算出の注目度）: 8.596028166822489
• License: http://arxiv.org/licenses/nonexclusive-distrib/1.0/
• Abstract: Vulnerability datasets underpin a wide range of security research, including vulnerability detection, automated remediation, and secure code generation. However, existing datasets sacrifice at least one of three desirable properties: diversity (of language or vulnerability type), reproducibility/executability, or realism. We therefore present GraftyVul, a system that constructs vulnerable programs by grafting real-world vulnerabilities into open-source projects. This grounds the dataset in vulnerabilities observed in real-world contexts while harnessing known good build and test environments, enabling exploit-verification scripts to guarantee that an introduced vulnerability successfully alters a program's behaviour. Using GraftyVul, we generate 212 verified and exploitable vulnerable programs spanning five programming languages (Python, TypeScript, Java, Go, and C#) across 23 CWE categories. To evaluate fidelity, we introduce a language- and context-agnostic semantic embedding that compares vulnerabilities by sink, mechanism and host-feature rather than surface code. This approach outperforms standard code embeddings on cross-language clone and CWE classification. These embeddings demonstrate that GraftyVul samples retain a strong semantic signature to their source vulnerability. We additionally compare GraftyVul against 13 widely used datasets, where it attains competitive diversity while being the only reproducible-exploit dataset with broad language and CWE coverage. Finally, we illustrate GraftyVul's practical utility through an industrial case study evaluating a production vulnerability remediation system.
• Abstract（参考訳）: 脆弱性検出、自動修復、セキュアなコード生成など、脆弱性データセットは幅広いセキュリティ研究の基盤となっている。 しかし、既存のデータセットは、多様性(言語や脆弱性型の)、再現性/実行性、リアリズムの3つの望ましい特性の少なくとも1つを犠牲にしている。 そこで我々は,現実の脆弱性をオープンソースプロジェクトに移植することで,脆弱なプログラムを構築するシステムGraftyVulを提案する。 これにより、既知のビルドとテスト環境を活用しながら、現実世界のコンテキストで観察される脆弱性のデータセットを根拠にし、エクスプロイト検証スクリプトによって、導入された脆弱性がプログラムの動作をうまく変更できることを保証する。 GraftyVulを使って、23のCWEカテゴリにまたがる5つのプログラミング言語(Python、TypeScript、Java、Go、C#)にまたがる、212の検証済みで悪用可能な脆弱性プログラムを生成します。 本研究では,表面コードではなく,シンク,機構,ホスト機能による脆弱性を比較する言語および文脈に依存しないセマンティック埋め込みを提案する。 このアプローチは、クロス言語クローンとCWE分類の標準コード埋め込みよりも優れている。 これらの埋め込みは、GraftyVulサンプルがソース脆弱性に対して強力なセマンティックシグネチャを保持することを示している。 また、GraftyVulを13の広く使用されているデータセットと比較します。 最後に、GraftyVulの実用性について、生産上の脆弱性修復システムを評価する産業ケーススタディを通して説明する。

