【论文分享】Automated Vulnerability Detection in Source Code Using Deep Representation Learning

2023-10-24 09:30
文章标签 detection code 分享 论文 automated using deep representation learning source vulnerability

本文主要是介绍【论文分享】Automated Vulnerability Detection in Source Code Using Deep Representation Learning，希望对大家解决编程问题提供一定的参考价值，需要的开发者们随着小编来一起学习吧！

论文名：Automated Vulnerability Detection in Source Code Using Deep Representation Learning

开源数据集：https://osf.io/d45bw/

简介

软件漏洞很多，且造成了很严重的威胁。作者用机器学习做了源码级的漏洞检测系统。并且用三个静态分析工具（clang、flawfinder、cppcheck）做了一个打标签的数据集。基于这个数据集，作者使用深度学习做了一个漏洞检测工具。在真实软件包和juliet test做了评估。结果表明他们的深度特征学习是一个可行的方法来构建漏洞检测。

数据

image-20210401100345521

数据集主要分为三部分：

  • Juliet test
    • 有标签
    • 但只是代码片段，和真实代码差异较大
  • debian
    • 无标签
    • 真实代码
  • github
    • 无标签
    • 真实代码，数量多，有很多低质量代码

由于debian和github都没有标签，作者用三个静态分析工具（clang、flawfinder、cppcheck）来给这些代码打标签。

为了从函数源码中生成有用的特征，作者弄了个C/C++词法分析器去尽可能地使来自不同仓库的代码词法表示标准化。这样就可以只用156长度来表示代码。另外，一些不影响编译的代码，比如注释，都会被丢掉。

数据预处理的一个重要步骤是移除重复的函数。开源代码可能有很多包，这些包内可能有重复函数。这些重复的可能会影响性能指标和导致过拟合。为了解决这个问题，论文实现了一个很严格的去重过程。移除了任何带有重复源码的lexed表示或者重复的编译特征向量。这个编译特征向量由函数的控制流图、每个基本块里的操作和变量的def-use提取生成的。两个函数如果有相似的指令级行为或者函数性就有可能有相似的lex表示或者高度相关的漏洞。table1的passing curation表示的就是去重后还剩的数量，可以看出基本去掉了90%。

在函数级别对代码漏洞打标签是个难题。作者认为，常见的打标签的方法有静态分析、动态分析和commit-message/bug report tagging。

作者认为动态分析太耗时了，对LibTIFF就需要一天。也不适合他们。

提交信息标记这种方法难度高，生成标签质量低。在作者的测试结果中，人类和机器学习算法都不擅长使用提交信息来预测有无漏洞。作者认为这种方法大量减少了可以打标签的候选函数，以及需要后续人工检查，所以不适合他们的大数据集。

于是作者用三个开源静态分析工具（clang，flawfinder，cppcheck），来生成标签。每个静态分析器从不同的角度去检测。比如，clang就主要是去检查语法、变成风格这类。flawfinder主要针对CWE，并不针对其他方面，比如风格。因此作者整合了三个静态分析器，并且将他们的输出过滤来排除不是漏洞的，从而创建健壮的标签。由于有些CWE不会导致crash，虽然静态分析器也会把他们标记出来，但作者这里把他们的标签设定为no vulnerable。

image-20210401103448931

方法

image-20210401100259391

1.embedding

  • 维度：k=13
  • 高斯噪声
    • $\mu=0 $
    • σ 2 = 0.01 \sigma^{2}=0.01 σ2=0.01

2.feature extraction

CNN

  • filter size ： m= 9
  • # of filter : n = 512

RNN

  • GRU hidden state size n ’ = 256 n^{’}=256 n’=256

3.pool

4.dense layers

  • 50% drop out

5.training

  • batch size : 128
  • learning rate : CNN( 5 ∗ 1 0 − 4 5*10^{-4} 5∗10−4) RNN( 1 ∗ 1 0 − 4 1*10^{-4} 1∗10−4)
  • adam + cross entropy loss

结果

从结果来看，这里CNN要表现得比RNN好。另外，CNN训练得更快，并且需要更少的参数。并且在juliet test上的效果要好得多。这是因为juliet test的数据特征都比较相似。

在所有静态分析工具里，clang在juliet test的表现最好，但和ML比还是差点意思。

作者认为他们的ML方法比传统的静态分析要好，主要好在以下几点：

  • 作者的传统词法分析器和ML模型可以快速地对大型仓库和源代码评分。
  • 由于ML方法输出的是概率，所以可以调整概率的阈值来实现理想的准确率和召回率。
  • 可以用可视化技术来帮助理解为什么算法做了这个决策。

image-20210401100320664

感想

在一篇综述看到这篇论文，看到引用次数还蛮多的，有92次，感觉有点意思就细看了一下。文章总体思路很简单，就是自己做了个数据集，然后用简单的神经网络CNN、RNN来试一试。但是从结果来看，好像对于真实代码不是很理想。深度学习检测漏洞这个方向还有待发展。

这篇关于【论文分享】Automated Vulnerability Detection in Source Code Using Deep Representation Learning的文章就介绍到这儿，希望我们推荐的文章对编程师们有所帮助！


http://www.chinasem.cn/article/274247。

相关文章

Ilya-AI分享的他在OpenAI学习到的15个提示工程技巧

Ilya-AI分享的他在OpenAI学习到的15个提示工程技巧

Ilya（不是本人，claude AI）在社交媒体上分享了他在OpenAI学习到的15个Prompt撰写技巧。 以下是详细的内容： 提示精确化:在编写提示时,力求表达清晰准确。清楚地阐述任务需求和概念定义至关重要。例:不用"分析文本",而用"判断这段话的情感倾向:积极、消极还是中性"。 快速迭代:善于快速连续调整提示。熟练的提示工程师能够灵活地进行多轮优化。例:从"总结文章"到"用
阅读更多...
【专题】2024飞行汽车技术全景报告合集PDF分享（附原数据表）

