論文の概要: One Pipeline Does Not Fit All: TAILOR, a Type- and State-Aware Framework for CVE Reproduction
- arxiv url: http://arxiv.org/abs/2609.37006v1
- Date: Tue, 29 Sep 2026 08:31:13 GMT
- ステータス: 翻訳完了
- システム内更新日: 2026-09-30 21:28:47.321494
- Title: One Pipeline Does Not Fit All: TAILOR, a Type- and State-Aware Framework for CVE Reproduction
- Title（参考訳）: One Pipelineがすべてに適合しない - CVE再現のためのタイプおよびステートアウェアフレームワークTAILOR
- Abstract要約: 複雑な脆弱性再現のためのタイプおよび状態認識型マルチエージェントフレームワークTAILORを提案する。
複雑な実行要件のあるケースに重点を置いた200個のCVEのデータセットを構築した。
Web脆弱性の59.24%、従来の脆弱性の44.19%をうまく再現しました。
- 参考スコア（独自算出の注目度）: 15.155156089170603
- License: http://arxiv.org/licenses/nonexclusive-distrib/1.0/
- Abstract: Growing vulnerability disclosure and widespread software reuse increase security teams' need for reproducible evidence to diagnose vulnerabilities, validate patches, and build regression tests. Producing such evidence at scale requires automated end-to-end CVE reproduction. Existing methods typically process different CVEs through a uniform pipeline, but differences in runtime form, trigger interfaces, and prerequisite state impose different execution requirements on individual stages, making fixed workflows difficult to adapt to diverse reproduction needs. To address this problem, we present TAILOR, a type- and state-aware multi-agent framework specialized for complex vulnerability reproduction. TAILOR converts static vulnerability information into auditable reproduction evidence and packages reconstructed environments and trigger evidence into reproduction artifacts. Its first-level type-aware mechanism adaptively matches each vulnerability to an execution path. Within the Web path, its second-level state-aware mechanism constructs the required prerequisite state before exploitation, decouples prerequisite-state construction from core vulnerability triggering, and shares execution constraints across exploitation and verification. We construct a dataset of 200 CVEs with an emphasis on cases with complex execution requirements. TAILOR successfully reproduces 59.24\% of Web vulnerabilities and 44.19\% of traditional vulnerabilities. Further ablation experiments show that the two control levels respectively mitigate execution-path mismatch and missing Web prerequisite state. Overall, TAILOR broadens the coverage of automated CVE reproduction and provides auditable evidence for vulnerability diagnosis and defense.
- Abstract（参考訳）: 脆弱性の開示と広範なソフトウェア再利用の増加により、脆弱性の診断、パッチの検証、回帰テストの構築のための再現可能なエビデンスの必要性が高まっている。
このような証拠を大規模に生成するには、自動化されたエンドツーエンドのCVE再生が必要である。
既存のメソッドは通常、均一なパイプラインを通じて異なるCVEを処理するが、実行時フォーム、トリガーインターフェース、必要な状態の違いによって個々のステージで異なる実行要件が課されるため、固定されたワークフローがさまざまな再生ニーズに適応することが難しくなる。
この問題に対処するために,複雑な脆弱性の再現に特化したタイプおよび状態認識型マルチエージェントフレームワークTAILORを提案する。
TAILORは、静的な脆弱性情報を監査可能な再生証拠に変換し、再構成された環境をパッケージ化し、再生アーティファクトにエビデンスをトリガーする。
その第1レベルの型認識メカニズムは、各脆弱性を実行パスに適応的にマッチさせる。
Webパス内では、その第2レベルの状態認識メカニズムが、エクスプロイトの前に必要な前提条件状態を構築し、コア脆弱性トリガーから必要条件構築を分離し、エクスプロイトと検証をまたいだ実行制約を共有する。
複雑な実行要件のあるケースに重点を置いた200個のCVEのデータセットを構築した。
TAILOR は 59.24 % の Web 脆弱性と 44.19 % の従来の脆弱性を再現した。
さらにアブレーション実験では,2つの制御レベルがそれぞれ,実行パスミスマッチとWebの必要条件の欠如を軽減している。
TAILORは全体として、自動CVE再生のカバレッジを広げ、脆弱性の診断と防御に関する監査可能な証拠を提供する。
関連論文リスト
