Common Weakness Enumeration
PulseAugur coverage of Common Weakness Enumeration — every cluster mentioning Common Weakness Enumeration across labs, papers, and developer communities, ranked by signal.
6 天有情绪数据
-
新的CryptoBench数据集测试LLM代码审查中的加密滥用
一个名为CryptoBench的新数据集已被开发出来，用于评估大型语言模型（LLMs）检测代码中加密API滥用的能力。该数据集包含54个Python代码片段，包括易受攻击和安全的示例，并按常见的弱点枚举进行分类。对七个开源模型的初步测试显示，虽然一些模型检测率很高，但许多模型也会错误地将安全代码标记为易受攻击，这表明其区分能力不足。该数据集及相关的分析脚本已公开提供，以供进一步测试和研究。
-
新的VulDec框架使用神经反编译进行二进制漏洞检测
研究人员推出了一种新颖的VulDec框架，该框架通过采用神经反编译来检测二进制可执行文件中的漏洞。这种方法利用大型语言模型从汇编代码中恢复源代码级别的代码，从而解决了在没有源代码访问权限的情况下分析代码的挑战。该框架包含一个新数据集，该数据集在各种架构上将汇编-C函数对与通用弱点枚举（CWE）注释对齐。VulDec的神经反编译程序实现了显著的源代码级别恢复，其检测器在真实测试数据上达到了0.61的宏观F1分数。
-
EntailLLM框架通过逻辑编程验证LLM代理漏洞发现
研究人员开发了EntailLLM，一个旨在提高大型语言模型代理在识别软件漏洞方面的可靠性的框架，特别是在医疗设备等安全关键应用中。该系统使用逻辑编程根据独立的领域知识验证代理生成的漏洞路径。在对各种通用弱点枚举类别和二进制文件大小的评估中，EntailLLM将蕴含率从77%提高到98%，证明了其有效性并提供了形式逻辑验证。
-
OpenRouting 使用 Claude LLM 对安全漏洞进行分类
OpenRouting 开发了一个系统，该系统使用通过 Amazon Bedrock 访问的 Claude 来对静态分析安全测试 (SAST) 工具的发现进行分类。LLM 不仅依赖模式匹配，还会根据其特定的代码上下文评估每个发现的可利用性。发现会根据其类型（如 SQL 注入或 LDAP 注入）路由给专门的审查员，并且指纹识别机制可防止重复问题的再分析，从而节省成本。
-
新的 SecGent 框架增强了 LLM 代码的安全性和功能性
一个名为 SecGent 的新框架已被开发出来，旨在提高大型语言模型生成代码的安全性，同时不牺牲功能性。该框架从通用弱点枚举 (CWE) 数据库中检索相关的安全信息，并利用这些信息来指导代码生成。与其他的推理时方法甚至专门的提示技术相比，SecGent 已展现出卓越的性能，在多种编程语言和 LLM（包括 Claude Sonnet 5.5）上实现了高联合功能-安全成功率。
-
新工具静态扫描GGUF模型文件中的安全漏洞
Munim, Inc.发布了一款新工具gguf-scan.py，旨在加载GGUF模型文件之前静态识别其中潜在的安全漏洞。该工具专注于检测文件头中的整数溢出错误，这些错误已导致llama.cpp、Ollama和LM Studio等各种GGUF解析器出现堆越界写入或读取问题。此次发布包含一份已知的GGUF通用弱点枚举（CWE）的全面映射，以及一套仅包含头文件的测试文件，以帮助开发人员对其GGUF解析器进行回归测试。
-
AI生成的代码在新基准测试中显示出重大的安全漏洞
一个新的基准测试，即最后的安全代码基准（Last Secure Code Benchmark），已被开发出来，用于评估AI编码代理生成的代码的安全性。该基准测试包含七种编程语言和众多通用弱点枚举（CWEs）的450个任务，揭示了AI生成的代码存在重大的安全漏洞。即使是表现最好的代理Claude Fable 5，也只能完成25.1%任务的功能性和安全性代码，这凸显了对AI辅助代码开发的安全影响的担忧。
-
新基准测试AI代理定位软件漏洞的能力
研究人员推出了Vulnerability Localization Benchmark (VLoc Bench)，这是一个新的数据集，旨在评估AI代理在软件仓库中识别与安全漏洞相关的特定代码位置的能力。该基准包含290个仓库和147个通用弱点枚举 (CWE) 类别的500个真实世界漏洞，测试代理精确定位受影响文件的能力。对27个语言模型和4个静态分析工具的初步评估显示，仓库规模的漏洞定位仍然是一个重大挑战，表现最好的系统仅达到0.22…
-
AI代码生成安全性通过新基准和动态测试进行评估
两篇新的研究论文探讨了使用AI模型生成安全代码的挑战。第一篇论文介绍了CodeSecEval，一个用于评估安全代码生成的基于执行的基准测试，并提出了SecAwareCoder，一个旨在默认生成更安全代码的基于代理的框架。第二篇论文研究了“静态通过，动态失败”现象，即通过静态分析工具的代码在运行时仍然包含可利用的漏洞，尤其是在AI生成的Python代码中。这项研究强调了静态分析的局限性，并表明需要更动态和全面的安全评估方法。
-
新框架将漏洞历史转化为可执行的检测规则
