在混沌中建立秩序：人工智能在安全软件工程中的作用

背景：开发安全可靠的软件仍然是软件工程（SE）中的关键挑战。不断发展的技术格局既带来机遇也带来威胁，创造了一个混沌与秩序相互竞争的动态空间。安全软件工程（SSE）必须持续应对危及软件系统的漏洞，这些漏洞还带来更广泛的社会经济风险，例如危及关键国家基础设施并造成重大经济损失。研究人员和实践者探索了诸如静态应用安全测试工具（SASTT）和人工智能（AI）方法（包括机器学习（ML）和大语言模型（LLM））来检测和缓解这些漏洞。每种方法都有独特的优势和局限性。目标：本论文旨在通过解决影响AI准确性的领域特定差异，为SSE中的混沌带来秩序。方法：研究采用混合实证策略，如评估工作量感知指标、分析SASTT、进行方法级分析以及利用基于证据的技术（如系统数据集审查）。这些方法有助于刻画漏洞预测数据集的特征。结果：主要发现包括静态分析工具在识别漏洞方面的局限性、SASTT对漏洞类型的覆盖缺口、漏洞严重性评分之间的弱关系、使用即时建模提高缺陷预测准确性以及未触及方法带来的威胁。结论：本论文强调了SSE的复杂性以及上下文知识在改进AI驱动的漏洞和缺陷预测中的重要性。全面的分析推进了有效的预测模型，使研究人员和实践者都受益。