Mapping NVD Records to Their Vulnerability-fixing Commits: How Hard is It?
Singapore Management University（新加坡国立大学）；Monash University（蒙纳士大学）；University of Chinese Academy of Sciences（中国科学院大学）；Singapore University of Technology and Design（新加坡科技设计大学）；University of Sydney（悉尼大学）
本研究通过实证方法探讨了将NVD记录映射到漏洞修复提交（VFC）的可行性，发现Git引用能实现超过86%的成功率，而非Git引用则低于14%。通过构建自动化流程提取了31,942个VFCs，并结合外部安全数据库和GitHub仓库，最终映射了26,710个独特的NVD记录，但仍有88.7%的记录未被映射，揭示了在没有Git链接时的困难。
2026-05-18 cs.CR cs.SE
Favia: Forensic Agent for Vulnerability-fix Identification and Analysis
Norwegian University of Science and Technology（挪威科技大学）；CSIRO’s Data61（澳大利亚联邦科学与工业研究组织数据61研究所）
Favia通过结合可扩展的候选排名与深入语义推理，有效识别漏洞修复，优于传统和LLM基方法。
2026-02-13 cs.AI cs.CR cs.SE
PoCEvolve: Generating Proof-of-Concept Exploits from Security Patches with Vulnerability-Aware Prompt Evolution
The University of Sydney（悉尼大学）；Singapore Management University（新加坡管理大学）；Monash University（莫纳什大学）
研究修复提交与详细漏洞报告可用性的延迟问题，提出PoCEvolve框架，可从漏洞修复提交直接生成概念验证漏洞利用程序，通过评估相关上下文指导提示进化，在不同模型上有不同成功率提升。
2026-07-27 cs.CR cs.SE
Code-centric Learning-based Just-In-Time Vulnerability Detection
本文提出基于代码中心学习的即时漏洞检测方法CodeJIT，通过图神经网络建模提交中代码变更的结构与依赖语义，在20K+真实提交数据集上显著超越现有方法，并具备识别修复漏洞但引入新问题的提交的能力。
2023-04-17 cs.SE
Multi-Granularity Detector for Vulnerability Fixes
Singapore Management University（新加坡管理大学）；Huawei（华为）；Queen’s University（女王大学）；The University of Melbourne（墨尔本大学）
针对开源软件漏洞修复提交识别中的噪声与数据不平衡挑战，提出多粒度检测器MiDas，通过构建不同粒度神经网络并集成预测，显著提升了检测效果并减少了人工检查成本。
2023-05-23 cs.AI cs.CR cs.SE
D2A: A Dataset Built for AI-Based Vulnerability Detection Methods Using Differential Analysis
IBM Research（IBM研究院）
静态分析工具被广泛用于漏洞检测，因为它们理解具有复杂行为和数百万行代码的程序。尽管静态分析工具很受欢迎，但已知它们会产生过多的误报。最近机器学习模型理解程序设计语言的能力在应用于静态分析时开辟了新的可能性。然而，现有的数据集训练模型的弱点识别遭受多重限制，如有限的错误上下文，有限的大小，合成和不切实际的源代码。我们提出了D2A，一个基于差异分析的方法来标记由静态分析工具报告的问题。D2A数据集是通过分析来自多个开源项目的版本对构建的。从每个项目中，我们选择bug修复提交，并对提交前后的版本运行静态分析。如果在提交前版本中检测到的一些问题在相应的提交后版本中消失了，那么它们很可能是真正的bug，并通过提交得到了修复。我们使用D2A生成一个大的标记数据集来训练模型进行漏洞识别。我们表明，该数据集可用于构建分类器，以识别静态分析报告的问题中可能的误报，从而帮助开发人员优先考虑和调查潜在的真阳性。
2021-02-16 cs.AI cs.LG cs.SE