研究人员开发了 BUGSTONE-E2E，一个旨在将历史漏洞数据转化为可执行检测规则的框架。该系统挖掘修复提交以创建可重用规则，然后通过多阶段检测管道进行处理。该管道最初使用轻量级分析，然后使用基于 LLM 的代理对潜在漏洞进行更深入的检查。该框架旨在使过去的漏洞信息在自动化检测和修复方面更具可操作性。
-
新框架可实现对AI生成代码的定向投毒
研究人员开发了一个名为CodePoisonRAG的新框架，该框架可以向检索增强代码生成（RACG）系统生成的代码中注入特定的漏洞。该框架通过将良性代码转换为有毒的伪造品来工作，即使攻击者无法访问受害者的内部系统，这些伪造品也能与攻击者选择的弱点相符。这些有毒的伪造品被设计成在语义上被错误标记，看起来是安全的，但实际上包含漏洞。实验表明，在不同代码生成模型甚至针对CodeGuarder等安全系统传播这些定向弱点方面，成功率很高。
-
Athena系统利用知识图谱识别易受攻击的软件库
研究人员开发了Athena，一个新颖的基于图的系统，用于识别受软件漏洞影响的库。与将漏洞数据视为孤立文本的先前方法不同，Athena将此信息建模为知识图谱。该系统利用知识图谱补全技术来预测给定漏洞的缺失受影响库的详细信息。最终的重新排序模块通过结合图嵌入和LLM分析，进一步优化了这些预测，显著优于现有的最先进方法。
-
Anthropic 将先进的 Claude Mythos 5 集成到 Claude Security 中，用于企业漏洞扫描
Anthropic 已将其先进的 Claude Mythos 5 模型集成到其 Claude Security 产品中，为企业客户提供增强的漏洞扫描功能。此新功能允许团队扫描 GitHub 存储库中的代码缺陷，模型可在不授予对强大 AI 的直接访问权限的情况下提供详细的发现和建议的补丁。此打包旨在减轻与模型强大的网络安全技能相关的风险，防止其被滥用于生成漏洞利用。此外，Anthropic 还启动了 Defender Advantage…
-
新代理检测 RAG 系统中的错误信息
研究人员开发了一个“评估代理”（Evaluation Agent），以解决检索增强生成（RAG）系统中的安全性和可靠性差距。该代理充当中间件，通过验证事实准确性并识别恶意文档，在它们影响大型语言模型（LLM）的输出之前，检测错误信息和知识中毒。该系统在检测某些类型的攻击方面取得了很高的准确率和精确率，尽管细微的语义操纵仍然具有挑战性。
-
新的CTIFoundry语料库脚手架提升LLM代理的网络威胁情报能力
研究人员推出CTIFoundry，一个旨在增强LLM代理在网络威胁情报（CTI）方面能力的新语料库脚手架。该系统通过从CVE、CWE、CAPEC和ATT&CK等权威知识库创建本体图谱，并使用规范实体索引威胁报告来构建CTI数据。CTIFoundry通过专门的工具和技能为代理提供结构化信息访问，从而提高调查的准确性和效率。
-
AI代码生成管道应对安全漏洞
一篇新的研究论文介绍了一个自动化管道，旨在检测和修复由AI开发工具生成的代码中的安全漏洞。该管道处理来自LLM生成提示的代码，使用CodeQL和Bandit等工具进行扫描，并利用LLM来验证和修复发现的问题。对四种Claude模型（Opus 4.8、Sonnet 4.6、Sonnet 5和Haiku 4.5）的评估显示，静态分析器发现的问题显著减少，尽管修复有时会引入新的漏洞。
-
新的VICBench基准评估代码漏洞检测工具 · 已追踪2个来源
研究人员推出了VICBench，一个旨在评估代码漏洞检测工具的新基准。该基准包含100个经过验证的、在Python、Java和C++的88个项目中引入漏洞的提交（VICs），涵盖48种通用弱点枚举（CWE）类型。VICBench的特点是复杂的、真实的漏洞修复及其对应的VICs，这些VICs比先前数据集中的要大得多。使用VICBench进行的评估表明，V-SZZ和LLM4SZZ等当前最先进的算法仅获得中等F1分数，凸显了在自动化漏洞检测…
-
新的 AVE 标准解决了 AI Agent 行为漏洞分类问题
一种名为 AVE（Agentic Vulnerability Enumeration）的新开放标准已被开发出来，用于对 AI Agent 的行为漏洞进行分类，填补了现有系统（如 CVE 和 CWE）留下的空白。这些传统系统对于 Agentic AI 来说是不够的，因为它们是为代码特定漏洞设计的，而不是 AI 组件（如 MCP 服务器或 LLM 插件）中发现的行为模式。AVE 为这些独特的漏洞提供了稳定的、厂商中立的 ID 和详细描述，…
-
新分类器将 CVE 映射到 MITRE ATT&CK 技术，LLM 标签显示无益处
研究人员开发了一个可复现的流程，使用自由文本描述将常见漏洞和暴露 (CVE) 映射到 MITRE ATT&CK Enterprise 技术。他们基于专家标注数据构建的自定义训练分类器，其性能显著优于零样本基线。对使用 LLM 辅助标签扩展此数据集的调查显示，此类标签并未提供可靠的改进，甚至可能降低性能，这表明标签质量而非仅仅是数据集大小，是分类器准确性的关键因素。
-
新训练方法提升 AI Python 漏洞预测能力
研究人员开发了一种新的方法来训练 AI 模型预测 Python 代码中的软件漏洞，特别关注通用弱点枚举 (CWE) 分类法。他们发现，直接使用层级惩罚作为训练信号，尤其是在强化学习中，在分布变化下显著优于监督方法。该方法在特定数据集上成功将 Qwen2.5-Coder-7B 模型的惩罚降低了 25% 以上，达到了与更大规模的零样本模型相当的性能。