Creed 论文：从代码推断开发者信念，做首个语义级安全审计
mboehme_ · x · 2026-10-21
Marcel Böhme 等发布 arXiv 论文，提出基于 LLM 的「信念引导」漏洞检测工具 Creed。
- 核心思路：从代码中推断开发者的安全相关信念。例如认证函数对用户名和密码错误返回相同报错，可推断开发者认为两者不可区分（防用户枚举攻击）；若某次函数调用造成响应时间差异，即违背该信念，暴露语法分析工具无法发现的时序侧信道。
- 与传统工具差异：现有静态分析依赖句法模式，难以覆盖此类高层语义缺陷；Creed 是「首个真正的语义静态分析」，并能解释每个问题的根因、症状与可利用条件。
- 评估指标：针对解释式漏洞检测的上下文依赖问题，提出 recall（正确解释已知漏洞的能力）与 overhead（审阅报告成本）两个度量。在近期真实漏洞基准上，Creed 对语义与句法漏洞的检测均优于现有解释式 VD 工具，取得效果与成本的最佳平衡。
「安全」频道最新
- 新论文:奖励错误指定会损害思维链的可监控性 — BrihiJ · 2026-10-21
- 一句「root 我的电视」,DeepSeek 连续搞定 LG 和三星 — rickasaurus · 2026-10-21
- GLM-5.3 被发现在推理中自发展开「更新感知」思考，牵动对齐隐忧 — LessWrong 精选 · 2026-10-21
- MI5 负责人警告:AI 可能改写生物武器威胁格局 — nordicinst · 2026-10-21
- Chris Paxton：机器人整套栈不会全跑云端，只上大参数部分 — chris_j_paxton · 2026-10-21
- 精装 AI 钓鱼攻击：假播客邀约数天后诱导安装恶意软件 — michael_nielsen · 2026-10-21