Метод та програмні засоби пояснюваного аналізу вразливостей коду на основі малих мовних моделей

Abstract

Запропоновано гібридний метод пояснюваного аналізу вразливостей програмного коду, що поєднує статичний аналізатор Semgrep із локальною малою мовною моделлю для формування структурованих україномовних пояснень. На власному наборі з 52 знахідок у 15 класах C WE проведено 21 експериментальну конфігурацію (1092 пояснення) із порівнянням восьми моделей. Показано, що подання результатів статичного аналізу до контексту моделі підвищує частку правильно визначених класів вразливості з 0,63 до 0,88, а частку працездатних виправлень — з 0,29 до 0,58. Експертна перевірка підтвердила придатність методу насамперед як пояснювального, а не автоматично виправного інструменту.