🤖 machine learning

ANVIL: Anomaly-based Vulnerability Identification without Labelled Training Data

Das Papier stellt ANVIL vor, ein unüberwachtes Framework zur Erkennung von Schwachstellen, das Large Language Models nutzt, um Code-Anomalien durch maskierte Rekonstruktion und einen hybriden Scoring-Mechanismus zu identifizieren, wobei es eine überlegene Leistung gegenüber überwachten Detektoren demonstriert und bei der Integration mit Fuzzern erfolgreich zuvor unbekannte Schwachstellen aufdeckt.

Ursprüngliche Autoren: Weizhou Wang, Eric Liu, Xiangyu Guo, Xiao Hu, Ilya Grishchenko, David Lie

Veröffentlicht 2026-06-30

📖 4 Min. Lesezeit☕ Kaffeepausen-Lektüre

CC BY 4.0

Ursprüngliche Autoren: Weizhou Wang, Eric Liu, Xiangyu Guo, Xiao Hu, Ilya Grishchenko, David Lie

Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen

Stellen Sie sich vor, Sie versuchen, einen einzelnen, leicht beschädigten Ziegelstein in einer riesigen Mauer aus Millionen perfekter Ziegelsteine zu finden.

Das Problem: Das „Münzwurf“-Dilemma
Normalerweise benötigen Sie ein Team von Experten, die tausende beschädigte Beispiele studiert und genau gelernt haben, wie diese aussehen. So funktionieren die meisten aktuellen Computerprogramme: Sie sind „überwachte Lerner“ (supervised learners). Aber es gibt ein riesiges Problem: Wir verfügen nicht über genügend Beispiele für fehlerhaften Code, um sie richtig zu lehren.

Kürzlich gab es diese superintelligenten KI-Modelle (genannt Large Language Models oder LLMs), die fast jeden jemals geschriebenen Code gelesen haben. Man könnte denken: „Großartig! Sie haben schon alles gesehen, also müssen sie auch in der Lage sein, Fehler zu erkennen.“ Aber überraschenderweise sind sie, wenn man sie einfach fragt: „Ist diese Zeile Code fehlerhaft?“, nicht besser als ein Münzwurf. Sie sind großartig darin, Code zu schreiben, aber schlecht darin, ihn zu kritisieren, weil sie darauf trainiert wurden, Muster zu imitieren, und nicht darauf, Fehler zu entdecken.

Die Lösung: ANVIL (Das „Finde den Unterschied“-Spiel)
Die Forscher hinter dieser Arbeit, ANVIL, beschlossen, das Blatt zu wenden. Anstatt zu versuchen, der KI beizubringen, wie ein „fehlerhafter“ Code aussieht, fragten sie: „Was denkt die KI, wie eine normale Zeile Code aussehen sollte?“

So funktioniert ANVIL, unter Verwendung einer einfachen Analogie:

Das Maskierungsspiel: Stellen Sie sich vor, Sie nehmen einen Satz aus einer Geschichte und verdecken eine Zeile mit einem schwarzen Marker. Dann fragen Sie die KI, was die verborgene Zeile war, basierend nur auf den Sätzen vor und nach ihr.
Die Erwartung: Wenn die verborgene Zeile eine normale, standardmäßige Codezeile ist, wird die KI sie wahrscheinlich korrekt erraten (oder ihr sehr nahe kommen), weil sie dieses Muster schon eine Million Mal gesehen hat.
Die Anomalie: Wenn die verborgene Zeile eine „vulnerable“ (fehlerhafte) Zeile Code ist, ist sie wahrscheinlich seltsam oder ungewöhnlich im Vergleich zum Rest der Trainingsdaten. Die KI wird Schwierigkeiten haben, sie zu erraten. Sie könnte etwas völlig anderes raten oder sich sehr unsicher sein.
Der Score: ANVL misst, wie sehr sich die Vermutung der KI von der ursprünglichen Zeile unterscheidet. Wenn die Vermutung weit daneben liegt oder die KI verwirrt scheint, markiert ANVIL diese Zeile als „anomal“ (verdächtig).

