基于深度学习的软件漏洞智能检测机制研究

Software system is an important part of cyberspace. Its own vulnerabilities have brought serious security threats to cyberspace. Vulnerability detection based on source code with rich semantic information has been widely used by code reviewers to discover software vulnerabilities. However, the traditional vulnerability detection approaches based on source code are not only subjective, but also difficult to achieve lower false positive rates and false negative rates. Therefore, based on a large number of known vulnerable source code, introducing the artificial intelligence to vulnerability detection becomes a trend in the future, because it can extract vulnerability patterns automatically and can reduce the false positive rate and false negative rate of vulnerability detection. The studies of this project include: 1) the generation mechanism of fine-grained candidate vulnerable code segments, which provides data support for deep learning based on syntax and semantics; 2) labeling the candidate vulnerable code segments, to construct a large scale dataset of candidate vulnerable code segments covering various types of vulnerabilities; 3) intelligent learning of vulnerability patterns, to propose an efficient deep learning-based vulnerability detection model oriented to the data characteristics of vulnerable code; 4) vulnerability detection and the optimization of deep learning models, to provide the comprehensive vulnerability information and further improve the effectiveness of the model through the optimization of deep learning models. The project will transfer the vulnerability detection of software source code from relying on experts to define vulnerability patterns to generating vulnerability patterns automatically and intelligently, and greatly improve the effectiveness of vulnerability detection.

软件系统是网络空间的重要组成部分，其本身的漏洞给网络空间带来了严重的安全威胁。基于含有丰富语义信息源代码的漏洞检测，已被软件代码审查人员广泛用来发现软件漏洞。然而传统方法不仅主观性强，而且难以达到较低的误报率和漏报率，因此利用大量已知源代码漏洞数据，引入人工智能进行漏洞模式的自动提取，降低误报率和漏报率，成为未来软件漏洞检测的发展趋势。拟开展以下研究：1）细粒度候选漏洞代码段生成机制，基于语法和语义两个层面为深度学习提供数据支撑；2）候选漏洞代码段标注策略，构建涵盖各种类型漏洞的大规模候选漏洞代码段标注数据集；3）漏洞模式智能化学习，提出面向漏洞代码数据特性的有效漏洞检测深度学习模型；4）漏洞检测与模型优化，提供全面的漏洞检测信息，并通过模型优化改进漏洞检测效果。项目研发成功将实现软件源代码漏洞检测从漏洞模式专家手工定义向自动生成转变，并且显著提高漏洞检测的有效性。

软件是网络空间的一个重要组成部分，开源软件已成为软件系统开发的重要来源，开源软件中的漏洞随着开源软件的使用而广泛传播，给网络空间带来了严重的安全威胁。本项目对基于深度学习的软件漏洞检测机制开展研究，完成的主要工作包括：（1）面向各种类型漏洞，将深度学习技术引入到切片级细粒度源代码漏洞检测领域，提出了基于深度学习的软件漏洞检测框架SySeVR，生成基于语法的候选漏洞代码、基于语义的候选漏洞代码和候选漏洞代码的向量表征；（2）提出了基于中间代码的细粒度软件漏洞智能检测与定位系统，通过中间代码来容纳更多的语义信息，基于中间代码生成候选漏洞代码，提出扩展的双向循环神经网络，实现细粒度漏洞检测与定位；（3）提出了一种表示漏洞位置的边界框漏洞代码标注策略，基于边框回归构建深度学习漏洞检测模型，从程序中提取特征，通过程序的整体特征直接预测出表示漏洞位置的边界框，进行端对端的优化，提高了定位精度；（4）提出了面向软件漏洞验证的虚拟机放置策略与实时迁移方法，通过限制用户间同驻次数和多目标优化，保障关键数据安全性，有效改善软件漏洞检测结果自动验证过程中的虚拟机安全问题；（5）针对漏洞检测源代码分类模型，提出了基于Q-Learning的马尔科夫决策过程的对抗样本生成方法，对源代码结构进行语义上的等效转换，通过对抗训练优化模型健壮性。基于上述成果，研发了基于深度学习的软件漏洞检测原型系统，实现了软件源代码漏洞检测从漏洞模式专家手工定义向自动生成转变，并且显著提高漏洞检测的有效性，目前正积极推进成果转化。.在本项目资助下，发表论文8篇，包括3篇SCI检索论文，5篇EI检索论文，其中包括2篇CCF A类国际期刊IEEE Transactions on Dependable and Secure Computing，申请1项国家发明专利。在国内学术会议上作大会特邀报告1次，在国际学术会议上作主题报告2次，邀请国内外专家进行学术交流4次。依托于本项目，4位硕士生已毕业，在读硕士生8人。