CyberForge: Verified Vulnerability Injection at Repository Level for Cybersecurity Agent Training
CyberForge 是一个通过在真实的 C/C++ 项目中注入漏洞，来合成并动态验证可执行的、仓库级安全训练数据的框架，从而显著提升了不同模型规模和编程语言下网络安全智能体的漏洞发现与修复能力。
原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。 阅读完整免责声明
想象一下，数字世界是一座完全由代码构成的、繁忙而喧嚣的巨大城市。在这座城市中，软件程序是建筑，而编写它们的人则是建筑师。长期以来，这些建筑师的工作一直很艰难：他们必须检查摩天大楼的每一块砖、每一扇窗和每一道门，以确保没有人能潜入并偷走宝藏。与此同时，“坏人”（黑客）只需要找到一块微小的、松动的砖头就能破门而入。这是一场不公平的战斗。
为了帮助好人，我们建造了被称为“AI智能体”的数字侦探。这些是经过训练、能够寻找那些松动砖头的智能计算机程序。但问题在于，为了教会侦探如何识别真实的入侵，你通常必须向他们展示一次真实的入侵。麻烦的是，真实的入侵（被称为“漏洞”或“缺陷”）非常罕见、难以发现，并且在被修复之前通常都是保密的。这就像试图通过只给消防员看十年前发生的火灾照片，来教他们如何灭火，而此时城市里的建筑规范却一直在变化。我们需要一种方法来创造全新的、真实的“演习火灾”，让AI可以从中学习，而又不会真的烧毁任何东西。
这就是名为 CyberForge 的新框架派上用场的地方。把 CyberForge 想象成一个超级智能的自动化“反派工厂”，它不仅仅是复制旧的犯罪行为，而是能即时发明新的犯罪手段。CyberForge 背后的研究人员提取了 8 0 个真实的软件项目（就像实际建筑的蓝图），并利用 AI 在其中悄悄植入了微小且隐形的弱点。但他们并没有止步于此。他们建立了一个严密的“安全检查员”系统，以确保这些新产生的弱点是真实有效的。检查员会检查两件事：首先，建筑必须能够通过所有的常规测试（这意味着漏洞是隐藏的，且不会导致程序立即崩溃）；其次，一个特定的“漏洞证明”（一把特殊的钥匙）必须只能开启那栋有缺陷的建筑，而不能开启那栋安全的建筑。
结果是产生了一个包含 1,034 个经过验证的、真实的安全性陷阱的大型库。当研究人员使用这个库来训练他们的 AI 侦探时，结果令人印象深刻。AI 智能体在发现和修复这些漏洞方面的能力显著提升。事实上，这种训练非常有效，以至于一个较小的 AI 模型在学习了这个库之后，其表现几乎接近于一个规模大得多、成本也高得多的“教师”模型。更令人惊讶的是，这种训练帮助 AI 理解了如何修复完全不同类型软件（如 Python 或 JavaScript）中的漏洞，尽管这个库完全是由 C 和 C++ 代码构成的。这就像是学会了识别砖墙上的裂缝，突然间也能帮助侦探识别出玻璃窗上的裂缝一样。
CyberForge 证明了我们不必等待真实的黑客发现错误来训练我们的防御者。通过合成创建并严格验证这些安全挑战，我们可以建立一个可扩展的、无穷无尽的训练数据供应。这改变了力量的平衡，让天平向防御者倾斜，为他们提供了在坏人出现之前构建更强大、更安全软件的工具。该论文指出，这种“注入”并“验证”弱点的方法是扩展网络安全训练的一种强大新方式，它将 AI 从一个只能阅读旧教科书的学生，转变为一个在数千个真实场景中进行过练习的侦探。
您所在领域的论文太多了？
获取与您研究关键词匹配的最新论文每日摘要——附技术摘要，使用您的语言。