MAS-SZZ: Multi-Agentic SZZ Algorithm for Vulnerability-Inducing Commit Identification
本論文は、根本原因を要約し自律的にコード履歴を追跡することで脆弱性を引き起こすコミットを正確に特定するために、協調的エージェントと構造化プロンプトを活用するマルチエージェントアルゴリズム「MAS-SZZ」を提案し、既存の SZZ 手法を最大 65.22% の F1 スコア改善で大幅に凌駕する。
原論文は CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) でライセンスされています。 これは以下の論文のAI生成解説です。著者が執筆または承認したものではありません。技術的な正確性については原論文を参照してください。 免責事項の全文を読む
あなたが巨大で常に変化する都市で犯罪を解決しようとする探偵だと想像してください。その「犯罪」とはソフトウェアの脆弱性（セキュリティホール）であり、「犯罪現場」とは最近修正された特定のコードの断片です。あなたの目標は、開発者が最初にバグを誤って導入した歴史上の正確な瞬間、すなわち「脆弱性誘発コミット（VIC）」を見つけることです。
これが「SZZ アルゴリズム」の役割です。これは「修正」を見て、都市の歴史をさかのぼり、元の過ちを見つけようとするタイムトラベルする探偵だと考えてください。
しかし、古い探偵たち（従来の SZZ アルゴリズム）は仕事に不向きなことが多いです。彼らは大きく 2 つの過ちを犯します：
- 誤った手がかり：調査すべきコード行を誤って選びます。時には、実際に壊れたコードではなく、単に移動させられたり名前が変更されたりしたコード（道路標識を移動させるようなもの）を見てしまいます。
- 早すぎる諦め：調査を早々に打ち切ります。「修正」と「似ている」コミットを見つけるとそこで止まってしまい、何年も前に問題の種を植えた実際のコミットを見逃してしまいます。
MAS-SZZ の登場：探偵チーム
この論文の著者たちは、MAS-SZZ（Multi-Agentic SZZ）を作成しました。孤独な探偵一人ではなく、事件を解決するために高度な警察部隊のように連携して働く、専門化された AI エージェントのチームを構築したのです。
以下に、彼らのチームが段階的にどのように機能するかを示します。
1. オーディター（法医学分析官）
まず、チームは「犯罪報告書（CVE の説明）」と「修正報告書（バグを修正したコード）」を確認します。
- 彼らの役割：オーディターは、バグがなぜ発生したのかを正確に要約します。重要なのは、単に推測するのではなく、すべての主張を裏付けるために報告書内の具体的な証拠を指摘することです。
- チェック：「裁判官」エージェントがオーディターの作業を二重に確認します。オーディターが論理的な誤りを犯した場合、または主張の証拠を見つけられない場合は、裁判官は作業のやり直しを命じます。これにより、チームは確実で検証済みの犯罪理論を持ってスタートできます。
2. レビュアーとロケーター（ターゲット専門家）
犯罪が何であったかがわかった今、遡って追跡するための具体的な証拠を見つける必要があります。
- 問題点：「修正」には、単に整理された、名前が変更された、または新機能のために追加されたコードなど、多くのノイズが含まれていることが多いです。
- 解決策：レビュアーは修正内のすべての変更を読み、「開発者の意図は何だったのか？」と問いかけます。彼らはコードのリファクタリングのような「ノイズ」をフィルタリングし、セキュリティホールを実際に修正した変更のみを保持します。
- ロケーター：関連する変更が見つかったら、ロケーターは「決定的証拠」となる正確なコード行を特定します。これがアンカーステートメントとなります。
3. トレイサー（タイムトラベラー）
これが最も重要な部分です。トレイサーはその「アンカーステートメント」を受け取り、コードリポジトリという都市の歴史をさかのぼり始めます。
- 方法：1 歩さかのぼって止まるのではなく、トレイサーは進み続けます。各ステップで、「バグはまだここにあるか？」と問いかけます。
- 停止信号：バグがまだ存在しないコードのバージョンが見つかるまで、さかのぼり続けます。その直後のコミット（バグが初めて現れたもの）が犯人と宣言されます。
- 優れている点：従来のアルゴリズムは、コードが「異なる」（類似度が低下する）ために停止することがよくあります。トレイサーはコードがどのように異なっているかに関係なく、脆弱性が存在するかどうかだけに焦点を当てます。
結果：優れた探偵
著者たちは、2 つの主要なデータセットからの実世界のデータを用いて、この新しいチームを他の 7 つの「探偵」アルゴリズムと比較テストしました。
- スコア：これらのアルゴリズムの世界では、「F1 スコア」は、すべての悪人を発見すること（再現率）と、無実の人を訴えないこと（精度）のバランスを取る最終的な成績のようなものです。
- 勝利：MAS-SZZ は少しだけうまくいったわけではありません。競合他社を圧倒しました。最良の従来手法と比較して、最終スコアを最大**65.22%**向上させました。
- 教訓：証拠を検証し、ノイズをフィルタリングし、真の起源が見つかるまでさかのぼり続ける AI エージェントのチームを使用することで、MAS-SZZ は、以前に使用されたどの手法よりもソフトウェア脆弱性の根本原因を特定する信頼性が格段に高まっています。
要約すれば、MAS-SZZ は不器用な一人の捜査を、真の犯人を見逃すことがめったにない、協調的で証拠に基づく捜査へと変えるのです。
自分の分野の論文に埋もれていませんか？
研究キーワードに一致する最新の論文のダイジェストを毎日受け取りましょう——技術要約付き、あなたの言語で。