面向源代码细粒度漏洞检测的集成学习方案

摘要

近年来，基于深度学习的源代码漏洞检测研究取得了重大进展.然而，大多数现有方法检测性能较低，且主要侧重于粗粒度漏洞检测，即在函数级别或切片级别检测漏洞，无法准确确定导致漏洞的代码行.针对以上问题，本文提出了一种用于细粒度漏洞检测的集成学习方案.该方案针对增强代码属性图的切片子图，集成了基于图和基于序列的神经网络以捕获C语言源代码的局部和全局上下文信息，充分理解了代码语义和结构信息.同时，将切片级别的漏洞检测作为图分类任务，将语句级别漏洞检测任务作为节点分类任务，利用集成学习策略得到漏洞切片和漏洞代码行.实验结果表明，在切片级漏洞检测方面，相比于其他工具和方法，在合成数据集与真实数据集上检测的F1分数分别最大提高了46.12%和40.44%.在细粒度的漏洞语句定位方面，相比于解释器与基于深度学习的方法，Top-5 Accuracy在真实数据集上提升了9%～12.1%.

关键词

细粒度漏洞检测 / 图神经网络 / Transformer / 集成学习 / 深度学习

基金资助

河南省重大科技专项项目(221100210600)资助; 河南省科技攻关项目(232102211055,232102210124)资助; 河南省网络密码技术重点实验室研究课题项目(LNCT2022-A14)资助