漏洞推断-利用机器学习辅助发现漏洞

严格识别程序中代码的漏洞是实现和运行系统安全的关键。不幸的是，只有一些类型的漏洞可以自动检测到。虽然软件测试的计算可以加速寻找安全缺陷，但在一般情况下，发现漏洞是一个繁琐的过程，需要大量的专业知识和时间。在本文中，我们提出了一种辅助发现源代码中漏洞的方法。我们的方法是将代码嵌入到向量空间中，并使用机器学习自动确定API使用模式。从已知的漏洞开始，可以利用这些模式来指导代码的审计并识别具有类似特征的潜在的易受攻击的代码——我们称之为漏洞推断。我们通过实验证明了我们的方法在不同的实验中的能力。在与FFmpeg库一起进行的一个案例研究中，我们能够将对关注代码的搜索范围从6,778缩小到20个函数，并发现两个安全缺陷，一个是已知的缺陷，另一个构成“零日漏洞”