論文の概要: Barriers to Using Static Application Security Testing (SAST) Tools: A Literature Review
- arxiv url: http://arxiv.org/abs/2609.01669v1
- Date: Tue, 01 Sep 2026 04:04:25 GMT
- ステータス: 翻訳完了
- システム内更新日: 2026-09-03 17:53:17.649157
- Title: Barriers to Using Static Application Security Testing (SAST) Tools: A Literature Review
- Title（参考訳）: 静的アプリケーションセキュリティテスト(SAST)ツールの使用障壁: 文献レビュー
- Abstract要約: 静的アプリケーションセキュリティテスト(SAST)は、セキュリティ脆弱性の識別と解決を支援することで、アプリケーションを強化する可能性がある。
それにもかかわらず、多くの開発チームはSASTツールを環境に導入していない。
- 参考スコア（独自算出の注目度）: 0.8206562651760948
- License: http://creativecommons.org/licenses/by/4.0/
- Abstract: Developers face a challenging problem with no clear solution. Modern software breaches can wreak havoc on businesses and individuals alike. With code vulnerabilities being a leading cause, securing applications must be a priority for developers. Static Application Security Testing (SAST) has the potential to harden applications by assisting in the identification and resolution of security vulnerabilities. Despite this, many development teams have not adopted SAST tools into their environment. In this paper, we survey the recent literature to uncover why some developers are apprehensive towards SAST and identify what specific problems they encounter when using it. We found a variety of usability problems developers face when using SAST. Some are inherent of the tool and ultimately require some level of developer investment while others are tool shortcomings that SAST tool creators must address. Ultimately, we argue that in order to drive widespread adoption and consistent SAST usage, developers will need to embrace that some investment is required. Simultaneously, developers will be more likely to integrate SAST tools into their workflows if the creators of SAST tools simplify many aspects related to tool usage. Surmounting the primary obstacles preventing the adoption of SAST requires full consideration of both the technical and human factors.
- Abstract（参考訳）: 開発者は明確な解決策なしで難しい問題に直面します。
現代のソフトウェア侵害は、企業や個人にも悪影響を及ぼす可能性がある。
コードの脆弱性が主要な原因であることから、アプリケーションのセキュア化は開発者にとって最優先事項である必要がある。
静的アプリケーションセキュリティテスト(SAST)は、セキュリティ脆弱性の識別と解決を支援することで、アプリケーションを強化する可能性がある。
それにもかかわらず、多くの開発チームはSASTツールを環境に導入していない。
本稿では,SASTに対して理解している開発者が存在する理由を明らかにするため,最近の文献を調査し,その使用時にどのような問題に遭遇したかを明らかにする。
私たちは、開発者がSASTを使う際に直面する様々なユーザビリティの問題を見つけました。
中にはツール固有のものもあり、最終的にはある程度の開発者投資を必要とするものもあれば、SASTツール作成者が対処しなければならないツールの欠点もある。
最終的に私たちは、広く採用され、一貫したSASTの使用を促進するために、開発者はいくつかの投資が必要であることを受け入れなければならない、と論じています。
同時に、SASTツールの作成者がツールの使用に関する多くの側面を簡素化すれば、開発者はSASTツールをワークフローに統合する可能性が高い。
SASTの導入を妨げる主要な障害を克服するには、技術的要因と人的要因の両方を十分に考慮する必要がある。
関連論文リスト
- Automating Static Code Analysis Through CI/CD Pipeline Integration [0.8206562651760948]
本稿では、開発プロセスの初期段階でセキュリティ脆弱性を特定し、修正するという、広範囲にわたる課題に対処する。
本稿では,SASTツールのアウトプットを集約し,開発者が慣れ親しんだ問題追跡ソフトウェアに統合するための新しいプロセスを提案する。
本稿では,GitLab ベースの開発環境において,SonarQube SAST ツールを用いて提案プロセスの実装に成功したことを実演する。
論文 参考訳（メタデータ） (2026-09-01T03:53:25Z) - ExploitGym: Can AI Agents Turn Security Vulnerabilities into Real Attacks? [92.21756459993695]
低レベルのプログラム推論を必要とするため、爆発は難しい作業です。
その重要性と診断価値にもかかわらず、搾取は未評価のままである。