JavaVFC: Java Vulnerability Fixing Commits from Open-source Software
本文构建并发布 JavaVFC 与 JavaVFC-extended 数据集，利用关键词启发式、多轮人工标注和大规模仓库筛选，为漏洞修复提交识别与自动修复研究提供数据基础。
2024-09-09 cs.SE
Toward Realistic Evaluations of Just-In-Time Vulnerability Prediction
本文针对现有JIT-VP评估过于理想化的问题，构建了包含超百万条提交的FFmpeg和Linux内核真实数据集，发现八种先进JIT-VP技术在现实条件下性能大幅下降，并证明常用不平衡处理技术无效，强调需要领域特定方法。
2025-07-22 cs.SE
Silent Vulnerability-fixing Commit Identification Based on Graph Neural Networks
提出VFFINDER，一种基于图神经网络的自动化静默漏洞修复识别方法，通过带注释的AST捕获代码结构变化，在精确率、召回率和F1上显著优于现有方法并加速识别过程。
2023-09-15 cs.SE
ActiveClean: Generating Line-Level Vulnerability Data via Active Learning
Iowa State University（爱荷华州立大学）
本文提出 ActiveClean，利用主动学习从代码提交中自动生成大规模行级漏洞数据，并在 Java 和 C 数据集上验证其有效性，清洗后的数据显著提升了 LineVul 的漏洞检测性能。
2023-12-04 cs.LG cs.SE
Detecting Vulnerability-Inducing Commits via Multi-Stage Reasoning with LLM-Based Agents
State Key Laboratory of Complex & Critical Software Environment (CCSE), Beihang University（复杂与关键软件环境国家重点实验室，北京航空航天大学）；Hangzhou Innovation Institute of Beihang University（北京航空航天大学杭州创新研究院）；North China Municipal Engineering Design & Research Institute Co., Ltd.（华北市政工程设计研究有限公司）
研究旨在检测导致漏洞的提交，提出基于大语言模型的多智能体框架VIC - RAGENT，利用多个专业智能体提供互补视角，通过多阶段推理过程完善候选漏洞，实验表明其性能优于基线，为VIC检测提供实用方案。
2026-07-08 cs.SE
TraceVIC: Causal Reasoning over Code Evolution for Identifying Vulnerability-Inducing Commits
Northern Illinois University（北伊利诺伊大学）；MIT Lincoln Laboratory（麻省理工学院林肯实验室）
TraceVIC通过时间图推理代码演化，识别并排序漏洞引入提交，在四个C/C++项目中将F2提升至0.814，比现有方法提高28.7%。
2026-10-06 cs.AI cs.SE
Revisiting Vulnerability Patch Identification on Data in the Wild
Singapore Management University（新加坡管理大学）；Monash University（莫纳什大学）；University of Sydney（悉尼大学）
本文研究了在真实环境中漏洞补丁检测器的性能，发现基于NVD数据训练的模型在真实补丁上表现显著下降，提出结合NVD数据与人工识别补丁的混合数据集可提升模型鲁棒性。
2026-03-18 cs.CR cs.SE
Code Change Intention, Development Artifact and History Vulnerability: Putting Them Together for Vulnerability Fix Detection by LLM
针对现有漏洞修复检测方法忽略开发制品上下文及缺乏解释的问题，提出LLM4VFD框架，结合代码变更意图、开发制品与历史漏洞上下文，利用LLM与思维链推理提升检测准确率，并提供可解释分析，较现有方法提升68.1%-145.4%。
2025-01-24 cs.SE
