← أحدث الأبحاث
💻 علوم الحاسوب

SemanticVul: Evidence-Grounded Structured LLM Explanations for Vulnerability Detection

يُعد SemanticVul إطار عمل قابلاً للتكرار للكشف عن الثغرات الأمنية في لغتي C/C++، حيث يستفيد من التفسيرات الدلالية المولدة محلياً والمستندة إلى أدلة لتحسين الدقة واستدعاء الفئات الأقلية بشكل كبير مقارنة بالنماذج المرجعية الحالية، مع التحقق بصرامة من الادعاءات من خلال مطابقة الكود الحتمية وتدقيق مجموعة البيانات.

المؤلفون الأصليون: Abdul Razak, Ihtesham Ul Islam, Rabia Khan

نُشر 2026-10-15
📖 4 دقيقة قراءة☕ قراءة في استراحة قهوة
CC BY 4.0

المؤلفون الأصليون: Abdul Razak, Ihtesham Ul Islam, Rabia Khan

البحث الأصلي مرخَّص بموجب CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/). ✨ هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل

تُعد الثغرات البرمجية بمثابة الشقوق الخفية في العالم الرقمي، وهي أخطاء صغيرة في الكود تسمح للمهاجمين باختراق الأنظمة، أو سرقة البيانات، أو إحداث الفوضى. ولأن البرمجيات الحديثة تُكتب بأحجام هائلة، وغالباً بلغات مثل C وC++ التي تتميز بالقوة ولكنها عرضة لهذه الأخطاء، لا يمكن للخبراء البشريين قراءة كل سطر من الممكنات للعثور على نقاط الضعف. ولمواكبة ذلك، لجأ الباحثون إلى الذكاء الاصطناعي، وتحديداً النماذج اللغوية الكبيرة، وهي برامج حاسوبية مدربة على كميات هائلة من النصوص والأكواد لفهم الأنماط والمعاني. يمكن لهذه النماذج قراءة قطعة من البرمجيات وشرح ما تفعله، مما يوفر طريقة جديدة لرصد العيوب الخطيرة تلقائياً. ومع ذلك، ظهرت مشكلة كبيرة: فعندما تُطلب من هذه النماذج شرح كود معين، فإنها أحياناً تخترع تفاصيل ليست موجودة أو تكشف الإجابة بالخطأ قبل انتهاء التحليل، مما يجعل مساعدتها غير موثوقة للأعمال الأمنية الحرجة.

قام فريق من الباحثين في الجامعة الوطنية للعلوم والتكنولوجيا في باكستان بتطوير نظام جديد يسمى SemanticVul لحل هذه المشكلة. وبدلاً من الاعتماد على خدمات الذكاء الاصطناعي التجارية المكلفة التي تولد نصوصاً حرة وغير موثقة، يستخدم نظامهم نموذجاً مفتوح المصدر يعمل محلياً لإنتاج تفسيرات مهيكلة وقائمة على الأدلة. وقد بنى الباحثون مسار عمل (pipeline) يجب على الذكاء الاصطناعي فيه الإشارة إلى أسطر محددة من الكود ليدعم كل ادعاء يقدمه حول خطر أمني. وإذا لم يتمكن الذكاء الاصطناعي من العثور على الكود الذي يتحدث عنه، يقوم النظام باستبعاد ذلك الادعاء. ثم اختبروا هذا النهج على مجموعتين رئيسيتين من وظائف البرمجيات الواقعية، تُعرفان باسم Devign وReveal، لمعرفة ما إذا كان هذا النهج القائم على الأدلة والمدعوم بالبينات يمكنه العثور على ثغرات أكثر من التقنيات السابقة.

تظهر النتائج أن هذا النهج الدقيق الذي يضع الأدلة أولاً يعمل بشكل أفضل بكثير من الطرق القياسية المستخدمة حالياً. ففي مجموعة بيانات Reveal، التي تحتوي على عدد قليل جداً من الوظائف الضعيفة وسط الكثير من الوظائف الآمنة، نجح النظام الجديد في تحسين القدرة على إيجاد تلك الوظائف الخطيرة والنادرة من حوالي 40 بالمئة إلى 63 بالمئة. ويعد هذا تحسناً حاسماً لأن تفويت ثغرة في نظام واقعي يمكن أن يكون كارثياً. كما تمكن النظام من مضاعفة عدد المرات التي ربط فيها تحذيراته بشكل صحيح بقطع الكود الفعلية، مع تقليل عدد المرات التي قام فيها بالهلوسة أو اختراع مراجع للكود إلى النصف. ومن خلال إجبار الذكاء الاصطناعي على الالتزام بالحقائق الموجودة في الكود واستبعاد أي لغة قد تكشف الإجابة عن غير قصد، خلق الباحثون أداة أكثر موثوقية وفعالية للتحليل الأمني.

استكشف الباحثون أيضاً أفضل طريقة لدمج بيانات الكود الخام مع هذه التفسيرات الجديدة. واختبروا ثلاث طرق مختلفة لدمج هذه المعلومات: استخدام الكود وحده، وخلط الكود والتفسير بطريقة ثابتة، واستخدام "مفتاح ذكي" يقرر لكل قطعة كود مقدار الوزن الذي يجب إعطاؤه للتفسير. وبينما حقق المفتاح الذكي أداءً أفضل قليلاً في بعض الاختبارات الأولية، إلا أن هذا التحسن لم يكن متسقاً بما يكفي لاعتباره طفرة حاسمة. وكانت النتيجة الأكثر موثوقية هي أن قناة التفسير نفسها - الجزء الذي يقدم الاستدلال القائم على الأدلة - كانت المحرك الرئيسي للنجاح. لقد أثبت النظام أنه عندما تجرد من التخمين وتجبر الذكاء الاصطناعي على ترسيخ استدلاله في النص الفعلي للبرنامج، فإنه يصبح كاشفاً أقوى للعيوب الأمنية.

علاوة على مجرد العثور على الأخطاء، كشفت الدراسة أيضاً عن مشكلات في مجموعات البيانات المستخدمة لتدريب واختبار هذه الأنظمة. فقد وجد الباحثون أن بعض المعايلات المرجعية القياسية تحتوي على أكواد مكررة ذات تسميات متضاربة، حيث يتم تصنيف نفس الوظيفة على أنها آمنة وخطيرة في أجزاء مختلفة من البيانات. هذا النوع من الخطأ يمكن أن يخدع الكمبيوتر بجعله يعتقد أنه تعلم شيئاً لم يتعلمه في الواقع. ومن خلال تدقيق مجموعات البيانات هذه وتنقية التناقضات، ضمن الفريق أن نتائجهم مبنية على تعلم حقيقي وليس مجرد حفظ للأخطاء. إن هذا الاهتمام بجودة البيانات، جنباً إلى جنب مع الطريقة الجديدة لتوليد التفسيرات، يشير إلى مسار مستقبلي لبناء أدوات أمنية أكثر موثوقية لا تكتفي بالتخمين، بل تفهم بالفعل الكود الذي تحميه.

غارق في أبحاث مجالك؟

تصلك نشرة يومية بأحدث الأبحاث المطابقة لكلماتك البحثية المفتاحية — مع ملخصات تقنية، بلغتك.

جرّب Digest →

أبحاث مشابهة

عرض الكل في هذا التصنيف 💻 cs →