- Vulnerability Localization Benchmark: Measuring Agentic Security Analysis at Repository Scale [54.83971397981572]
言語モデルエージェントは、ソフトウェアリポジトリ全体を通してますます運用される。
サイバーセキュリティ評価は、関連するコードを見つけることよりも、脆弱性を検出、再生、または修復できるかどうかを測定する。
脆弱性のローカライゼーションについて検討する。弱点クラスと不慣れなリポジトリが与えられた場合、その弱点に関連する実装ファイルを特定する。
論文 参考訳（メタデータ） (2026-09-14T17:44:51Z) - Reality Is the Final Verifier: On Two Key Gaps in Agentic Software Engineering [78.51705689800838]
本稿では, 要求, モデル, 評価器の見直しに, 展開証拠を用いた保証・修正ループを提案する。
そこで我々は,人的判断,エージェント能力,計算能力に対する資源配分問題としてエージェント開発を保証した。
論文 参考訳（メタデータ） (2026-09-10T17:58:48Z) - CyberFactory: Scaling Cyber Security Capabilities with Instances from the Wild [49.44069582581181]
CyberFactoryは、CVEを含む公開脆弱性アーティファクトをワイルドから実行可能で検証可能なタスクインスタンスに変換する。
再利用可能な脆弱性分析スキルを使用して、ソースインスペクション、ドメイン前の問題解決、エビデンスベースのバリデーションを通じて教師を指導する。
CyberGymでは1時間の予算で52.4%のPass@1に達し、Qwen3.5ベースモデルを+22.8ポイント改善した。
論文 参考訳（メタデータ） (2026-08-24T12:30:10Z) - Formal Verification of Agentic Systems over Operational Data [59.98246281888422]
大規模言語モデル(LLM)によって駆動されるエージェントシステムは、永続的な運用データを扱う現実世界にますます展開されている。
既存のアプローチはそのようなシステムレベルの保証を提供していません。
本稿では, 1 つの LLM とツールオーケストレーションハーネスからなるエージェントシステムのリレーショナル操作データに対する検証について述べる。
論文 参考訳（メタデータ） (2026-08-04T13:01:30Z) - Bulkhead: Automated Semantic Detection and Remediation of Container Escape Vulnerabilities [20.880313075865434]
クロスバウンダリパスの誤分解は、コンテナエコシステムにおけるファイルシステムの分離を弱める。
PaTraの脆弱性は、セキュアでないホスト-コンテナ間相互作用に由来する。
Bulkheadは,大規模言語モデルと意味的脆弱性発見と修復のための形式的手法を統合した,自動化されたフレームワークである。
論文 参考訳（メタデータ） (2026-07-14T12:52:56Z) - RAVEN: Agentic RAG for Automated Vulnerability Repair [48.8954115363348]
自動脆弱性修復のためのスケーラブルで効率的で自律的なフレームワークであるRAVENを提案する。
RAVENは、エージェント検索拡張生成(RAG)パイプラインと、制御された反復的な修復を統一されたフレームワークに統合する。
RAVENは全体の修復成功率83.13%を達成し、既存のすべての修復フレームワークを上回っている。
論文 参考訳（メタデータ） (2026-06-21T19:18:06Z) - GCVE: A Decentralized Model for Vulnerability Identification, Publication, and Operational Enrichment [51.77969450792284]
Global CVEイニシアチブ(Global CVE Initiative, G)は、脆弱性の識別、パブリッシュ、エンリッチメントのための分散化、オープン化、識別子モデルを提案する。
本稿では,自律型G番号認証,ライトウェイトアロケーションルール,分散パブリッシュ,オープン・ベスト・カレントプラクティス,実用的なリファレンス実装を組み合わせた社会技術的取り組みとしてGを提案する。
論文 参考訳（メタデータ） (2026-05-30T19:03:39Z) - NICE: A Framework for Declarative and Machine-Checkable Vulnerability Reproduction [7.136050731286663]
NIx CvE再現フレームワークであるNICEは、宣言的なレシピを使用して脆弱な環境を構築し、自動的に検証する。
我々は、複数のCWEカテゴリ、攻撃ベクトル、ターゲットタイプにまたがる19の現実世界CVEについて、NICEを評価した。
NICEはセキュリティ教育やトレーニング(サイバーレンジの作成など)にも適用でき、脆弱性報告にも適用できる。
論文 参考訳（メタデータ） (2026-05-30T08:59:40Z) - Automated Vulnerability Validation and Verification: A Large Language Model Approach [7.482522010482827]
本稿では、生成AI、特に大規模言語モデル(LLM)を利用したエンドツーエンド多段階パイプラインを提案する。
本手法は,国立脆弱性データベース(National Vulnerability Database)のCVE開示情報から抽出する。
これは、Retrieval-Augmented Generation (RAG)を使用して、外部の公開知識(例えば、脅威アドバイザリ、コードスニペット)で拡張する。
パイプラインは生成されたアーティファクトを反復的に洗練し、テストケースでのアタック成功を検証し、複雑なマルチコンテナセットアップをサポートする。
論文 参考訳（メタデータ） (2025-09-28T19:16:12Z) - Patch2QL: Discover Cognate Defects in Open Source Software Supply Chain
With Auto-generated Static Analysis Rules [1.9591497166224197]
本稿では,SASTルールの自動生成によるOSSのコグネート欠陥の検出手法を提案する。
具体的には、プリパッチバージョンとポストパッチバージョンから重要な構文と意味情報を抽出する。
我々はPatch2QLというプロトタイプツールを実装し、それをC/C++の基本OSSに適用した。
論文 参考訳（メタデータ） (2024-01-23T02:23:11Z)
関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。
指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。