ExploitGymは、AIエージェントのエクスプロイト能力に関する大規模で多様な、現実的なベンチマークである。
論文 参考訳（メタデータ） (2026-05-11T18:00:14Z) - Sponge Tool Attack: Stealthy Denial-of-Efficiency against Tool-Augmented Agentic Reasoning [58.432996881401415]
最近の作業では、エージェント推論を可能にするために、外部ツールで大きな言語モデル(LLM)を拡張している。
本稿では,入力プロンプトを書き換えることのみでエージェント推論を妨害するスポンジツールアタック(STA)を提案する。
STAは、意味的忠実度の高い原文からの良心的な即興的な書き直しを生成する。
論文 参考訳（メタデータ） (2026-01-24T19:36:51Z) - Explaining Software Vulnerabilities with Large Language Models [35.74179339347328]
SASTツールが検出した脆弱性の原因, 影響, 緩和戦略を説明するため, GPT-4oを利用した統合開発環境(IDE)プラグインであるSAFEを提案する。
専門的なユーザ調査の結果から,SAFEが生成した説明は,セキュリティ脆弱性の理解と対処において,初心者から中間開発者への大きな助けとなることが示唆された。
論文 参考訳（メタデータ） (2025-11-06T08:30:56Z) - What Challenges Do Developers Face When Using Verification-Aware Programming Languages? [43.72088093637808]
ソフトウェア開発では、ソフトウェア信頼性の増大はテストを伴うことが多い。
複雑でクリティカルなシステムでは、開発者はDesign by Contract(DbC)メソッドを使って、ソフトウェアコンポーネントが満たさなければならない正確な仕様を定義することができます。
VA(Verification-Aware)プログラミング言語は、DbCとコンパイル時または実行時の形式的検証をサポートし、従来のテストよりも正確性を保証する。
論文 参考訳（メタデータ） (2025-06-30T10:17:39Z) - Discovery of Timeline and Crowd Reaction of Software Vulnerability Disclosures [47.435076500269545]
Apache Log4Jはリモートコード実行攻撃に対して脆弱であることが判明した。
35,000以上のパッケージが最新バージョンでLog4Jライブラリをアップデートせざるを得なかった。
ソフトウェアベンダが脆弱性のないバージョンをリリースするたびに、ソフトウェア開発者がサードパーティのライブラリを更新するのは、事実上妥当です。
論文 参考訳（メタデータ） (2024-11-12T01:55:51Z) - EnIGMA: Interactive Tools Substantially Assist LM Agents in Finding Security Vulnerabilities [46.34031902647788]
本稿では,CTF(Capture The Flag)課題を自律的に解決するLMエージェントであるEnIGMAを紹介する。
セキュリティ脆弱性を発見して悪用するエージェントの能力を改善するために、新しいツールとインターフェースを導入します。
390 CTF課題に関する実証分析により,これらの新しいツールとインターフェースがエージェントの性能を大幅に向上することが示された。
論文 参考訳（メタデータ） (2024-09-24T15:06:01Z) - The Impact of SBOM Generators on Vulnerability Assessment in Python: A Comparison and a Novel Approach [56.4040698609393]
Software Bill of Materials (SBOM) は、ソフトウェア構成における透明性と妥当性を高めるツールとして推奨されている。
現在のSBOM生成ツールは、コンポーネントや依存関係を識別する際の不正確さに悩まされることが多い。
提案するPIP-sbomは,その欠点に対処する新しいピップインスパイアされたソリューションである。
論文 参考訳（メタデータ） (2024-09-10T10:12:37Z) - Comparison of Static Application Security Testing Tools and Large Language Models for Repo-level Vulnerability Detection [11.13802281700894]
静的アプリケーションセキュリティテスト(SAST)は通常、セキュリティ脆弱性のソースコードをスキャンするために使用される。
ディープラーニング(DL)ベースの手法は、ソフトウェア脆弱性検出の可能性を実証している。
本稿では,ソフトウェア脆弱性を検出するために,15種類のSASTツールと12種類の最先端のオープンソースLLMを比較した。
論文 参考訳（メタデータ） (2024-07-23T07:21:14Z) - Static Application Security Testing (SAST) Tools for Smart Contracts: How Far Are We? [14.974832502863526]
近年,スマートコントラクトセキュリティの重要性が高まっている。
この問題に対処するため、スマートコントラクトの脆弱性を検出するために、多数の静的アプリケーションセキュリティテスト(SAST)ツールが提案されている。
本稿では,スマートコントラクトに対する45種類の脆弱性を含む,最新のきめ細かな分類法を提案する。
論文 参考訳（メタデータ） (2024-04-28T13:40:18Z) - "False negative -- that one is going to kill you": Understanding Industry Perspectives of Static Analysis based Security Testing [15.403953373155508]
本稿では,SASTを利用する開発者が経験した仮定,期待,信念,課題について質的研究を行う。
私たちは、さまざまなソフトウェア開発の専門知識を持つ20人の実践者と、深く、半構造化されたインタビューを行います。
私たちは、SASTに関連する開発者の認識と欲求に光を当てた17ドルの重要な発見を特定します。
論文 参考訳（メタデータ） (2023-07-30T21:27:41Z)
関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。
指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。