用于增强安全补丁检测的仓库级图表示学习

基于摘要分析。该研究面向软件供应商未充分发布漏洞通告或漏洞数据库更新滞后时的安全补丁检测问题，提出仓库级安全补丁检测框架 RepoSPD，将补丁之外的仓库依赖关系纳入表示学习，以处理涉及多个函数和文件的代码修改。 RepoSPD 包含三个核心组件：RepoCPG 在仓库层面合并补丁应用前后的源代码，构建补丁的图表示；结构感知补丁表示融合图分支与序列分支，建模多处代码修改之间的关系；渐进式学习用于平衡语义信息和结构信息。其主要方法切入点是将检测上下文从补丁自身扩展至仓库级依赖，而不是仅分析局部代码变化。具体图构建规则、融合方式、损失函数及渐进式训练安排尚未验证。 作者将安全补丁检测数据集 SPI-DB 和 PatchDB 扩展至仓库级，分别形成 SPI-DB* 和 PatchDB*，包含 20,238 和 28,781 个 C/C++ 仓库版本；这些数字指仓库版本数，并非独立仓库数。作者报告，在这两个扩展数据集上，与六种既有安全补丁检测方法及五种静态工具比较，RepoSPD 相对最先进基线的 Accuracy 分别提升 11.90% 和 3.10%。摘要未明确这些提升是相对百分比还是百分点，也未给出绝对 Accuracy、具体基线及数据划分，因而不能据此进行跨协议比较。 复现时需核对仓库版本获取方式、补丁标签与划分协议、RepoCPG 构建成本，以及渐进式学习和图—序列融合的消融结果；实验协议、消融及统计信息尚未验证。本文主要研究对象是软件代码与安全补丁，摘要未提供 EEG 或 BCI 验证，也不足以建立直接的神经信号方法迁移路径。