SPFinder: Improving the Context Length and Scalability for Tracing Known Vulnerability Patches
Stevens Institute of Technology（史蒂文斯理工学院）；ZJU-UIUC（浙江大学伊利诺伊大学厄巴纳香槟校区联合学院）；University of Texas, San Antonio（德克萨斯大学圣安东尼奥分校）
SPFinder是一种用于追踪已知漏洞补丁的可扩展检索框架，通过分层嵌入和三阶段检索解决长上下文与可扩展性问题，在多数据集评估中优于现有方法，可实用关联CVE补丁。
2026-08-04 cs.CR cs.SE
ICVul: A Well-labeled C/C++ Vulnerability Dataset with Comprehensive Metadata and VCCs
本文构建高质量 C/C++ 漏洞数据集 ICVul，通过 NVD 与 GitHub 修复提交筛选、SZZ 追踪 VCC 及 ESC 技术保证标签可信，并公开数据集与构建框架。
2025-05-13 cs.SE
Fixseeker: An Empirical Driven Graph-based Approach for Detecting Silent Vulnerability Fixes in Open Source Software
针对静默漏洞修复检测问题，提出基于图的Fixseeker方法，利用hunk间相关性建模修复模式，在多种语言上优于现有方法，F1达0.8404。
2025-03-26 cs.SE
VERCATION: Precise Vulnerable Open-source Software Version Identification based on Static Analysis and LLM
本文提出VERCATION方法，结合程序切片与LLM识别漏洞相关代码，通过回溯历史提交并基于扩展规范化AST的代码克隆检测定位引入漏洞的提交，在识别C/C++开源软件易受攻击版本任务上F1达93.1%，并发现NVD报告中202个错误版本。
2025-08-14 cs.CR cs.SE
VFFINDER: A Graph-based Approach for Automated Silent Vulnerability-Fix Identification
针对开源项目静默漏洞修复难以识别的问题，提出基于图神经网络VFFINDER方法，利用AST结构特征区分修复与非修复提交，在36K+提交数据集上显著提升精确率、召回率和F1，并加速识别过程。
2023-09-05 cs.SE
VICBench: A Multi-Language Benchmark for Code Vulnerability Detection
University of Pittsburgh（匹兹堡大学）；Purdue University（普渡大学）；Amazon Web Services（亚马逊网络服务）
本研究构建了多语言代码漏洞检测基准VICBench，包含100个CVE对应的VIC，规模显著大于现有数据集，经评估现有漏洞检测算法性能有限，该基准可用于可靠评估漏洞检测方法。
2026-08-13 cs.AI cs.CL cs.CR
VulGuard: An Unified Tool for Evaluating Just-In-Time Vulnerability Prediction Models
VulGuard 是一个统一自动化工具，通过挖掘 GitHub 提交并集成多个先进 JIT-VP 模型，解决漏洞预测研究中的可复现性与可扩展性问题，并在 FFmpeg 和 Linux 内核上验证了其加速研究和标准化基准测试的潜力。
2025-07-22 cs.SE
Exploring the Security Awareness of the Python and JavaScript Open Source Communities
软件安全性无疑是当今软件工程的一个主要关注点。虽然人们对安全问题的认识水平往往很高，但实际经验表明，预防行动和对可能出现的问题的反应在现实中并不总是得到适当处理。通过分析开源社区中的大量提交，我们可以对开发人员缓解的漏洞进行分类，并研究其分布，解决时间等，以学习和改进安全管理流程和实践。在软件遗产图数据集的帮助下，我们调查了两种最流行的脚本语言- Python和JavaScript -从公共存储库收集的项目的提交，并确定了那些减轻代码中某个漏洞的提交（即漏洞解决提交）。一方面，我们确定了提交消息中提到的漏洞类型（根据CWE组），并比较了两个社区中的漏洞数量。另一方面，我们检查了漏洞发布日期与提交中首次引用漏洞之间的平均时间。我们发现，两个社区缓解的漏洞类型有很大的交集，但最普遍的漏洞是特定于语言的。此外，无论是JavaScript还是Python社区都不会对出现的安全漏洞做出快速反应，只有一些CWE组例外。
