【论文分享】2024AAAI顶会论文分享---Multilevel Semantic Embedding of Software Patches: A Fine-to-Coarse Grained A

随着对开源软件的日益依赖，用户面临着第三方库漏洞的威胁。软件成分分析 (SCA) 工具已被创建来提醒用户此类漏洞。 SCA 需要识别漏洞修复提交。先前的工作已经提出了可以自动识别此类漏洞修复提交的方法。然而，识别此类提交非常具有挑战性，因为只有极少数提交修复了漏洞。此外，代码更改可能会产生噪音并且难以分析。我们观察到噪声可能会出现在不同的细节级别，这使得准确检测漏洞修复变得具有挑战性。为了应对这些挑战并提高先前工作的有效性，我们提出了 MiDas（漏洞修复的多粒度检测器）。与之前的工作不同，MiDas 为每个级别的代码更改粒度构建了不同的神经网络，对应于提交级别、文件级别、块级别和行级别，遵循其自然组织。然后，它利用组合所有基本模型的集成模型来生成最终预测。这种设计使 MiDas 能够更好地处理漏洞修复提交数据的嘈杂和高度不平衡的性质。此外，为了减少检查代码更改所需的人力，我们根据提交长度设计了 MiDas 输出的工作感知调整。评估结果表明，MiDas 在基于 Java 和 Python 的数据集上的 AUC 分别优于当前最先进的基线 4.9% 和 13.7%。此外，就 EffortCost@L 和 Popt@L 这两个工作量感知指标而言，MiDas 的性能也优于最先进的基线，在 Java 上分别实现了高达 28.2% 和 15.9% 的改进，在 Java 上分别实现了 60% 和 51.4% 的改进。

首先，将代码更改分解为不同的粒度级别，使得 MiDas 可以为每个级别使用适当的提取器，如第4.3.2节所讨论的。其次，集成学习有助于减少噪音带来的错误。根据之前的研究[46]，单个分类器在每个样本上往往会产生不同的错误，但通常对其正确分类达成一致。因此，通过结合多个分类器，集成学习可以通过平均错误成分来减少数据中噪音的影响。第三，集成学习已被证明在处理数据不平衡问题方面是有效的，如先前的研究所示。

当前commit的识别方法多种多样，如VFinder使用xx方法，GraphGSD使用patchCFG等。

首先，将代码更改分解为不同的粒度级别，使得 MiDas 可以为每个级别使用适当的提取器，如第4.3.2节所讨论的。其次，集成学习有助于减少噪音带来的错误。根据之前的研究[46]，单个分类器在每个样本上往往会产生不同的错误，但通常对其正确分类达成一致。因此，通过结合多个分类器，集成学习可以通过平均错误成分来减少数据中噪音的影响。第三，集成学习已被证明在处理数据不平衡问题方面是有效的，如先前的研究所示。