[论文解读] Artificial Intelligence Techniques for Security Vulnerability Prevention

Steve Kommrusch|arXiv (Cornell University)|Dec 14, 2019

Advanced Malware Detection Techniques参考文献 17被引用 5

一句话总结

本文综述了人工智能技术——特别是机器学习和自然语言处理（NLP）——在软件部署前检测和预防安全漏洞的应用。该研究将方法分类为漏洞检测、修复和规格分析三类，表明尽管人工智能可将人工审查工作量减少高达95%，但其仍仅为辅助工具，而非严格开发实践的替代品。

ABSTRACT

Computer security has been a concern for decades and artificial intelligence techniques have been applied to the area for nearly as long. Most of the techniques are being applied to the detection of attacks to running systems, but recent improvements in machine learning (for example, in natural language processing) have enabled the opportunity to process software and specifications to detect vulnerabilities in a system before it is deployed. This paper presents a survey of artificial intelligence techniques (including machine learning) to detect or repair security vulnerabilities before product introduction. In the surveyed papers, techniques are presented for using NLP to analyze requirements documents for security standard completeness, performing neural fuzz testing of software, generating exploits to detect risk, and more. We categorize current techniques into 3 groups: vulnerability detection, vulnerability repair, and specification analysis. Generally, while AI techniques have become quite useful in this area, we show that AI techniques still tend to be limited in scope, providing a collection of tools which can augment but not replace careful system development to reduce vulnerability risks.

研究动机与目标

• 识别并分类用于在软件部署前预防安全漏洞的人工智能驱动方法。
• 评估人工智能技术在检测源代码、二进制代码和系统规格中漏洞方面的有效性。
• 评估人工智能在自动化和改进早期安全分析（包括需求和设计文档）方面的潜力。
• 确定当前人工智能方法在替代安全软件开发中人类专业知识方面的局限性。

提出的方法

• 采用基于调查的方法，分析2008年至2018年间的同行评审与非同行评审文献，聚焦人工智能在漏洞预防中的应用。
• 将技术分类为三个领域：漏洞检测（如代码属性图、神经模糊测试）、修复（如学习代码转换）和规格分析（如对需求文档进行NLP分析）。
• 应用NLP技术，如词性标注、命名实体识别和语义图构建，分析移动应用的应用描述和权限信息。
• 采用支持向量机（SVM）、决策树和神经网络等机器学习模型，基于代码属性图和安全标准概念图进行训练。
• 使用无监督学习和聚类技术进行代码中的异常检测，一项研究中使人工审查需求减少95%。
• 利用概念图和神经网络将软件需求文档与ISO、OWASP和PCI安全标准进行对比，以检测缺失的安全控制措施。

实验结果

研究问题

• RQ1 人工智能技术如何用于在部署前检测源代码中的安全漏洞？
• RQ2 人工智能在自动修复软件中已识别的安全缺陷方面，其自动化程度如何？
• RQ3 自然语言处理（NLP）能否有效用于分析安全需求文档，以评估其完整性和与安全标准的一致性？
• RQ4 当前基于人工智能的方法在替代安全软件开发中人类专业知识方面存在哪些局限性？

主要发现

• 在一项研究中，无监督学习与聚类技术使需人工审查的代码段数量减少了95%，表明其在漏洞检测中具有极高效率。
• 基于NLP的需求文档分析在对比ISO和OWASP标准时，检测缺失安全控制措施的准确率达到89%。
• 将代码属性图嵌入向量空间的技术，使机器学习能够有效检测具有漏洞的代码模式。
• 基于深度学习的神经模糊测试和漏洞利用生成技术，在识别软件中先前未知的漏洞方面展现出良好前景。
• 尽管人工智能技术显著减少了人工工作量，但其应用范围仍有限，尚无法完全替代严谨的系统设计和人工代码审查。
• 利用概念图和NLP进行规格分析，可弥合用户期望与应用权限之间的差距，降低移动应用部署中的风险。