2020-06-24 cs.PL cs.SE
SPI: Automated Identification of Security Patches via Commits
开源软件中的安全补丁，为已识别的漏洞提供安全修复，对于防范网络攻击至关重要。尽管国家漏洞数据库（NVD）发布了已识别的漏洞，但绝大多数漏洞及其相应的安全补丁仍然无法公开，例如，开发者非常依赖的开源库中。一个广泛的安全补丁数据集可以帮助最终用户，如安全公司，建立安全知识库，或研究人员，例如，协助脆弱性研究。为了以大规模和低成本管理包括未公开补丁在内的安全补丁，我们提出了一种基于开源库提交的基于深度神经网络的方法。我们构建了安全补丁数据集，其中包括来自四个C库的38，291个安全相关提交和1，045个CVE补丁。我们手动验证38，291个与安全相关的提交中的每个提交，以确定它们是否与安全相关。我们设计了一个基于深度学习的安全补丁识别系统，该系统由两个神经网络组成：一个是提交消息神经网络，它利用从我们的提交数据集学习的预训练单词表示;另一个是代码修订神经网络，它在修订之前和之后获取代码，并学习语句级别上的区别。我们的评估结果表明，我们的系统优于SVM和K-折叠堆叠算法，实现高达87.93%的F1分数和精度为86.24%。我们在工业生产环境中部署了我们的管道和学习模型，以评估我们的方法的泛化能力。工业数据集由来自410个新库的298，917个提交组成，这些库的功能范围很广。我们的实验结果和观察证明，我们的方法可以有效地识别开源项目中的安全补丁。
2021-06-06 cs.CR cs.SE
DiverseVul: A New Vulnerable Source Code Dataset for Deep Learning Based Vulnerability Detection
University of Maryland（马里兰大学）；UC Berkeley（加州大学伯克利分校）；King Abdulaziz City for Science and Technology（阿卜杜勒阿齐兹国王科技城）；Google Deepmind（谷歌DeepMind）
本文发布包含18,945个漏洞函数和330,492个非漏洞函数的DiverseVul数据集，并通过11种模型实验表明深度学习在漏洞检测上仍面临高假阳性、低F1和泛化困难等挑战，同时指出LLM和源代码特定预训练是更有前景的方向。
2023-08-09 cs.AI cs.CR cs.LG
A ground-truth dataset of real security patches
由于缺乏大型数据集和真实数据，培训用于漏洞识别的机器学习方法并制作可靠的工具以帮助开发人员实施无漏洞的高质量软件具有挑战性。研究人员一直在研究这些问题并建立数据集。然而，这些数据集通常会遗漏自然语言工件和程序设计语言多样性。我们从GitHub引用中抓取了整个CVE详细信息数据库，并使用3个安全相关的数据集扩展了数据。我们使用这些数据来创建一个包含自然语言工件（如提交消息、提交注释和摘要）、元数据和代码更改的真值数据集。我们的数据集集成了来自1339个不同项目的8057个安全相关提交，相当于5942个安全补丁，这些项目涉及146种不同类型的漏洞和20种语言。还提供了110 k非安全相关提交的数据集。数据和脚本都可以在GitHub上找到。数据存储在.CSV文件中。代码库可以使用我们的脚本下载。我们的数据集是回答不同主题研究问题的宝贵资产，例如使用NLP模型识别安全相关信息;软件工程和安全最佳实践;漏洞检测和修补;以及安全程序分析。
2021-10-18 cs.CR cs.SE
Did You Forkget It? Detecting One-Day Vulnerabilities in Open-source ForksWith Global History Analysis
University of Rennes（雷恩大学）；Inria（法国国家信息与自动化研究所）
本文提出一种全球历史分析方法，用于检测开源fork中的单日漏洞，通过传播漏洞信息和自动化影响分析，发现135个高严重性漏洞。
2026-10-08 cs.CR cs.SE
Vulnerability Identification by Harnessing Inter-connected Multi-Source Information
Beihang University（北京航空航天大学）；Hangzhou Innovation Institute of Beihang University（北京航空航天大学杭州创新研究院）
