HYDRA: A Hybrid Heuristic-Guided Deep Representation Architecture for Predicting Latent Zero-Day Vulnerabilities in Patched Functions

Probleemstelling

Softwarebeveiligingstests, zelfs die welke zijn versterkt met diep leren, zijn doorgaans gericht op het detecteren van bekende kwetsbaarheden in broncode. Een kritiek blind punt blijft echter bestaan: latente kwetsbaarheden die overblijven na het aanbrengen van patches.

• Het risico: Zelfs na een officiële patch kunnen functies onvolledig zijn gefixt of nieuwe, onbekende zwaktes bevatten. Dit kan leiden tot "zero-day" exploits (kwetsbaarheden die nog niet bekend zijn bij de leverancier of de gemeenschap) of "n-day" risico's waarbij aanvallers gepatchte code reverse-engineeren om nog niet gepatchde systemen aan te vallen.
• De beperking van bestaande tools: Traditionele statische analyse-tools (zoals Fortify) en handgeschreven regels (regex) zijn beperkt tot bekende patronen en missen subtiele, semantische fouten. Bestaande deep-learning-modellen missen vaak de interpretbaarheid en vertrouwen te veel op expliciete labels van kwetsbare code, waardoor ze moeite hebben om risico's te voorspellen in code die al als "gepatcht" wordt beschouwd.

Methodologie: HYDRA

De auteurs stellen HYDRA (Hybrid Heuristic-Guided Deep Representation Architecture) voor, een hybride, onbewaakte (unsupervised) architectuur die ontworpen is om latente risico's in reeds gepatchte functies te voorspellen. De aanpak combineert symbolische redenering met diep semantisch leren.

De architectuur bestaat uit twee fasen:

1. Leerfase (Training):

   • Input: Een corpus van gepatchte C-functies (bijv. uit de BigVul-dataset).
   • Module 1: Heuristische Feature Extractie: Handgemaakte regels (gebaseerd op reguliere expressies/regex) scannen de code op vijf specifieke kwetsbaarheidspatronen:
     • $H_1$: Ontbrekende null-pointer check.
     • $H_2$: Race conditions (gebrek aan synchronisatie).
     • $H_3$: Ontbrekende bounds check (grenswaarden).
     • $H_4$: Onveilig geheugenbeheer (malloc/calloc zonder return-check).
     • $H_5$: Logging zonder blokkering van de controlestroom.
     • Elk resultaat wordt een binaire vector van 5 dimensies.
   • Module 2: Semantische Embeddings: De functies worden verwerkt door GraphCodeBERT, een voorgeïntegreerd transformer-model dat zowel token-volgorde als Data Flow Graphs (DFG) encodeert. Dit levert een 768-dimensionele semantische vector op.
   • Fusie en Latente Representatie: De heuristische vector (5 dimensies) en de GraphCodeBERT-embeddings (768 dimensies) worden samengevoegd tot een 773-dimensionele vector. Een Variational Autoencoder (VAE) wordt getraind om deze hoge-dimensionele data te comprimeren naar een compacte, continue latente ruimte.
   • Clustering: K-Means clustering wordt toegepast op de latente representaties om functies te groeperen op basis van hun kwetsbaarheidskenmerken.

2. Testfase (Inference):

   • Voor nieuwe, ongeziene gepatchte functies worden alleen de GraphCodeBERT-embeddings gebruikt om ze in de geleerde latente ruimte te projecteren.
   • Het model voorspelt of een functie behoort tot een cluster dat overeenkomt met een van de 5 heuristische regels, of tot een "None" categorie.
   • Belangrijk: Functies die als "None" worden gelabeld (geen directe regex-match), maar die dicht bij een risicovol cluster in de latente ruimte liggen, worden geïnterpreteerd als potentieel nieuwe of onbekende zero-day risico's.

Belangrijkste Bijdragen

1. Identificatie van een kritiek blind punt: Het paper benadrukt dat bestaande methoden (zowel statisch als deep learning) vaak falen bij het detecteren van residual risks in code die al als veilig is gemarkeerd.
2. Hybride Architectuur: HYDRA introduceert een unieke combinatie van interpreteerbare symbolische regels en de generalisatiekracht van GraphCodeBERT, versterkt door een VAE voor onbewaakte clustering.
3. Detectie van "None" gevallen: Het model kan functies identificeren die geen bekende regel matchen, maar semantisch wel lijken op risicovolle patronen, wat essentieel is voor het vinden van nieuwe zero-day dreigingen.
4. Empirische Validatie: Uitgebreide evaluatie op drie grote, diverse open-source projecten: Chrome, Android en ImageMagick.

Resultaten

De evaluatie toonde aan dat HYDRA superieur presteert ten opzichte van baselines (zoals alleen regex, alleen GraphCodeBERT, of een eenvoudige combinatie zonder VAE):

• Kwaliteit van Clustering: HYDRA behaalde aanzienlijk betere scores op onbewaarde metrieken dan de baselines:
  • Silhouette Score: Tot 4x hoger dan baselines (betere scheiding tussen clusters).
  • Calinski-Harabasz Index (CHI): Tot 10,1x hoger.
  • Davies-Bouldin Index (DBI): 72,2% lager (betere compactheid binnen clusters).
• Voorspelling van Risico's: HYDRA markeerde respectievelijk 13,7% (Chrome), 20,6% (Android) en 24% (ImageMagick) van de gepatchte functies als bevattende latent risico's.
  • Dit omvatte zowel functies met een directe heuristische match als die zonder match ("None"), wat wijst op het vermogen om onbekende patronen te vinden.
• Case Studies:
  • In ImageMagick detecteerde HYDRA een ontbrekende null-check in een wrapper-functie die door traditionele tools was gemist.
  • In Chrome identificeerde het model een potentiële underflow-risico in de GoBack-functie. Hoewel dit geen directe match was met de regex-regel voor bounds checks, plaatste de semantische embedding de code dicht bij bekende risicoclusters, wat de latentie van het risico bevestigde.

Betekenis en Impact

Het paper biedt een paradigmaverschuiving in softwarebeveiligingstests:

• Proactieve Security: In plaats van alleen te wachten op CVE-rapporten of bekende patronen, stelt HYDRA organisaties in staat om proactief te zoeken naar verborgen risico's in code die al is "gefixt".
• Zero-Day Preventie: Door functies te flaggen die semantisch lijken op kwetsbaarheden maar geen expliciete regel matchen, helpt HYDRA bij het opsporen van potentiële zero-day kwetsbaarheden voordat ze worden uitgebuit.
• Interpreteerbaarheid: Door de combinatie van heuristische regels en deep learning, biedt het model niet alleen voorspellingen, maar ook context (bijv. "dit lijkt op een race condition"), wat het triage-proces voor beveiligingsexperts vergemakkelijkt.

Kortom, HYDRA demonstreert dat zelfs na het aanbrengen van patches, code vaak nog kwetsbaar kan zijn, en dat een hybride aanpak nodig is om deze subtiele, latente risico's effectief te detecteren.