Secure Code Generation at Scale with Reflexion

技術要約：Reflexionによる大規模なセキュアコード生成

問題提起
大規模言語モデル（LLM）は、コードのドラフト作成やリファクタリングに広く採用されていますが、生成されたコードのセキュリティは極めて重要な懸念事項となっています。先行研究では、LLMが生成するコードは機能的には正しいものの、学習データから脆弱性を継承しており、安全ではないことが多いことが示されています。既存のセキュリティベンチマークには、言語カバー範囲の狭さ、小規模なデータセットへの依存、およびプロンプトや識別子が意図せず脆弱性情報を漏洩させ、不安全性の指標を膨らませてしまう「キュー汚染（cue contamination）」といった限界がありました。さらに、ほとんどの評価はシングルターン（ゼロショット）のプロンプティングに依存しており、反復的なリフレクション（内省）および修正戦略がセキュリティの結果を効果的に改善できるかどうかを評価できていません。高カバー率で妥当性が強化されたベンチマークを用いて、反復的な自己修正の有効性を測定する、大規模かつ体系的な評価が不足しています。

手法
著者らは、コンプライアンス要求のあるプロンプトを除去し、キュー汚染を低減させたCyberSecEvalの修正版であるInstruct Primeベンチマークを用い、大規模な評価を実施しました。本研究は以下の要素で構成されています。

• モデル: 5つのインストラクションチューニング済みコードLLMを評価しました：Qwen2.5-Coder-32B、Codestral-22B、CodeLlama-34B、DeepSeek-Coder-33B、およびOpenCoder-8B。
• プロンプティング戦略:
  • ゼロショット・ベースライン ($t_0$): セキュリティガイダンスなしで、タスクの説明のみに基づいてモデルがコードを生成。
  • Reflexionプロンプティング ($t_1, t_2, t_3$): モデルが自身の以前のコード、静的セキュリティ解析の結果、およびフラグが立てられた共通脆弱性タイプ（CWE）カテゴリに関する具体的なヒントを受け取る、3ラウンドの反復ループ。モデルは、機能を維持しながら脆弱性を除去するようにコードを修正するよう指示されます。
• セキュリティ評価: 全ての生成されたコードスニペットをスキャンするために、CWEに準拠した静的なルールセットである**Insecure Code Detector (ICD)**を使用しました。
• 指標: 反復的なパフォーマンスを評価するために、以下の3つの指標を導入しました：
  • Repair（修復）: 前のラウンドで不安全であったサンプルが、次のラウンドで安全になった割合。
  • Regression（退行）: 前のラウンドで安全であったサンプルが、次のラウンドで不安全になった割合。
  • NetGain（純増益）: Repair率とRegression率の差。
• 後処理: 公平な評価を確保するため、出力を「完全なコード（Complete Code）」のみにフィルタリングしました。コード以外の出力や混合出力は、モデルがテキストを生成することでセキュリティチェックを回避することを防ぐため、不安全としてマークされました。

主な貢献

1. 大規模評価: 本研究は、検証済みのInstruct Primeベンチマークを用い、5つのモデル、8つのプログラミング言語、50のCWEカテゴリにわたるセキュアなコード生成の包括的な評価を提供します。
2. 反復的Reflexion分析: 自己リフレクションによるセキュアなコード生成の有効性を、3ラウンドの修正を通じてテストした、世界初の体系的な大規模評価です。
3. 包括的な指標: 単純な正確性を超え、Repair、Regression、NetGainといった指標を報告することで、新たな脆弱性を導入することなく、反復戦略がいかにセキュリティを向上させるかという微細な視点を提供します。
4. 再現パッケージ: 監査と再利用を可能にするため、プロンプト、生成ログ、およびスコアリング用アーティファクトを含む完全な再現パッケージが公開されています。

結果

• ベースラインの不安全性: ゼロショット・ベースライン ($t_0$) において、生成されたプログラムの約**25〜33%**が不安全であり、不安全性が蔓延していることが示されました。
  • 言語による差異: Pythonは最も高い安全率（78〜88%）を示した一方、CおよびC#は最も低い数値（55〜67%）となりました。
  • CWEによる差異: XSS (CWE-79)、コードインジェクション (CWE-94)、ハードコードされたシークレット (CWE-798) といったテンプレート化された脆弱性は、信頼性高く処理されました（安全率 85〜90%）。逆に、弱い暗号化 (CWE-338) や設定依存のバグは回避が最も困難であり、特定のカテゴリでは安全率が10〜35%まで低下しました。
• Reflexionの影響: Reflexion戦略を適用することで、平均的なセキュア生成の正確性は、$t_0$ の70.74%から $t_3$ の79.43%へと向上しました。
  • 収穫逓減: 最大の利得は第1ラウンド ($t_1$, +6.00 ポイント) で発生しました。その後のラウンド ($t_2, t_3$) では、より小さな改善（それぞれ +1.66 および +1.03 ポイント）にとどまりました。
  • モデルの性能: QwenCoderとCodestralが最も顕著な改善（約+11ポイント）を示しました。OpenCoderの改善はより緩やかでした。
  • 退行（Regression）: 修復は一般的でしたが、後半のラウンドでは、安全なコードが不安全なコードに修正されるという退行（1〜2%）が時折発生しました。
• 最適な戦略: データは、1〜2ラウンドのreflexionがセキュリティ上のメリットの大部分を捉えることを示唆しており、追加のイテレーションは収穫逓減をもたらします。

意義と主張
本論文は、LLMが生成するコードにおいて不安全性が広範な問題であり、初期出力の約4分の1から3分の1に脆弱性が含まれていると主張しています。本研究は、reflexionプロンプティングが、この不安全率を大幅に減少させるための効果的なトレーニングフリーのメカニズムであることを示しています。しかし、著者らは、reflexionはリスクを完全に排除するものではなく、主に最初のイテレーションにおいて最も直接的かつ明白なエラーを修正するものであることを強調しています。

著者らは、反復的なリフレクションはセキュリティを向上させるものの、その恩恵は収穫逓減の法則に従い、退行のリスクも伴うと結論付けています。彼らは実用的なポリシーを提案しています。すなわち、デフォルトでは1ラウンドのreflexionを実行し、不安全なままの状態が続く場合にのみ継続し、NetGainの改善が乏しくなるか、あるいは退行が修復と同程度のレベルに達した時点で停止するという方針です。本研究は、LLMは進化しているものの、特定の脆弱性ファミリー（暗号学的弱点、データの真正性）や低レイヤーの言語（C、C#）は依然として大きな課題であり、セキュアなデフォルト設定や高品質な学習データへのさらなる投資が必要であることを浮き彫りにしています。