本文提出利用多源信息互联提升漏洞识别与分类效果，通过多头注意力机制提取语义信息，实现更高的F1分数。
2026-04-27 cs.SE
A Comprehensive Evaluation of Code Language Models for Security Patch Detection
University of Lübeck（吕贝克大学）；University of Lübeck Institute for IT Security（吕贝克大学信息安全部）
本文通过统一框架评估了基于代码语言模型的漏洞修复提交检测，发现仅依赖代码变更无法让模型获得可转移的安全相关代码理解，且在去除提交信息后，增加内过程语义上下文也无法使模型关注代码变更，性能受数据分布和时间分割影响显著。
2026-08-06 cs.CR cs.LG cs.SE
An Empirical Study of Vulnerability Handling Times in CPython
本研究通过回归分析发现，CPython漏洞修复时间主要由报告者身份决定，严重性、概念验证代码、提交、评论和引用等因素均无解释力，从而增进了对Python生态安全的理解。
2025-05-25 cs.CR cs.SE
Detecting Security Fixes in Open-Source Repositories using Static Code Analyzers
Tilburg University（蒂尔堡大学）；SAP Security Research（SAP安全研究院）；Eindhoven University of Technology（埃因霍温理工大学）
关于影响开放源码软件（OSS）的脆弱性的可靠的代码级信息的来源很少，这阻碍了广泛采用提供脆弱的OSS依赖性的代码级检测和评估的高级工具。在本文中，我们研究了在何种程度上现成的静态代码分析器的输出可以被用作一个来源的功能，以代表提交机器学习（ML）的应用程序。特别是，我们研究如何使用这些功能来构建嵌入和训练ML模型，以自动识别包含漏洞修复的源代码提交。我们分析了安全相关和非安全相关提交的嵌入，我们表明，尽管孤立地看，它们在统计上没有显著差异，我们还发现，我们的方法与commit2vec的结合代表了对自动化领域现有技术的切实改进。识别修复漏洞提交：我们构建的ML模型和commit2vec是互补的，前者更普遍适用，尽管不那么准确。
2021-05-07 cs.CR cs.LG cs.SE
LLMVul: A Vulnerability-Labeled Dataset of LLM-Generated C/C++ Functions from Real Production Repositories
School of Computing \& Informatics \ of Louisiana at Lafayette Lafayette LA USA；School of Computing \& Informatics \ of Louisiana at Lafayette
LLMVul从真实生产仓库中挖掘并标注了21,430个LLM生成的C/C++函数，识别出1,540个易受攻击函数，涵盖17个CWE类别，为漏洞检测和安全评估提供了大规模真实数据。
2026-09-11 cs.SE
VUDENC: Vulnerability Detection with Deep Learning on a Natural Codebase for Python
Humboldt-Universität zu Berlin（柏林洪堡大学）；University of Paderborn（帕德博恩大学）；University of Bern（伯尔尼大学）
识别潜在的易受攻击的代码对于提高我们软件系统的安全性非常重要。然而，软件漏洞的手动检测需要专业知识并且是耗时的，并且必须由自动化技术支持。目的：这种自动化漏洞检测技术应该实现高准确性，将开发人员直接指向易受攻击的代码片段，扩展到真实世界的软件，跨特定软件项目的边界进行概括，并且不需要或仅需要适度的设置或配置工作。方法：在本文中，我们将介绍VUDENC（Vulnerability Detection with深度学习on a Natural Codebase），这是一个基于深度学习的漏洞检测工具，可以自动从大型真实Python代码库中学习易受攻击代码的特征。VUDENC应用word 2 vec模型来识别语义相似的代码标记并提供矢量表示。然后，使用长短期记忆单元（LSTM）网络对易受攻击的代码令牌序列进行细粒度分类，突出显示源代码中可能包含漏洞的特定区域，并为其预测提供置信度。结果如下：为了评估VUDENC，我们使用了来自不同GitHub存储库的1，009个可修复性提交，这些存储库包含七种不同类型的漏洞（SQL注入，XSS，命令注入，XSRF，远程代码执行，路径泄露，Open重定向）用于培训。在实验评测中，VUDENC的召回率为78%-87%，准确率为82%-96%，F1评分为80%-90%。VUDENC的代码、漏洞的数据集和word 2 vec模型的Python语料库都可以复制。结论…
