知识卡片：历史即检测器——将CVE补丁历史转化为端到端漏洞检测

一句话结论

BUGSTONE-E2E 提出一种端到端框架，能够从已知 CVE 的修复提交中提取检测规则，形成“轻量扫描 + LLM 审查 + 运行时验证”的漏斗式流程，并在真实程序上产出具有运行时证据的漏洞发现。

事件概述 / 研究问题

公共漏洞数据库收集了已知软件缺陷的丰富信息，包括弱点类型、受影响组件和相关补丁。修复提交（fixing commits）精确记录了移除漏洞的代码变更。但这些记录主要是为人工检视而编写的，难以被自动化系统直接复用，因此同类不安全写法仍可能存在于其他没有 CVE 公告的代码中，大量检测知识被闲置。BUGSTONE-E2E 正是为了把 CVE 补丁历史转化为可执行、可验证的检测流程。

方法 / 产品要点

BUGSTONE-E2E 包含两大部分：

• 规则挖掘：从经过核实的修复提交中挖掘可复用规则，捕获扫描锚点（scan anchors）、修复语义（fix semantics）和 CVE 溯源信息，并按 CWE 和编程语言组织。
• 漏斗式检测流水线：
  1. 使用 Tree-sitter 枚举匹配规则锚点的调用点；
  2. 通过不调用 LLM 的轻量启发式方法移除良性候选；
  3. 由 LLM 智能体在规则引导下检查剩余候选；
  4. 对幸存候选重新分诊并构建运行时验证；
  5. 生成经过作用域检查的补丁，并通过双向差分测试（two-sided differential tests）验证。

主要结果

根据论文摘要，作者使用 2022 至 2026 年间的 19,325 个高严重性 CVE，识别出 2,710 个修复提交，构建了覆盖 56 个 CWE 类别的 1,033 条检测规则，并将这些规则打包为 172 个技能（skills）。将检测规则应用于 14 个程序后，系统产出了 644 项具有运行时证据的发现。

为什么重要

这项工作的增量价值在于：它把 CVE 和补丁历史从“人类可读的记录”变成“可执行的检测器”，让过去漏洞的检测知识可以系统化地复用于其他代码库，从而降低相同或相似漏洞模式再次潜伏的风险。与常见的一次性漏洞扫描不同，该方法明确将漏洞历史接入自动化验证和补丁生成环节，形成更完整的闭环。

局限与不确定性

• 该论文当前为 arXiv 预印本，同行评议状态待核实。
• 上述数字和流程均来自论文摘要，完整实验设置、基线对比和误报率等细节需要阅读原文核实。
• “644 项发现”代表具有运行时证据的候选结果，不能简单等同于已确认漏洞，具体精确率/误报率待核实。
• 检测过程依赖 LLM，计算成本和在不同语言、不同规模代码库上的泛化能力待核实。
• 对于不存在修复提交或无法规则化的漏洞类型，该方法是否覆盖不足，待核实。

可用于图书 / PPT / 简报的角度

• 以“沉睡的漏洞知识”为切入点：公共漏洞库中的补丁历史不只是档案，也可以被工程化为自动化检测规则。
• 使用漏斗图展示多阶段检测策略：先用 Tree-sitter 和轻量启发式筛掉大规模候选，只把难以判断的少量目标交给 LLM，体现成本与精度的分层设计。
• 从数据规模讲故事：从近两万个高危 CVE 中提取线索，生成上千条规则，再跨 14 个程序找到 644 项带运行时证据的发现，可作为“历史数据驱动安全检测”的案例。

原始材料

• 英文标题：The History Is the Detector: Executing CVE Patch History, End-to-End
• 英文关键词：CVE Patch History; Executable Detection Rules; Fixing Commits; LLM-based Inspection; Differential Testing
• arXiv ID：2609.05335v1
• URL：https://arxiv.org/abs/2609.05335v1
• Authors：Qiushi Wu, Kevin Eykholt, Youngja Park, Xiaokui Shu, Dhilung Kirat, Douglas Lee Schales, Ian Molloy
• Published / Updated：2026-09-04
• Primary category：cs.CR（Categories：cs.CR, cs.AI, cs.SE）