論文の概要: ObliVul: Alert-Conditioned Safety Obligation Modeling and Bidirectional Counterfactual Validation for Code Vulnerability Detection

• arxiv url: http://arxiv.org/abs/2610.11801v1
• Date: Thu, 08 Oct 2026 12:10:48 GMT
• ステータス: 翻訳完了
• システム内更新日: 2026-10-10 02:36:54.016638
• Title: ObliVul: Alert-Conditioned Safety Obligation Modeling and Bidirectional Counterfactual Validation for Code Vulnerability Detection
• Title（参考訳）: Aert-Conditioned Safety Obligation Modeling and bidirectional Counterfactal Validation for Code Vulnerability Detection (ObliVul)
• Abstract要約: 我々は,脆弱性検出のための警告条件付き安全義務モデリングと双方向対応検証フレームワークであるObliVulを提案する。 それぞれの候補アラートに対して、ObliVulはまず、コードプロパティグラフ(CPG)からローカルエビデンスパックを抽出し、大きな言語モデルを使用して、候補の安全性義務を回復する。 次に、プログラムノード、依存関係エッジ、パススコープと安全義務を整合させ、ローカルセーフティオブリグレーショングラフ(LSOG)を構築する。 最後に、VAFIは補完的な検証された警告エビデンスを集約し、冗長または弱いエビデンスを抑え、機能レベルの脆弱性予測を生成する。
• 参考スコア（独自算出の注目度）: 22.764179985238655
• License: http://arxiv.org/licenses/nonexclusive-distrib/1.0/
• Abstract: In real-world software development, the primary challenge in vulnerability detection is often not finding suspicious code, but identifying which alerts among the large number of candidate alerts produced by static analysis truly warrant attention. Existing learning-based methods mainly identify suspicious patterns at the function or line level, making it difficult to extract complete program evidence centered on an individual alert. Although large language models can infer risk sources, dangerous operations, protection conditions, and state preconditions from local program facts, such semantic information cannot be reliably aligned with specific program nodes, dependency relations, and propagation paths, and is therefore insufficient to verify whether the corresponding safety obligations truly affect the current alert. To address this problem, we propose ObliVul, an alert-conditioned safety obligation modeling and bidirectional counterfactual validation framework for vulnerability detection. For each candidate alert, ObliVul first extracts a Local Evidence Pack (LEP) from the Code Property Graph (CPG) and uses a large language model to recover candidate safety obligations. It then aligns the safety obligations with program nodes, dependency edges, and path scopes to construct a Local Safety Obligation Graph (LSOG). Finally, VAFI aggregates complementary verified alert evidence while suppressing redundant or weaker evidence to produce a function-level vulnerability prediction. Experimental results show that ObliVul effectively distinguishes vulnerable versions from fixed versions and reduces persistent false positives on fixed code. Ablation studies further confirm the necessity of each component for safety obligation recovery, risk response validation, and function-level vulnerability inference.
• Abstract（参考訳）: 現実世界のソフトウェア開発では、脆弱性検出の最大の課題は、不審なコードを見つけることではなく、静的解析によって生成された多数の候補警告の中で、どの警告が本当に注意を喚起しているかを特定することである。 既存の学習に基づく手法は、主に機能やラインレベルの不審なパターンを識別し、個々のアラートを中心とした完全なプログラムエビデンスを抽出することが困難である。 大規模言語モデルは、リスク源、危険な操作、保護条件、および状態条件をローカルプログラムの事実から推測することができるが、そのような意味情報は特定のプログラムノード、依存関係関係、伝播経路と確実に一致できないため、対応する安全義務が現在のアラートに本当に影響を及ぼすかどうかを検証するには不十分である。 この問題に対処するために,警告条件付き安全義務モデリングと,脆弱性検出のための双方向対応検証フレームワークであるObliVulを提案する。 各候補警告に対して、ObliVulはまず、コードプロパティグラフ(CPG)からローカルエビデンスパック(LEP)を抽出し、大きな言語モデルを使用して、候補の安全性義務を回復する。 次に、プログラムノード、依存関係エッジ、パススコープと安全義務を整合させ、ローカル安全義務グラフ(LSOG)を構築する。 最後に、VAFIは補完的な検証された警告エビデンスを集約し、冗長または弱いエビデンスを抑え、機能レベルの脆弱性予測を生成する。 実験の結果、ObliVulは脆弱性のあるバージョンと固定バージョンを効果的に区別し、固定コードに対する持続的な偽陽性を低減していることがわかった。 アブレーション研究は、安全義務回復、リスク対応検証、機能レベルの脆弱性推論のための各コンポーネントの必要性をさらに確認する。