2022-01-20 cs.CR cs.LG cs.SE
CVEfixes: Automated Collection of Vulnerabilities and Their Fixes from Open-Source Software
Simula Research Laboratory（西莫拉研究实验室）
对源代码中安全漏洞的自动发现和修复进行数据驱动的研究需要真实易受攻击的代码及其修复的全面数据集。为了帮助这样的研究，我们提出了一种方法来自动收集和策划一个全面的漏洞数据集，从公共的国家漏洞数据库（NVD）中的常见漏洞和暴露（CVE）记录。我们在一个完全自动化的数据集收集工具中实现了我们的方法，并分享了名为CVEfixes的漏洞数据集的初始版本。CVEfixes收集工具自动从NVD获取所有可用的CVE记录，从相关的开源存储库收集易受攻击的代码和相应的修复程序，并将收集到的信息组织到关系数据库中。此外，数据集还包含了诸如程序设计语言等元数据，以及五个抽象级别的详细代码和安全度量。该集合可以很容易地重复，以保持最新的新发现或修补的漏洞。CVE修复的初始版本涵盖了截至2021年6月9日的所有已发布的CVE，涵盖了1754个开源项目的5365条CVE记录，这些项目在总共5495次漏洞修复提交中得到了解决。CVEfixes支持各种类型的数据驱动的软件安全研究，例如漏洞预测，漏洞分类，漏洞严重性预测，分析与安全性相关的代码更改以及自动漏洞修复。
2021-07-19 cs.AI cs.CR cs.LG
ATTAIN: Automated Exploit Failure Analysis through Trace-Driven Diff Analysis
School of Software Technology, Zhejiang University（浙江大学软件学院）；The State Key Laboratory of Blockchain and Data Security, Zhejiang University（浙江大学区块链与数据安全全国重点实验室）
提出ATTAIN框架，通过轨迹驱动差异分析自动评估库版本中的漏洞存在性，结合LLM搜索相关变更，F1达93.24%，优于现有方法。
2026-06-08 cs.SE
Revisiting the Performance of Deep Learning-Based Vulnerability Detection on Realistic Datasets
University of Waterloo（滑铁卢大学）
本文构建真实场景漏洞数据集Real-Vul，评估四种深度学习漏洞检测模型，揭示其在实际代码库中精确率和F1分数大幅下降，并针对过拟合问题提出数据增强方法，最多可提升30%性能。
2024-07-03 cs.AI cs.CR cs.LG
Evaluation of Software Quality Through Refactoring Commit-Impact Analysis
Islamic University of Technology（伊斯兰技术大学）
本研究通过检查重构提交前后代码变更的影响，结合软件度量与GitHub开源软件的静态代码分析，探究代码修改与软件质量的相关性。
2026-10-12 cs.SE
Exploring Security Commits in Python
本研究针对Python中未被CVE收录的静默安全提交难以识别的问题，构建了首个Python安全提交数据集PySecDB，提出CommitCPG图表示与SCOPY多属性图学习模型提升数据收集效率，还发现了覆盖超85%安全提交的四种常见修复模式。
2023-07-21 cs.CR cs.SE
ReposVul: A Repository-Level High-Quality Vulnerability Dataset
针对现有漏洞数据集的补丁纠缠、缺乏跨过程漏洞和过时补丁问题，提出自动化数据收集框架并构建首个仓库级高质量漏洞数据集ReposVul，包含解缠、多粒度依赖提取和痕迹过滤三个模块。
2024-02-08 cs.CR cs.SE
Automatic Data Labeling for Software Vulnerability Prediction Models: How Far Are We?