【专题】2024飞行汽车技术全景报告合集PDF分享（附原数据表）

原文链接： https://tecdat.cn/?p=37628 6月16日，小鹏汇天旅航者X2在北京大兴国际机场临空经济区完成首飞，这也是小鹏汇天的产品在京津冀地区进行的首次飞行。小鹏汇天方面还表示，公司准备量产，并计划今年四季度开启预售小鹏汇天分体式飞行汽车，探索分体式飞行汽车城际通勤。阅读原文，获取专题报告合集全文，解锁文末271份飞行汽车相关行业研究报告。 据悉，业内人士对飞行汽车行业
阅读更多...
AI hospital 论文Idea

AI hospital 论文Idea

一、Benchmarking Large Language Models on Communicative Medical Coaching: A Dataset and a Novel System论文地址含代码 大多数现有模型和工具主要迎合以患者为中心的服务。这项工作深入探讨了LLMs在提高医疗专业人员的沟通能力。目标是构建一个模拟实践环境，人类医生（即医学学习者）可以在其中与患者代理进行医学
阅读更多...
论文翻译：arxiv-2024 Benchmark Data Contamination of Large Language Models: A Survey

论文翻译：arxiv-2024 Benchmark Data Contamination of Large Language Models: A Survey

Benchmark Data Contamination of Large Language Models: A Survey https://arxiv.org/abs/2406.04244 大规模语言模型的基准数据污染：一项综述 文章目录 大规模语言模型的基准数据污染：一项综述摘要1 引言 摘要 大规模语言模型（LLMs），如GPT-4、Claude-3和Gemini的快
阅读更多...
论文阅读笔记: Segment Anything

论文阅读笔记: Segment Anything

文章目录 Segment Anything摘要引言任务模型数据引擎数据集负责任的人工智能 Segment Anything Model图像编码器提示编码器mask解码器解决歧义损失和训练 Segment Anything 论文地址: https://arxiv.org/abs/2304.02643 代码地址:https://github.com/facebookresear
阅读更多...
java常用面试题-基础知识分享

java常用面试题-基础知识分享

什么是Java？ Java是一种高级编程语言，旨在提供跨平台的解决方案。它是一种面向对象的语言，具有简单、结构化、可移植、可靠、安全等特点。 Java的主要特点是什么？ Java的主要特点包括： 简单性：Java的语法相对简单，易于学习和使用。面向对象：Java是一种完全面向对象的语言，支持封装、继承和多态。跨平台性：Java的程序可以在不同的操作系统上运行，称为"Write once,
阅读更多...
论文翻译：ICLR-2024 PROVING TEST SET CONTAMINATION IN BLACK BOX LANGUAGE MODELS

论文翻译：ICLR-2024 PROVING TEST SET CONTAMINATION IN BLACK BOX LANGUAGE MODELS

PROVING TEST SET CONTAMINATION IN BLACK BOX LANGUAGE MODELS https://openreview.net/forum?id=KS8mIvetg2 验证测试集污染在黑盒语言模型中 文章目录 验证测试集污染在黑盒语言模型中摘要1 引言 摘要 大型语言模型是在大量互联网数据上训练的，这引发了人们的担忧和猜测，即它们可能已
阅读更多...
OmniGlue论文详解（特征匹配）

OmniGlue论文详解（特征匹配）

OmniGlue论文详解（特征匹配） 摘要1. 引言2. 相关工作2.1. 广义局部特征匹配2.2. 稀疏可学习匹配2.3. 半稠密可学习匹配2.4. 与其他图像表示匹配 3. OmniGlue3.1. 模型概述3.2. OmniGlue 细节3.2.1. 特征提取3.2.2. 利用DINOv2构建图形。3.2.3. 信息传播与新的指导3.2.4. 匹配层和损失函数3.2.5. 与Super
阅读更多...
分享5款免费录屏的工具，搞定网课不怕错过！

分享5款免费录屏的工具，搞定网课不怕错过！

虽然现在学生们不怎么上网课， 但是对于上班族或者是没有办法到学校参加课程的人来说，网课还是很重要的，今天，我就来跟大家分享一下我用过的几款录屏软件=，看看它们在录制网课时的表现如何。 福昕录屏大师 网址：https://www.foxitsoftware.cn/REC/ 这款软件给我的第一印象就是界面简洁，操作起来很直观。它支持全屏录制，也支持区域录制，这对于我这种需要同时录制PPT和老师讲
阅读更多...
BERT 论文逐段精读【论文精读】

BERT 论文逐段精读【论文精读】

BERT: 近 3 年 NLP 最火 CV: 大数据集上的训练好的 NN 模型，提升 CV 任务的性能 —— ImageNet 的 CNN 模型 NLP: BERT 简化了 NLP 任务的训练，提升了 NLP 任务的性能 BERT 如何站在巨人的肩膀上的？使用了哪些 NLP 已有的技术和思想？哪些是 BERT 的创新？ 1标题 + 作者 BERT: Pre-trainin
阅读更多...

Copyright China编程 23002807@qq.com

沪ICP备2023033072号-2