Der „hybride“ Detektiv
Die Forscher erkannten, dass es nicht ausreicht, nur den Unterschied zu messen. Manchmal ist ein winziger Unterschied (wie die Änderung von > zu >=) ein riesiger Fehler, aber die KI hält es vielleicht nicht für eine große Sache. Deshalb entwickelten sie einen „Hybrid-Score“, der wie ein Detektiv mit vier verschiedenen Werkzeugen fungiert:

Exakter Treffer (Exact Match): Hat die KI es zu 100 % richtig gemacht? Wenn nicht, ist das ein Warnsignal.
Verwirrungsmesser (Confusion Meter): Wie unsicher war sich die KI? Wenn die KI sich nicht festlegen kann, könnte der Code seltsam sein.
Komplexitätsprüfung (Complexity Check): Ist die Codezeile übermäßig kompliziert? Komplexer Code ist oft der Ort, an dem sich Fehler verstecken.
Der „Loss“-Score: Ein mathematisches Maß dafür, wie „überrascht“ die KI von der ursprünglichen Zeile war.

Die Ergebnisse: Die Nadel im Heuhaufen finden
Das Team testete ANVIL auf einem massiven Datensatz von realem Code.

Die Experten schlagen: Sie verglichen ANVIL mit den besten existierenden Werkzeugen, die tatsächlich Trainingsdaten benötigen. Obwohl ANVIL keine Trainingsdaten verwendete, fand es Schwachstellen doppelt so genau wie die anderen.
Der Kontext-Trick: Sie fanden heraus, dass es die KI verwirrte, wenn man ihr die ganze Datei zum Lesen gab (wie zu versuchen, eine Nadel im Heuhaufen zu finden, indem man die ganze Scheune betrachtet). Stattdessen nutzt ANVIL einen „Smart Context“-Ansatz: Es betrachtet nur den spezifischen Codeblock (die Funktion), der die verdächtige Zeile umgibt. Dies machte es schneller und genauer.
Erfolg in der realen Welt: Um zu beweisen, dass es in der realen Welt funktioniert, koppelten sie ANVIL an einen „Fuzzer“ (ein Werkzeug, das versucht, Software durch das Werfen von Zufallsdaten zu brechen). ANVIL half dem Fuzzer dabei, zwei brandneue, bisher unbekannte Schwachstellen zu finden, von denen eine so schwerwiegend war, dass sie eine offizielle Sicherheits-ID (CVE) erhielt.

Das Fazit
ANVIL beweist, dass man einer KI nicht beibringen muss, was „schlecht“ ist, um es zu finden. Man muss sie nur fragen, was „normal“ aussieht. Wenn der Code nicht in das „normale“ Muster passt, ist er wahrscheinlich fehlerhaft. Es ist eine intelligentere, schnellere und allgemeinere Methode, um Sicherheitslücken zu finden, ohne eine massive Bibliothek vergangener Fehler zu benötigen, um daraus zu lernen.

Technisches Resümee: ANVIL – Anomaliebasierte Identifizierung von Schwachstellen ohne gelabelte Trainingsdaten

Problemstellung

Auf überwachtem Lernen basierende Detektoren für Schwachstellen schneiden häufig unzureichend ab, da es an großen, hochwertigen, gelabelten Trainingsdatensätzen mangelt. Large Language Models (LLMs) werden zwar auf riesigen ungelabelten Code-Korpora trainiert und glänzen bei der Codegenerierung, schneiden jedoch bei der direkten Aufforderung zur Erkennung von Schwachstellen schlecht ab und erreichen oft eine Genauigkeit, die nicht besser als der Zufall ist. Diese Einschränkung resultiert daraus, dass LLMs darauf trainiert sind, Code zu generieren, der der Verteilung ihrer Trainingsdaten ähnelt, ohne dass eine explizite Überwachung darüber stattfindet, was als „fehlerhaft“ oder „anfällig“ gilt. Infolgeddessen fehlt ihnen das domänenspezifische Wissen, um zwischen verwundbarem und unbedenklichem Code zu unterscheiden. Darüber hinaus haben bestehende Versuche, den Datenmangel durch die Generierung synthetischer Schwachstellen oder die Auswahl spezifischer Code-Merkmale zu kompensieren, nur moderate Verbesserungen erzielt, da synthetische Daten die vielfältigen Erscheinungsformen realer Schwachstellen nicht erfassen können.

