論文の概要: COMPASS: Predicting the Relationship of Multiple Patches for Vulnerabilities with LLMs

• arxiv url: http://arxiv.org/abs/2609.39783v1
• Date: Wed, 30 Sep 2026 14:05:20 GMT
• ステータス: 翻訳完了
• システム内更新日: 2026-10-01 18:57:27.870497
• Title: COMPASS: Predicting the Relationship of Multiple Patches for Vulnerabilities with LLMs
• Title（参考訳）: CompASS: 脆弱性に対する複数パッチとLLMの関係予測
• Abstract要約: 下流のメンテナは、既知のリスクを取り除くために、手動でパッチを適用する必要があります。 単一の脆弱性はしばしば複数のパッチに対応しており、ダウンストリームのパッチ導入を非常に複雑にしている。 大規模言語モデルと複数の脆弱性パッチの関係を予測する自動アプローチを提案する。
• 参考スコア（独自算出の注目度）: 37.74291589849797
• License: http://arxiv.org/licenses/nonexclusive-distrib/1.0/
• Abstract: Modern software heavily relies on code reuse, so upstream vulnerability fixes do not automatically propagate to downstream codebases. Downstream maintainers must manually adopt patches to eliminate known risks. In practice, a single vulnerability often corresponds to multiple patches, which greatly complicates downstream patch adoption because different patch relationships imply different adoption strategies. To address this challenge, we first manually inspect large-scale multi-patch vulnerabilities (about 1K) in the real world and interview experienced developers, summarizing six typical types of patch relationships, i.e., Merge, Mirror, Better Solution, Fixing-of-Fixing, Collaboration, and Separation. Based on these observations, we propose COMPASS, an automated approach that predicts the relationships of multiple vulnerability patches with large language models. Given a CVE as input, COMPASS follows a four-phase pipeline that (i) identifies the patch group and pre-scans explicit relationships, (ii) performs individual patch analysis, (iii) infers relationship instances via a hierarchy-guided prompt, and (iv) validates completeness and consistency of the inferred results. As output, COMPASS reports the predicted relationships within the patch group and visualizes them as a relationship graph. We evaluate COMPASS on a benchmark of 300 multi-patch CVEs and compare it against mainstream learning-based and LLM baselines. Results show that our method achieves strong and consistent prediction effectiveness and outperforms SOTA by 85.04% on average. We publicly release an online querying website to support community reuse of patch relationships knowledge: https://patch-relation.com.
• Abstract（参考訳）: 現代のソフトウェアはコードの再利用に大きく依存しているため、上流の脆弱性修正は自動的に下流のコードベースに伝播しない。 下流のメンテナは、既知のリスクを取り除くために、手動でパッチを適用する必要があります。 実際には、単一の脆弱性は複数のパッチに対応しており、異なるパッチ関係は異なる採用戦略を意味するため、ダウンストリームのパッチ導入を非常に複雑にしている。 この課題に対処するために、私たちはまず、実世界で大規模なマルチパッチ脆弱性(約1K)を手動で調査し、経験豊富な開発者へのインタビューを行い、6つの典型的なタイプのパッチ関係、すなわち、マージ、ミラー、より良いソリューション、フィクスの修正、コラボレーション、分離をまとめました。 これらの観測に基づいて,大規模言語モデルと複数の脆弱性パッチの関係を予測する自動アプローチであるCompASSを提案する。 入力としてCVEが与えられた後、CompASSは4相パイプラインに従う。 i)パッチ群を特定し、明示的な関係を前スキャンする。 (ii)個々のパッチ分析を行う。 三 階層誘導プロンプトを介して関係事例を推測し、 (iv)推測結果の完全性と整合性を検証する。 出力として、CompASSはパッチグループ内の予測された関係を報告し、それらを関係グラフとして視覚化する。 我々は、300個のマルチパッチCVEのベンチマークでCompASSを評価し、それを主流の学習ベースとLLMベースラインと比較した。 その結果,提案手法は強い一貫した予測効率を実現し,平均85.04%のSOTA性能を達成できた。 我々は、パッチ関係の知識をコミュニティで再利用するためのオンラインクエリウェブサイトを公開しています。

