语法与编译保持的 LLM 漏洞检测器规避攻击
Syntax- and Compilation-Preserving Evasion of LLM Vulnerability Detectors
论文速读
据论文全文整理（AI 生成），以原文为准
论文提出在保持语法与编译的前提下规避 LLM 漏洞检测器的攻击方法，在统一的 C/C++ 基准（N=5000）上评估六款检测模型，其中五款的完全抵抗率（CR）不高于 13%，即超过 87% 被正确检出的漏洞可被至少一种语法保持编辑规避。
- LLM 漏洞检测器正被大规模部署到 CI/CD 安全门禁中，但它们对保持语法与编译的规避编辑是否稳健尚不清楚。若攻击者能用重命名标识符、加注释、插死代码等无害变换让已标记的漏洞代码通过扫描，自动安全门禁就会失效。
- 作者在统一的 C/C++ 基准（N=5000）上评估四类载体、五种攻击变体，用 GCG 在载体约束下优化通用对抗字符串，并引入 Complete Resistance（CR）衡量能同时抵抗全部攻击变体的比例。评估覆盖白盒、代理迁移黑盒 API 和受限灰盒三种访问假设。
- 六个模型中五个的 CR ≤ 13%，即超过 87% 被正确检出的漏洞可被至少一种保语法编辑规避；CodeAstra 在定向攻击下 CR 仅 0.12%。在 14B 代理上优化的通用字符串可原样迁移到 GPT-4o 等黑盒 API，定向优化最高达 99.88% ASR。三种防御均不充分：清洗只消除注释与预处理载体，随机平滑仅降 1.6–8.9 个百分点，对抗微调把 CR 从 0.13% 提到 3.88% 但清洁 TPR 下降 6.3 个百分点。
- 仅限 C/C++ 与固定提示协议；验证只保证语法与编译层面保持，未证明运行时等价。优化出的字符串常不自然，可能被风格检查或命名规范拦截，而攻击成功率假设没有这类预筛。多随机种子分析只覆盖定向标识符替换，更广的载体与访问机制留待后续。
论文提出在保持语法与编译的前提下规避 LLM 漏洞检测器的攻击方法，在统一的 C/C++ 基准（N=5000）上评估六款检测模型，其中五款的完全抵抗率（CR）不高于 13%，即超过 87% 被正确检出的漏洞可被至少一种语法保持编辑规避。作者用四种载体家族（标识符替换、注释、预处理器宏与 #ifdef、死分支）构造五种攻击变体，在 14B 代理模型上优化的通用对抗字符串可零修改迁移到 GPT-4o 等黑盒 API，定向优化最高攻击成功率达 99.88%。防御方面，输入清洗只消除注释与预处理器载体，随机平滑收益有限（1.6–8.9 个百分点），对抗微调把 CR 从 0.13% 提升到 3.88% 但干净 TPR 下降 6.3 个百分点。
推荐理由论文用语法与编译保持的代码变换攻击，量化了 LLM 漏洞检测器在干净基准高分下的鲁棒性缺口，可供部署检测门禁的团队参考。