関連論文リスト

• Vulnerability Localization Benchmark: Measuring Agentic Security Analysis at Repository Scale [54.83971397981572]
  言語モデルエージェントは、ソフトウェアリポジトリ全体を通してますます運用される。 サイバーセキュリティ評価は、関連するコードを見つけることよりも、脆弱性を検出、再生、または修復できるかどうかを測定する。 脆弱性のローカライゼーションについて検討する。弱点クラスと不慣れなリポジトリが与えられた場合、その弱点に関連する実装ファイルを特定する。
  論文  参考訳（メタデータ） (2026-09-14T17:44:51Z)
• SemVul: Semantic-Enhanced Graph Neural Networks for Code Property Graph-based Vulnerability Detection [0.7009487789080343]
  SemVulは脆弱性検出パイプラインで、脆弱性のあるコードパターンを学習する際の、より良い一般化と高い精度を示す。 本稿では,コードプロパティグラフに基づく脆弱性検出手法とセマンティックレベル向上手法を提案する。 以上の結果から,SemVulは既存の手法よりも優れ,より優れた一般化を提供することが示された。
  論文  参考訳（メタデータ） (2026-09-05T11:38:40Z)
• ExploitGym: Can AI Agents Turn Security Vulnerabilities into Real Attacks? [92.21756459993695]
  低レベルのプログラム推論を必要とするため、爆発は難しい作業です。 その重要性と診断価値にもかかわらず、搾取は未評価のままである。 ExploitGymは、AIエージェントのエクスプロイト能力に関する大規模で多様な、現実的なベンチマークである。
  論文  参考訳（メタデータ） (2026-05-11T18:00:14Z)
• From Theory to Practice: Code Generation Using LLMs for CAPEC and CWE Frameworks [2.7662026539843123]
  本稿では、CAPECおよびCWE記述に対応する脆弱性のあるコードスニペットの例を示す新しいデータセットを提案する。 このデータセットは、自動脆弱性検出と修復に焦点を当てた機械学習モデルをトレーニングするための貴重なリソースである。 最後のデータセットは、Java、Python、JavaScriptの3つのプログラミング言語で615のCAPECコードスニペットで構成されている。
  論文  参考訳（メタデータ） (2026-04-02T21:56:41Z)
• Automated Vulnerability Validation and Verification: A Large Language Model Approach [7.482522010482827]
  本稿では、生成AI、特に大規模言語モデル(LLM)を利用したエンドツーエンド多段階パイプラインを提案する。 本手法は,国立脆弱性データベース(National Vulnerability Database)のCVE開示情報から抽出する。 これは、Retrieval-Augmented Generation (RAG)を使用して、外部の公開知識(例えば、脅威アドバイザリ、コードスニペット)で拡張する。 パイプラインは生成されたアーティファクトを反復的に洗練し、テストケースでのアタック成功を検証し、複雑なマルチコンテナセットアップをサポートする。
  論文  参考訳（メタデータ） (2025-09-28T19:16:12Z)
• Weakly Supervised Vulnerability Localization via Multiple Instance Learning [46.980136742826836]
  WeAkly によるマルチプルインスタンス学習による脆弱性ローカライゼーションのための WAVES という新しい手法を提案する。 WAVESは、ある関数が脆弱かどうか(すなわち脆弱性検出)を判定し、脆弱なステートメントをピンポイントする機能を持っている。 提案手法は,文レベルの脆弱性ローカライゼーションにおいて,脆弱性検出と最先端のパフォーマンスにおいて同等のパフォーマンスを実現する。
  論文  参考訳（メタデータ） (2025-09-14T15:11:39Z)
• Line-level Semantic Structure Learning for Code Vulnerability Detection [44.29771620061153]
  ラインレベルのセマンティックラーニングを通じて,コード構造認識ネットワークを導入する。 コード前処理、グローバルセマンティック認識、ラインセマンティック認識、ラインセマンティック構造認識の4つのコンポーネントから構成される。 CSLSモデルは、コード脆弱性検出における最先端のベースラインを上回り、Devignデータセットで70.57%、Revealデータセットで49.59%のF1スコアを達成している。
  論文  参考訳（メタデータ） (2024-07-26T17:15:58Z)
• Enhancing Code Vulnerability Detection via Vulnerability-Preserving Data Augmentation [29.72520866016839]
  ソースコードの脆弱性検出は、潜在的な攻撃からソフトウェアシステムを保護するための固有の脆弱性を特定することを目的としている。 多くの先行研究は、様々な脆弱性の特徴を見落とし、問題をバイナリ(0-1)分類タスクに単純化した。 FGVulDetは、さまざまな脆弱性タイプの特徴を識別するために複数の分類器を使用し、その出力を組み合わせて特定の脆弱性タイプを特定する。 FGVulDetはGitHubの大規模なデータセットでトレーニングされており、5種類の脆弱性を含んでいる。
  論文  参考訳（メタデータ） (2024-04-15T09:10:52Z)
• SliceLocator: Locating Vulnerable Statements with Graph-based Detectors [33.395068754566935]
  SliceLocatorは、すべての潜在的な脆弱性トリガリングステートメントから、最も重み付けされたフローパスを選択することで、最も関連性の高いテントフローを特定する。 SliceLocatorは、最先端の4つのGNNベースの脆弱性検知器で一貫して動作することを示す。
  論文  参考訳（メタデータ） (2024-01-05T10:15:04Z)
• CodeLMSec Benchmark: Systematically Evaluating and Finding Security Vulnerabilities in Black-Box Code Language Models [58.27254444280376]
  自動コード生成のための大規模言語モデル(LLM)は、いくつかのプログラミングタスクにおいてブレークスルーを達成した。 これらのモデルのトレーニングデータは、通常、インターネット(例えばオープンソースのリポジトリから)から収集され、障害やセキュリティ上の脆弱性を含む可能性がある。 この不衛生なトレーニングデータは、言語モデルにこれらの脆弱性を学習させ、コード生成手順中にそれを伝播させる可能性がある。
  論文  参考訳（メタデータ） (2023-02-08T11:54:07Z)
• Statement-Level Vulnerability Detection: Learning Vulnerability Patterns Through Information Theory and Contrastive Learning [31.15123852246431]
  本稿では,特定の関数の脆弱性関連コード文を特定するために,エンドツーエンドのディープラーニングに基づく新しいアプローチを提案する。 実世界の脆弱なコードで観測される構造にインスパイアされ、私たちはまず、潜伏変数の集合を学習するために相互情報を活用する。 そこで我々は,表現学習をさらに改善するために,新しいクラスタ型空間コントラスト学習を提案する。
  論文  参考訳（メタデータ） (2022-09-20T00:46:20Z)
• VELVET: a noVel Ensemble Learning approach to automatically locate VulnErable sTatements [62.93814803258067]
  本稿では,ソースコード中の脆弱な文を見つけるための新しいアンサンブル学習手法であるVELVETを提案する。 我々のモデルは、グラフベースとシーケンスベースニューラルネットワークを組み合わせて、プログラムグラフの局所的およびグローバル的コンテキストを捕捉する。 VELVETは、合成データと実世界のデータに対して、それぞれ99.6%と43.6%の精度を達成している。
  論文  参考訳（メタデータ） (2021-12-20T22:45:27Z)
• Software Vulnerability Detection via Deep Learning over Disaggregated Code Graph Representation [57.92972327649165]
  この研究は、コードコーパスから安全でないパターンを自動的に学習するためのディープラーニングアプローチを探求する。 コードには解析を伴うグラフ構造が自然に認められるため,プログラムの意味的文脈と構造的規則性の両方を利用する新しいグラフニューラルネットワーク(GNN)を開発する。
  論文  参考訳（メタデータ） (2021-09-07T21:24:36Z)
• Autosploit: A Fully Automated Framework for Evaluating the Exploitability of Security Vulnerabilities [47.748732208602355]
  Autosploitは脆弱性の悪用性を評価するためのフレームワークだ。 環境の異なる設定でエクスプロイトを自動的にテストする。 ノイズレス環境とノイズの多い環境の両方で脆弱性を悪用する能力に影響を与えるシステムの特性を識別することができる。
  論文  参考訳（メタデータ） (2020-06-30T18:49:18Z)

関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。

指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。