関連論文リスト

• Not All Relations Are Equal: Relation-Balanced and Calibrated Graph Learning for Provenance-Based Intrusion Detection [69.06648810271712]
  本稿では,関係バランスの取れたグラフ学習を用いた教師なしフレームワークRECALについて述べる。 3つのDARPA E3データセットにおいて、RECALはF1スコアの99.99%、99.93%、99.99%を達成し、各データセットでそれぞれ0.88、0.82、0.42で最高のベースラインを上回っている。
  論文  参考訳（メタデータ） (2026-09-15T00:31:01Z)
• Mitigating Implicit Inconsistencies in Patch Porting [13.153399281876451]
  暗黙の矛盾は、開発者がその非ローカルな性質のために解決する上での課題となる。 我々は,LLM,コンパイラ,コード解析ユーティリティ間の協調を可能にするMIPを提案する。 クロスフォークとクロスブランチのパッチポーティングという2つの代表的なシナリオの実験は、MIPが両方の設定において最高のパフォーマンスのベースラインの2倍以上のパッチを解決したことを示している。
  論文  参考訳（メタデータ） (2026-04-02T06:33:31Z)
• ComPass: Contrastive Learning for Automated Patch Correctness Assessment in Program Repair [20.606877071567958]
  予備訓練言語モデル(PLM)に基づく自動パッチ正当性評価手法であるComPassを提案する。 我々はComPassが88.35%の精度を達成し、最先端のAPPTを著しく上回っていることを示す。
  論文  参考訳（メタデータ） (2026-02-07T14:17:21Z)
• LLMBisect: Breaking Barriers in Bug Bisection with A Comparative Analysis Pipeline [35.18683484280968]
  大規模言語モデル(LLM)は、既存のソリューションの障壁を断ち切るために適切に配置されている。 LLMはテキストデータとコードの両方をパッチやコミットで理解している。 提案手法は最先端のソリューションよりも38%以上精度が向上する。
  論文  参考訳（メタデータ） (2025-10-30T02:47:25Z)
• What Do They Fix? LLM-Aided Categorization of Security Patches for Critical Memory Bugs [46.325755802511026]
  我々は、LLM(Large Language Model)と細調整された小言語モデルに基づく2つのアプローチを統合するデュアルメタルパイプラインであるLMを開発した。 LMは、OOBまたはUAFの脆弱性に対処する最近のLinuxカーネルのパッチ5,140のうち111つを、手作業による検証によって90の正の正が確認された。
  論文  参考訳（メタデータ） (2025-09-26T18:06:36Z)
• SwingArena: Competitive Programming Arena for Long-context GitHub Issue Solving [90.32201622392137]
  We present SwingArena, a competitive evaluation framework for Large Language Models (LLMs)。 従来の静的ベンチマークとは異なり、SwingArenaはLLMをイテレーションとして組み合わせて、テストケースを作成し、継続的インテグレーション(CI)パイプラインを通じてパッチを検証するパッチとレビュアーを生成することで、ソフトウェアのコラボレーションプロセスをモデル化する。
  論文  参考訳（メタデータ） (2025-05-29T18:28:02Z)
• PatchFinder: A Two-Phase Approach to Security Patch Tracing for Disclosed Vulnerabilities in Open-Source Software [15.867607171943698]
  本稿では,エンドツーエンドの相関学習を併用した2段階のフレームワークを提案する。 PatchFinderは80.63%のRecall@10、平均相反ランク(MRR)は0.7951である。 PatchFinderを実際に適用する場合、最初は533件のパッチコミットを特定し、公式に送ったのですが、そのうち482件はCVE Numbering Authoritiesによって確認されました。
  論文  参考訳（メタデータ） (2024-07-24T07:46:24Z)

関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。

指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。