The University of Adelaide（阿德莱德大学）；Cyber Security Cooperative Research Centre（网络安全合作研究中心）
该研究定量与定性评估了最先进的自动标注软件漏洞数据D2A的质量，发现虽超50%标注有噪声，但利用其训练的预测模型在MCC和Recall上最高可提升22%和90%，揭示了自动标注数据的潜力与降噪挑战。
2024-07-25 cs.CR cs.LG cs.SE
Detecting Security Patches via Behavioral Data in Code Repositories
Tel-Aviv University（特拉维夫大学）
当今绝大多数软件都是使用协作版本控制工具（如Git）协作开发的。通常的做法是，一旦发现并修复了漏洞，软件背后的开发人员就会发布一个常见漏洞和暴露或CVE记录，以提醒用户社区注意安全隐患，并敦促他们集成安全补丁。然而，有些公司可能不会披露他们的漏洞，只是更新他们的存储库。因此，用户不知道该漏洞，并可能仍然暴露。在本文中，我们提出了一个系统来自动识别安全补丁，只使用Git存储库中的开发人员行为，而不分析代码本身或伴随修复的注释（提交消息）。我们可以发现隐藏的安全补丁，准确率为88.3%，F1得分为89.8%。这是第一次提出一个语言无关的解决方案。
2023-02-04 cs.CR cs.LG cs.SE
How Humans, Bots, and Agents Communicate About Vulnerabilities in Pull Requests
Radboud University（拉德堡德大学）；Singapore Management University（新加坡管理大学）
研究拉取请求讨论中人类、机器人和编码代理通过显式标识符和隐式安全语言沟通漏洞的方式，并分析其与代码变更及审查活动的关系。
2026-06-29 cs.CR cs.SE
A Manually-Curated Dataset of Fixes to Vulnerabilities of Open-Source Software
SAP Security Research（SAP安全研究部门）
本文发布人工整理的开源 Java 漏洞与修复提交数据集，含624个漏洞、205个项目和1282个提交，并提供脚本支持数据获取、扩充及安全提交分类器训练。
2019-03-19 cs.CR cs.LG cs.SE
AgenticRepair: Multi-Faceted Program Context Engineering for Agentic Vulnerability Repair
The University of Melbourne（墨尔本大学）；Monash University（莫纳什大学）
针对现有智能体漏洞修复方法缺乏多维度程序上下文工程的问题，提出AgenticRepair框架，协调三个LLM子智能体构建三类上下文，在SEC-Bench上取得73%的修复成功率，显著优于基线。
2026-08-03 cs.AI cs.CR cs.SE
Are Latent Vulnerabilities Hidden Gems for Software Vulnerability Prediction? An Empirical Study
The University of Adelaide（阿德莱德大学）；Monash University（莫纳什大学）
本文通过大规模实证研究揭示数据集中被忽视的潜在软件漏洞，发现其虽含约6%噪声，但可使漏洞数量增加4倍，并显著提升函数级和代码行级漏洞预测性能。
2024-01-20 cs.CR cs.LG cs.SE
Exploiting Token and Path-based Representations of Code for Identifying Security-Relevant Commits
University of Waterloo（滑铁卢大学）；SAP Security Research（SAP安全研究院）
公共漏洞数据库（如CVE和NVD）仅占开源项目中存在的安全漏洞的60%，并且已知质量不一致。在过去的两年中，在NPM和Maven Central等各种存储库中可用的项目中，已知漏洞的数量有了相当大的增长。这种日益增加的风险要求建立一种机制，以及时推断安全威胁的存在。我们提出了新的分层深度学习模型，用于从提交差异或Java类的源代码中识别安全相关的提交。通过将我们的模型与code2vec（一种从基于路径的代码表示中学习的最先进的模型）和逻辑回归基线进行比较，我们发现深度学习模型在识别安全相关的提交方面显示出有希望的结果。我们还对各种深度学习模型如何在不同的输入表示中学习以及正则化对模型泛化的影响进行了比较分析。
2019-11-15 cs.CL cs.SE
VulValidate: Auditing Function-Level Vulnerability Labels with Executable Evidence
