[論文レビュー] How Does Naming Affect LLMs on Code Analysis Tasks?

Zhilong Wang, Lan Zhang+4 more|arXiv (Cornell University)|Jul 24, 2023

Software Engineering Research被引用数 4

ひとこと要約

本稿は、ChatGPT や CodeBERT などの大規模言語モデル（LLM）が、セキュリティ指向のコード解析タスクにおいて命名規則がどのように影響するかを調査する。両モデルは、意味のある変数名、関数名、メソッド名に強く依存しており、名前が匿名化されると性能が著しく低下し、正確性が17–24％まで低下することが判明した。これは、明示的な識別子が存在しない場合、コードの意味論的論理を学習する能力に深刻な制限があることを示している。

ABSTRACT

The Large Language Models (LLMs), such as GPT and BERT, were proposed for natural language processing (NLP) and have shown promising results as general-purpose language models. An increasing number of industry professionals and researchers are adopting LLMs for program analysis tasks. However, one significant difference between programming languages and natural languages is that a programmer has the flexibility to assign any names to variables, methods, and functions in the program, whereas a natural language writer does not. Intuitively, the quality of naming in a program affects the performance of LLMs in program analysis tasks. This paper investigates how naming affects LLMs on code analysis tasks. Specifically, we create a set of datasets with code containing nonsense or misleading names for variables, methods, and functions, respectively. We then use well-trained models (CodeBERT) to perform code analysis tasks on these datasets. The experimental results show that naming has a significant impact on the performance of code analysis tasks based on LLMs, indicating that code representation learning based on LLMs heavily relies on well-defined names in code. Additionally, we conduct a case study on some special code analysis tasks using GPT, providing further insights.

研究の動機と目的

• 大規模言語モデル（LLM）、特に ChatGPT と CodeBERT がセキュリティ指向のコード解析タスクにおいてどの程度有効であるかを評価すること。
• 意味のある変数名、関数名、メソッド名の有無が LLM のパフォーマンスに与える影響を調査すること。
• 明示的な識別子が削除されたり、意味のない文字列に置き換えられても、LLM がコードの意味論的論理を学習できるかどうかを評価すること。
• LLM が表面的な命名を超えてコードの意味論的理解にどの程度強みや限界を示すかを特定すること。
• 研究者および実務家がソフトウェアセキュリティ応用において LLM を信頼できる方法で使用するための実用的イン사이트を提供すること。

提案手法

• ChatGPT がセキュリティ指向のコード解析タスクに対して示す応答を定性的ケーススタディとして実施し、意図的な課題を提示することで推論力と正確性を評価した。
• CodeBERT に対して定量的分析を実施し、変数名、メソッド定義、メソッド呼び出しを体系的に匿名化した。
• 2種類の匿名化戦略を適用して、元のデータセットから8つのバージョンを生成した：「ランダム生成」（意味のない文字列）と「意味的に生成」（文法的に妥当だが意味が誤解を招く名前）。
• 匿名化されたデータセット上で CodeBERT および GraphCodeBERT を再学習し、自然言語コード検索とコードクローン検出の2つの下流タスクでパフォーマンスを評価した。
• 元のデータセットと匿名化されたデータセットの間でモデルの正確性を比較し、明示的命名特徴がモデルパフォーマンスに与える影響を測定した。
• 異なる種類の開発者定義名（変数、メソッド定義、メソッド呼び出し）が削除されたり置き換えられたりした際のパフォーマンス低下を分析した。

実験結果

リサーチクエスチョン

• RQ1 ChatGPT や CodeBERT などの LLM がセキュリティ指向のコード解析タスクにおいて、意味のある変数名、関数名、メソッド名が存在する場合にパフォーマンスに与える影響は何か？
• RQ2 LLM が識別子が匿名化されたコードにどの程度一般化できるか。特に、名前が意味のない文字列や誤解を招く文字列に置き換えられた場合にどうか？
• RQ3 『意味的に生成された』名前（例：'bubble_sort' を 'aes_encryption' に置き換え）は、『ランダムに生成された』名前よりも LLM をより多く誤導するか？
• RQ4 変数、メソッド定義、メソッド呼び出しの各匿名化タイプが、コード検索およびクローン検出タスクにおけるモデル正確性に個別に与える影響は何か？
• RQ5 明示的な識別子が存在しない、あるいはぼかされた状態のコードから、現在の LLM は意味論的論理を効果的に学習できるか？

主な発見

• 変数名がすべて削除され、ランダム生成文字列に置き換えられた場合、CodeBERT のコード検索タスクにおける正確性は、元の Java データセットの70.36％から17.42％に低下した。
• Python のコード検索では、完全な匿名化（ランダム生成名）により正確性が元のデータセットの68.17％から24.09％に低下した。
• クローン検出タスクでは、すべての名前が匿名化された場合、Java では 86.77％、Python では 84.76％ に低下した。これは、元のデータセットの 94.87％ および 94.27％ に比べての低下である。
• 『意味的に生成された』匿名化戦略は、常に『ランダムに生成された』文字列よりもパフォーマンスを悪化させ、誤った意味的ヒントがモデルを誤導する可能性があることを示唆している。
• 本研究は、現在の LLM（例：CodeBERT や GraphCodeBERT）が、コード内の意味的または論理的特徴ではなく、明示的特徴（例：名前）に強く依存していることを確認した。これは、モデルがオブスクリューション攻撃に対して脆弱であることを示している。
• ChatGPT は、名前が意味を持つ場合、高レベルのコード意味論的理解を示したが、曖昧または名前が欠落した文脈では性能が著しく低下した。