Methodik

Das Paper führt ANVIL ein, einen Ansatz zur Lokalisierung von Schwachstellen auf Zeilenebene, der die Erkennung von Schwachstellen als ein Anomalieerkennungs-Problem umformt. Die Kernannahme ist, dass verwundbarer Code selten ist und somit im Vergleich zur von LLMs während des Pre-Trainings gelernten Verteilung eine Anomalie darstellt.

Kern-Workflow

Maskierte Code-Rekonstruktion: Für eine gegebene Zeile Code, die analysiert wird, wird die ursprüngliche Zeile maskiert (entfernt). Das LLM wird dann angewiesen, diese Zeile basierend auf dem umgebenden Kontext zu rekonstruieren.
Anomalie-Scoring: Die vom LLM generierte Rekonstruktion wird mit der Ground Truth (der ursprünglichen Zeile) verglichen. Abweichungen werden als Anomalien bewertet. Ein hoher Anomalie-Score deutet darauf hin, dass die ursprüngliche Zeile „out-of-distribution“ für das Modell ist, was auf eine Schwachstelle hindeutet.
Kontextauswahl (Adaptiver Kontext): Um die Herausforderung der Auswahl eines geeigneten Kontexts zu bewältigen, verwendet ANVIL eine Adaptive Context (AC) Strategie. Anstatt ein festes Fenster von Zeilen zu verwenden, wählt AC die größte zusammengesetzte Anweisung (z. B. einen Funktionskörper), die die maskierte Zeile umschließt. Dies stellt sicher, dass das Modell semantisch relevanten Kontext erhält, ohne das Rauschen durch unzusammenhängenden Code oder die „Lost-in-the-Middle“-Problematik, die mit übermäßig langen Kontexten einhergeht.

Hybrider Anomalie-Score

ANVIL schlägt einen hybriden Anomalie-Score ( $\delta_{hybrid}$ ) vor, der vier verschiedene Komponenten aggregiert, um die Diskrepanz zwischen dem generierten und dem ursprünglichen Code zu quantifizieren:

Cross-Entropy Loss ( $\delta_{loss}$ ): Der durchschnittliche Cross-Entropy-Loss der rekonstruierten Zeile, der die Wahrscheinlichkeit der generierten Token misst.
Exact Match Indicator ( $\delta_{EM}$ ): Eine binäre Metrik, die jede Abweichung von der Ground Truth bestraft. Wenn die generierte Zeile nicht exakt mit der ursprünglichen übereinstimmt, trägt dies zum Anomalie-Score bei. Dies adressiert die Limitation weicher Loss-Werte, bei denen geringfügige, aber kritische Zeichenunterschiede (z. B. > vs. >=) andernfalls untergewichtet werden könnten.
First-Token Variance ( $\delta_{var}$ ): Ein Maß für das Vertrauen des Modells, berechnet als die Varianz der Top-10 vorhergesagten Token für die erste generierte Position. Verwundbare Zeilen weisen tendenziell eine moderate Varianz auf, während unbedenkliche Zeilen oft eine hohe Varianz (klare Vervollständigungen) oder eine niedrige Varianz (vorsichtiges Abwägen in einfachen Kontexten) zeigen.
AST-Komplexität ( $\delta_{ast}$ ): Eine Metrik basierend auf der Anzahl der Knoten im Abstract Syntax Tree (AST) der ursprünglichen Zeile. Höhere Komplexität ist mit einem höheren Risiko für übersehene Grenzfälle assoziiert.

Der endgültige Score ist eine normalisierte Summe dieser Komponenten, die darauf ausgelegt ist, exakte Übereinstimmungen zu belohnen und gleichzeitig subtile Abweichungen, Modellunsicherheit und Code-Komplexität zu erfassen.

