[論文レビュー] Software Vulnerability Detection via Deep Learning over Disaggregated Code Graph Representation

Yufan Zhuang, Sahil Suneja+4 more|arXiv (Cornell University)|Sep 7, 2021

Software Engineering Research参考文献 48被引用数 19

ひとこと要約

本論文は、コードの複数の解析済み表現（例：AST、CFG、PDG）を統合した非統合的コードグラフを活用し、深層学習を用いてソフトウェア脆弱性を検出する新しいグラフニューラルネットワーク（GNN）を提案する。多表現集約と細粒度のラベルに依存する損失関数を用いて、プログラムの意味的特徴と構造的特徴を統合することで、2つの実世界のデータセットにおいて、テキスト、画像、一般化されたグラフベースの手法を上回る優れた検出精度を達成した。

ABSTRACT

Identifying vulnerable code is a precautionary measure to counter software security breaches. Tedious expert effort has been spent to build static analyzers, yet insecure patterns are barely fully enumerated. This work explores a deep learning approach to automatically learn the insecure patterns from code corpora. Because code naturally admits graph structures with parsing, we develop a novel graph neural network (GNN) to exploit both the semantic context and structural regularity of a program, in order to improve prediction performance. Compared with a generic GNN, our enhancements include a synthesis of multiple representations learned from the several parsed graphs of a program, and a new training loss metric that leverages the fine granularity of labeling. Our model outperforms multiple text, image and graph-based approaches, across two real-world datasets.

研究の動機と目的

• 静的解析における不正なコードパターンの手動での特定の課題に対処し、機械学習を用いて自動検出を実現すること。
• コードのグラフ表現を用いて、意味的文脈と構造的規則性の両方を捉えることで、脆弱性検出を向上させること。
• 一般化されたGNNの限界を克服し、解析済みコードグラフの複数表現の集約を導入すること。
• 細粒度のラベルに依存する新しいトレーニング損失関数を導入することで、モデルの性能を向上させること。

提案手法

• 1つのプログラムから複数の解析済みコードグラフ（例：AST、CFG、PDG）を構築し、非統合的表現を生成する。
• 複数のグラフタイプに跨るノード埋め込みを統合することで、特徴学習を豊かにするGNNを採用する。
• 学習可能なアテンションメカニズムを用いて、異なるグラフタイプからの表現を統合し、関連する構造的・意味的特徴を強調する。
• ノードごとの脆弱性ラベルを組み込んだ新しいトレーニング損失関数を導入し、最適化中に細粒度の監視を可能にする。
• クラスの不均衡に対応するため、交差エントロピー損失に重み付けを施した上で、脆弱性ラベル付きのコードコーパスをエンドツーエンドでトレーニングする。
• フレームワークは2つの実世界のデータセットで評価され、テキストベース、画像ベース、標準的なGNNモデルと性能を比較した。

実験結果

リサーチクエスチョン

• RQ1 複数の解析済みコードグラフを統合した深層学習モデルは、単一グラフまたはテキストベースのアプローチを上回る脆弱性検出を達成できるか？
• RQ2 ノードごとの細粒度の脆弱性ラベルを組み込むことで、粗い粒度のラベルと比較してモデル性能はどのように向上するか？
• RQ3 複数表現の集約は、脆弱性を示す意味的・構造的パターンを捉える能力をどの程度向上させるか？
• RQ4 ノードごとの監視を組み込んだ提案された損失関数は、一般化性能と検出精度を向上させるか？
• RQ5 実世界の脆弱性検出ベンチマークにおいて、F1スコア、適合率、再現率の観点から、本モデルは最先端の手法と比較してどの程度優れているか？

主な発見

• 提案されたモデルは2つの実世界のデータセットで最先端の性能を達成し、テキストベース、画像ベース、一般化されたGNNアプローチを上回った。
• AST、CFG、PDG表現を統合した非統合的コードグラフの使用により、検出精度が顕著に向上した。
• ノードごとの脆弱性ラベルを活用する細粒度の損失関数は、モデルの一般化能力を向上させ、誤検出を低減した。
• モデルは多様なプログラミング言語や脆弱性タイプにわたり、強固な性能を示し、優れた一般化能力を示した。
• アブレーションスタディにより、複数表現の統合とカスタム損失関数の両方が、性能向上に顕著な寄与をしていることが確認された。