関連論文リスト

• SecureForge: Finding and Preventing Vulnerabilities in LLM-Generated Code via Prompt Optimization [61.91729298584227]
  SecureForgeは、フロンティアモデルのセキュリティリスクを監査し、監査インフォームされたセキュアなシステムプロンプトを生成する自動化パイプラインである。 SecureForgeは、まず静的に検出可能な脆弱性を生成する良性プロンプトを特定し、その後、さまざまなシナリオの大規模な合成プロンプトコーパスに増幅する。 フロンティアモデルでは、SecureForgeは、ユニットテストの成功と出力セキュリティの両方において統計的に有意な改善をもたらし、出力脆弱性は最大48%削減された。
  論文  参考訳（メタデータ） (2026-05-08T18:40:47Z)
• SecPI: Secure Code Generation with Reasoning Models via Security Reasoning Internalization [50.71047638695205]
  RLM(Reasoning Language Model)は、プログラミングにおいてますます使われている言語モデルである。 しかし、最先端のRLMでさえ、生成されたコードに重大なセキュリティ脆弱性を頻繁に導入する。 我々は、構造化されたセキュリティ推論を内部化するためのRTMを教える微調整パイプラインであるSecPIを提案する。
  論文  参考訳（メタデータ） (2026-04-04T04:29:11Z)
• Validating Solidity Code Defects using Symbolic and Concrete Execution powered by Large Language Models [0.0]
  本稿では,Slither-based detectors, Large Language Models (LLMs), Kontrol, Forgeを統合した新しい検出パイプラインを提案する。 私たちのアプローチは、欠陥を確実に検出し、証明を生成するように設計されています。
  論文  参考訳（メタデータ） (2025-09-16T12:46:11Z)
• VulAgent: Hypothesis-Validation based Multi-Agent Vulnerability Detection [55.957275374847484]
  VulAgentは仮説検証に基づくマルチエージェント脆弱性検出フレームワークである。 セマンティクスに敏感なマルチビュー検出パイプラインを実装しており、それぞれが特定の分析の観点から一致している。 平均して、VulAgentは全体的な精度を6.6%改善し、脆弱性のある固定されたコードペアの正確な識別率を最大450%向上させ、偽陽性率を約36%削減する。
  論文  参考訳（メタデータ） (2025-09-15T02:25:38Z)
• Weakly Supervised Vulnerability Localization via Multiple Instance Learning [46.980136742826836]
  WeAkly によるマルチプルインスタンス学習による脆弱性ローカライゼーションのための WAVES という新しい手法を提案する。 WAVESは、ある関数が脆弱かどうか(すなわち脆弱性検出)を判定し、脆弱なステートメントをピンポイントする機能を持っている。 提案手法は,文レベルの脆弱性ローカライゼーションにおいて,脆弱性検出と最先端のパフォーマンスにおいて同等のパフォーマンスを実現する。
  論文  参考訳（メタデータ） (2025-09-14T15:11:39Z)
• Advancing Neural Network Verification through Hierarchical Safety Abstract Interpretation [52.626086874715284]
  我々は、安全でない出力の階層構造を検証する抽象的DNN検証と呼ばれる新しい問題定式化を導入する。 出力到達可能な集合に関する抽象的解釈と推論を活用することにより,形式的検証プロセスにおいて,複数の安全性レベルを評価することができる。 我々の貢献には、新しい抽象的安全性の定式化と既存のアプローチとの関係を理論的に探求することが含まれる。
  論文  参考訳（メタデータ） (2025-05-08T13:29:46Z)
• CodeAttack: Revealing Safety Generalization Challenges of Large Language Models via Code Completion [117.178835165855]
  本稿では,自然言語入力をコード入力に変換するフレームワークであるCodeAttackを紹介する。 我々の研究は、コード入力に対するこれらのモデルの新たな、普遍的な安全性の脆弱性を明らかにした。 CodeAttackと自然言語の分布ギャップが大きくなると、安全性の一般化が弱くなる。
  論文  参考訳（メタデータ） (2024-03-12T17:55:38Z)
• SliceLocator: Locating Vulnerable Statements with Graph-based Detectors [33.395068754566935]
  SliceLocatorは、すべての潜在的な脆弱性トリガリングステートメントから、最も重み付けされたフローパスを選択することで、最も関連性の高いテントフローを特定する。 SliceLocatorは、最先端の4つのGNNベースの脆弱性検知器で一貫して動作することを示す。
  論文  参考訳（メタデータ） (2024-01-05T10:15:04Z)

関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。

指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。