Semantics-Aligned, Curriculum-Driven, and Reasoning-Enhanced Vulnerability Repair Framework

Resumo Técnico: SeCuRepair

1. O Problema

O acúmulo rápido de vulnerabilidades de software superou a capacidade de remediação manual, criando uma necessidade urgente de Reparo Automático de Vulnerabilidades (AVR). As abordagens existentes, baseadas principalmente em Ajuste Fino Supervisionado (SFT), apresentam limitações críticas:

• Sobreajuste Sintático: Os modelos aprendem a imitar padrões superficiais de código (forma léxica) em vez de compreender a lógica subjacente de reparo. Isso é evidenciado quando pequenas refatorações (como renomear variáveis) causam falhas na geração de correções válidas.
• Falha em Reparos Complexos: Os métodos atuais têm dificuldade com reparos que envolvem múltiplas regiões de código não contíguas (multi-hunk), onde é necessário sincronizar edições locais e globais simultaneamente.
• Vazamento de Dados na Avaliação: A maioria das avaliações utiliza divisões aleatórias de funções, permitindo que os modelos "vazem" padrões específicos de repositórios, inflando artificialmente os resultados e mascarando a falta de generalização.
• Sinal de Recompensa Inadequado: Em RL (Aprendizado por Reforço), a falta de ambientes de execução robustos torna difícil criar recompensas confiáveis. Recompensas baseadas apenas em similaridade de strings (lexicais) penalizam soluções semanticamente equivalentes, mas sintaticamente diferentes.

2. Metodologia: O Framework SeCuRepair

O SeCuRepair é um framework baseado em Aprendizado por Reforço (RL) projetado para ser confiável, escalável e eficiente. Ele opera em duas etapas principais, guiadas por três princípios centrais:

A. Inicialização Aprimorada por Raciocínio (Reasoning-Enhanced Initialization)

• Distilação de Conhecimento: Utiliza um modelo "professor" (LLM comercial, ex: GPT-5 mini) para gerar pares de (raciocínio, patch) seguindo um protocolo estruturado de especialistas em segurança: (1) Classificação da Vulnerabilidade, (2) Análise da Causa Raiz e (3) Planejamento do Reparo.
• Amostragem de Rejeição: Filtra os dados gerados para garantir qualidade, descartando respostas que violam o esquema de saída ou que não são semanticamente similares ao patch de referência (usando CodeBLEU como proxy).
• SFT Inicial: O modelo estudante é ajustado finamente (SFT) com esses dados para aprender o paradigma "raciocinar antes de editar", servindo como política inicial estável para o RL.

B. Otimização RL Sensível a Semântica (Semantics-Aware RL)

• Algoritmo: Utiliza o GRPO (Group Relative Policy Optimization) para otimizar a política do modelo.
• Recompensa Multi-Granular: Substitui a recompensa puramente léxica por uma recompensa composta que mede a equivalência em três níveis:
  1. Léxica (BLEU): Garante o uso correto de palavras-chave.
  2. Sintática (AST): Avalia a similaridade da Árvore de Sintaxe Abstrata para garantir estrutura válida.
  3. Semântica (CFG e DFG): Utiliza Grafos de Fluxo de Controle (CFG) e Grafos de Fluxo de Dados (DFG) para medir a equivalência lógica e de propagação de dados. Para eficiência computacional, utiliza o Weisfeiler-Lehman Graph Kernel para aproximar a similaridade estrutural.
• Objetivo: Otimizar para a equivalência semântica em vez da identidade textual exata.

C. Aprendizado de Currículo Baseado em Dificuldade

• Para resolver a complexidade de reparos multi-hunk, o treinamento é organizado por dificuldade (número de hunks de código):
  1. Fácil: 1-2 hunks (foco em edições locais precisas).
  2. Médio: 3-5 hunks.
  3. Difícil: >5 hunks (foco em sincronização global).
• O modelo avança progressivamente, permitindo que aprenda a corrigir falhas locais antes de lidar com a coordenação estrutural global, evitando ótimos locais durante a exploração.

3. Contribuições Principais

1. Framework RL Semântico: Propõe o SeCuRepair, que supera a rigidez do SFT através de uma recompensa sensível à semântica, permitindo que o modelo aprenda a lógica de reparo em vez de apenas copiar padrões.
2. Estratégia de Currículo e Raciocínio: Introduz uma combinação de inicialização por raciocínio (para estabilidade) e aprendizado de currículo (para escalabilidade em reparos complexos).
3. Novo Benchmark e Protocolo Rigoroso: Estabelece um protocolo de avaliação estrito de divisão por repositório (evitando vazamento de dados) e introduz o PrimeVulAVR, um novo conjunto de dados de teste out-of-distribution derivado do PrimeVul.

4. Resultados

O SeCuRepair foi avaliado nos benchmarks BigVul e no novo PrimeVulAVR, superando significativamente os baselines do estado da arte (VulMaster, FAVOR e GPT-4o):

• Métricas Automáticas:
  • Melhoria de 37,21% no CodeBLEU no BigVul em relação ao melhor baseline (VulMaster).
  • Melhoria de 33,58% no CodeBLEU no PrimeVulAVR em relação ao GPT-4o.
• Avaliação Humana:
  • Em um estudo cego com especialistas, o SeCuRepair alcançou 58,0% de patches "trabalháveis" (scores $\ge$ 3), superando o GPT-4o (50,0%) e o VulMaster (20,0%).
  • Os patches gerados foram frequentemente sintaticamente distintos, mas semanticamente idênticos às referências humanas, demonstrando a capacidade de generalização semântica.
• Robustez: O modelo mostrou-se robusto a perturbações de código (como renomeação de variáveis), onde os modelos baseados em SFT sofreram quedas drásticas de desempenho.
• Análise de Ablação: Cada componente (raciocínio, recompensa semântica e currículo) contribuiu progressivamente para o desempenho final, com a recompensa semântica e o currículo sendo os maiores impulsionadores de ganhos em reparos complexos.

5. Significado e Impacto

O SeCuRepair representa um avanço fundamental na área de AVR ao demonstrar que:

• A otimização puramente sintática (SFT) é insuficiente para a complexidade do mundo real.
• A integração de raciocínio estruturado e recompensas semânticas (via análise estática de fluxo de dados e controle) permite que LLMs aprendam a lógica de segurança subjacente.
• A avaliação rigorosa por repositório é essencial para revelar a verdadeira capacidade de generalização dos modelos, evitando ilusões de desempenho causadas por vazamento de dados.

O trabalho sugere que o futuro do reparo automatizado deve focar na compreensão semântica e na capacidade de raciocínio, permitindo que ferramentas de IA atuem como assistentes eficazes para desenvolvedores, gerando correções válidas mesmo em cenários onde o código de referência exato não é replicável.