University of Louisiana at Lafayette（路易斯安那大学拉法叶分校）
VulValidate利用LLM智能体协调动态分析工具，基于可执行证据审计函数级漏洞标签，修正了BigVul等数据集中的大量错误标签，并提升了检测器性能。
2026-10-06 cs.AI cs.CR cs.SE
Revisiting Vulnerability Patch Localization: An Empirical Study and LLM-Based Solution
针对漏洞补丁定位难题，本文通过实证研究总结四项关键洞见，并提出结合版本驱动候选过滤与 LLM 多轮对话投票的两阶段框架，在 750 个真实漏洞上验证其优于现有方法。
2025-09-28 cs.SE
Empirical Analysis of Vulnerabilities Life Cycle in Golang Ecosystem
本文实证分析 Golang 生态系统的漏洞生命周期，构建多源数据融合框架量化补丁滞后，发现 66.10% 的模块受漏洞影响，并揭示两类修复传播滞后及其成因，提出及时发布和索引补丁版本以提升生态安全。
2024-01-17 cs.SE
VFDelta: A Framework for Detecting Silent Vulnerability Fixes by Enhancing Code Change Learning
提出VFDelta框架，通过独立模型嵌入变更前后代码并执行逐元素减法以捕获细粒度变更，联合训练嵌入与分类模型，在静默漏洞修复检测中显著优于现有方法。
2024-09-25 cs.SE
Improving Automated Secure Code Reviews: A Synthetic Dataset for Code Vulnerability Flaws
针对现有代码审查数据集漏洞样本不足的问题，本文提出利用大语言模型生成漏洞聚焦的合成审查数据集，并计划微调三个现有模型以提升其安全代码审查性能。
2025-04-22 cs.SE
Evaluating the NIST Bugs Framework Against CWE as a Successor for Automated Vulnerability Classification
The University of Alabama（阿拉巴马大学）
本研究评估NIST漏洞框架（BF）作为CWE继任者的可行性，通过专家标注和LLM自动化实验，证明BF在结构化程度和自动化友好性上优于CWE，但存在属性指导不足等空白。
2026-09-16 cs.CR cs.SE
A Sentence-Level Approach to Understanding Software Vulnerability Fixes
本文提出由VulnExtract与VulnTrace组成的端到端句子级追溯方法，将漏洞相关自然语言句子映射到代码语句，实验证明其可有效支持自动化漏洞理解。
2025-03-13 cs.SE
EvalSVA: Multi-Agent Evaluators for Next-Gen Software Vulnerability Assessment
Harbin Institute of Technology（哈尔滨工业大学）；Fudan University（复旦大学）；Peng Cheng Laboratory（鹏城实验室）；Northwestern Polytechnical University（西北工业大学）
EvalSVA提出多智能体评估器框架，利用多个大语言模型协作，在有限数据下提升软件漏洞评估的准确率和F1分数，并构建多语言数据集以支持评估。
2024-12-11 cs.AI cs.SE
An AST-based Code Change Representation and its Performance in Just-in-time Vulnerability Prediction
软件漏洞的存在是软件开发中日益严重的问题。在大多数情况下，当易受攻击的片段被添加到代码库时，期望尽可能早地检测到易受攻击性，优选地以及时的方式。业界很难解决这个问题，因为人工检查成本高昂，而且传统的方法（如基于规则的漏洞检测）不够强大，无法跟上新漏洞出现的步伐。积极研究的机器学习领域可以帮助在这种情况下，模型可以被训练来检测脆弱的模式。然而，机器学习模型只有在数据被适当地表示时才能很好地工作。在我们的工作中，我们提出了一种新的方式来表示源代码中的变化（即代码提交），代码更改树，一种形式，旨在只保留Java源代码的两个抽象语法树之间的差异。我们比较了它在预测代码更改是否会针对多种表示类型引入漏洞方面的有效性，并通过许多机器学习模型作为基线对其进行了评估。评估是在一个新的数据集上完成的，我们使用2阶段数据集生成器方法将其作为我们贡献的一部分。根据我们的评估，我们得出结论，使用代码更改树是一个有效的和有效的选择，以表示源代码的变化，因为它提高了性能。
2023-03-29 cs.SE