Wichtigste Beiträge

ANVIL-Framework: Ein neuartiger Ansatz zur Erkennung von Schwachstellen auf Zeilenebene, der keine gelabelten Trainingsdaten benötigt und vortrainierte LLMs nutzt, um Schwachstellen mittels maskierter Rekonstruktion als Anomalien zu identifizieren.
Hybrider Scoring-Mechanismus: Der Vorschlag und die Validierung einer zusammengesetzten Scoring-Funktion, die Loss, Exact Matching, Konfidenz-Varianz und syntaktische Komplexität kombiniert und zeigt, dass diese Kombination einzelne Metriken übertrifft.
Adaptive Context Strategie: Die Einführung einer strukturorientierten Kontextauswahlmethode, die dynamisch die relevante zusammengesetzte Anweisung identifiziert, was sowohl die Erkennungsgenauigkeit als auch die Recheneffizienz im Vergleich zu festen Fenstergrößen verbessert.
Umfassende Evaluierung: Eine rigorose Evaluierung über mehrere LLM-Familien, Kontextgrößen und Scoring-Methoden hinweg, einschließlich einer Leakage-freien Evaluierung auf Schwachstellen, die nach dem Trainings-Cutoff des LLM offengelegt wurden.

Experimentelle Ergebnisse

Die Autoren evaluierten ANVIL auf dem PrimeVul Datensatz, einer groß angelegten Sammlung von Open-Source C/C++ Projekten, und verglichen es mit State-of-the-Art überwachten Detektoren: LineVul, LineVD und LLMAO.

Performance vs. Überwachte Detektoren: ANVIL übertraf alle überwachten Baselines signifikant.
- Top-3 Genauigkeit: ANVIL erreichte eine bis zu 2-mal höhere Genauigkeit (31,3 % vs. 17,3 % für die beste Baseline).
- Normalisierter MFR: ANVIL zeigte eine Verbesserung um 75 % (0,18 vs. 0,39 für die beste Baseline).
- ROC-AUC: ANVIL erreichte 61,8 %, was wesentlich höher ist als die Baselines, die nahe am Zufallsniveau (~50 %) schwankten.
Kontext und Scoring: Die Studie bestätigte, dass der hybride Scoring-Ansatz und der Adaptive Context die beste Performance lieferten. Feste Kontextgrößen unter 100 Zeilen führten zu einer Verschlechterung der Leistung, während größere feste Größen Rauschen und Speicherprobleme verursachten.
Generalisierung: ANVIL demonstrierte starke Generalisierungsfähigkeiten auf einem Leakage-freien Datensatz, der Schwachstellen enthält, die nach dem Trainings-Cutoff des LLM veröffentlicht wurden, was seine Fähigkeit beweist, ungesehene Schwachstellen ohne Retraining zu erkennen.
Praktischer Nutzen: Durch die Integration von ANVIL mit Fuzzern zur Steuerung der Seed-Auswahl entdeckten die Autoren zwei bisher unbekannte Schwachstellen, von denen einer eine CVE erhielt, was den praktischen Nutzen der anomaliegeleiteten Detektion unterstreicht.

Bedeutung

Das Paper behauptet, dass ANVIL eine praktische Alternative zum überwachten Lernen für die Erkennung von Schwachstellen bietet, indem es den Engpass durch gelabelte Daten umgeht. Durch die Nutzung der inhärenten „Natürlichkeit“ von Code, die von LLMs gelernt wurde, isoliert ANVIL Schwachstellen effektiv auf Zeilenebene. Die Ergebnisse legen nahe, dass eine anomaliebasierte Erkennung, insbesondere wenn sie durch hybrides Scoring und adaptiven Kontext ergänzt wird, aktuelle überwachte Methoden übertreffen kann, besonders in Szenarien mit neuer oder ungesehener Codebasis, in denen keine Trainingsdaten verfügbar sind. Die Arbeit hebt hervor, dass LLMs zwar nicht inhärent „wissen“, was eine Schwachstelle ist, sie aber effektiv Code identifizieren können, der von den statistischen Normen korrekten Codes abweicht.