PatchSeeker：利用LLM生成的提交记录和嵌入将NVD记录映射至其漏洞修复提交
软件工程
2025-09-10 v1 密码学与安全
摘要
软件漏洞对现代软件生态系统构成严重风险。尽管美国国家漏洞数据库（NVD）是编录这些漏洞的权威来源，但它通常缺乏指向相应漏洞修复提交（VFC）的显式链接。VFC编码了精确的代码变更，能够支持漏洞定位、补丁分析和数据集构建。因此，自动将NVD记录映射到其真实的VFC至关重要。现有方法存在局限性，因为它们依赖于稀疏且通常带有噪声的提交信息，并且无法捕捉漏洞描述中的深层语义。为了解决这一差距，我们提出了PatchSeeker，这是一种利用大型语言模型在漏洞描述与其VFC之间创建丰富语义链接的新方法。PatchSeeker从NVD描述中生成嵌入，并通过为简短或无信息的提交信息合成详细摘要来增强它们。这些生成的摘要充当了语义桥梁，有效地弥合了自然语言报告与底层代码变更之间的信息鸿沟。我们的方法PatchSeeker在基准数据集上，其MRR比表现最佳的基线方法Prospector高出59.3%，Recall@10高出27.9%。对近期CVE的扩展评估进一步证实了PatchSeeker的有效性。消融研究表明，提交信息生成方法和骨干LLM的选择都对PatchSeeker做出了积极贡献。我们还讨论了局限性和开放性挑战，以指导未来的工作。
引用
@article{arxiv.2509.07540,
title = {PatchSeeker: Mapping NVD Records to their Vulnerability-fixing Commits with LLM Generated Commits and Embeddings},
author = {Huu Hung Nguyen and Anh Tuan Nguyen and Thanh Le-Cong and Yikun Li and Han Wei Ang and Yide Yin and Frank Liauw and Shar Lwin Khin and Ouh Eng Lieh and Ting Zhang and David Lo},
journal= {arXiv preprint arXiv:2509.07540},
year = {2025}
}