Software Vulnerability Detection Using a Lightweight Graph Neural Network

📄 arXiv: 2603.29216v1 📥 PDF

作者: Miles Farmer, Ekincan Ufuktepe, Anne Watson, Hialo Muniz Carvalho, Vadim Okun, Zineb Maasaoui, Kannappan Palaniappan

分类: cs.SE, cs.AI, cs.CR, cs.LG

发布日期: 2026-03-31

备注: 12 pages, 3 figures, preprint of journal submission

💡 一句话要点

提出VulGNN，一种轻量级图神经网络，用于高效软件漏洞检测。

🎯 匹配领域: 支柱九：具身大模型 (Embodied Foundation Models)

关键词: 软件漏洞检测 图神经网络 轻量级模型 代码分析 深度学习 边缘计算 静态代码分析

📋 核心要点

  1. 大型语言模型在漏洞检测中表现出色，但计算成本高昂，限制了其可扩展性。
  2. VulGNN利用代码的图结构，构建轻量级图神经网络，旨在实现与LLM相近的性能，同时显著降低模型大小。
  3. 实验表明，VulGNN在漏洞检测方面表现接近LLM，但模型尺寸缩小100倍，更易于部署和定制。

📝 摘要（中文）

大型语言模型（LLMs）因其基础能力、开源可用性和模型多样性，已成为漏洞检测研究中的热门选择，但由于大量的计算需求，其可扩展性有限。本文利用代码的自然图关系结构，证明了我们提出的基于图神经网络（GNN）的深度学习模型VulGNN在漏洞检测方面可以达到几乎与LLM相当的性能，但模型大小缩小了100倍，并且可以快速重新训练和定制。我们描述了VulGNN的架构，以及关于组件、学习率和对不同代码数据集的泛化能力的消融研究。作为一种用于漏洞分析的轻量级模型，VulGNN高效且可部署在边缘，作为实际软件开发管道的一部分。

🔬 方法详解

问题定义：现有的大型语言模型（LLMs）在软件漏洞检测中表现出色，但其庞大的模型规模和高昂的计算成本限制了它们在实际软件开发流程中的部署和应用。因此，需要一种更轻量级、更高效的漏洞检测方法，能够在资源受限的环境中运行，并易于定制和重新训练。

核心思路：本文的核心思路是利用代码的自然图结构，将代码表示为图，并使用图神经网络（GNN）来学习代码的图表示，从而进行漏洞检测。这种方法能够有效地捕捉代码中的依赖关系和结构信息，同时避免了LLM的大量计算需求。通过设计一个轻量级的GNN模型，可以在保持较高检测性能的同时，显著降低模型大小和计算复杂度。

技术框架：VulGNN的整体框架包括以下几个主要步骤：1) 代码预处理：将源代码转换为图结构，例如控制流图（CFG）或抽象语法树（AST）。2) 图嵌入：使用GNN学习图中每个节点的嵌入表示，捕捉代码的语义信息和结构信息。3) 漏洞分类：将节点的嵌入表示输入到分类器中，预测代码中是否存在漏洞。4) 模型训练：使用带标签的漏洞数据集训练GNN模型，优化模型参数。

关键创新：VulGNN的关键创新在于其轻量级的GNN架构设计，能够在保持较高检测性能的同时，显著降低模型大小和计算复杂度。此外，该模型还针对漏洞检测任务进行了优化，例如，通过选择合适的图结构和GNN层，更好地捕捉代码中的漏洞模式。

关键设计：VulGNN的具体实现细节包括：1) 图结构的选择：可以使用控制流图（CFG）、抽象语法树（AST）或其他代码图表示。2) GNN层的选择：可以使用图卷积网络（GCN）、图注意力网络（GAT）或其他GNN变体。3) 嵌入维度：需要选择合适的嵌入维度，以平衡模型性能和计算复杂度。4) 损失函数：可以使用交叉熵损失函数或其他适用于分类任务的损失函数。5) 优化器：可以使用Adam或其他优化算法来训练模型。

🖼️ 关键图片

fig_0
fig_1
fig_2

📊 实验亮点

VulGNN在漏洞检测任务中取得了与大型语言模型（LLMs）接近的性能，同时模型大小缩小了100倍。这表明VulGNN能够在保持较高检测精度的前提下，显著降低计算成本和部署难度，使其更适用于实际应用场景。具体的性能数据和对比基线（如LLM）的详细结果需要在论文中查找。

🎯 应用场景

VulGNN可应用于软件开发生命周期的各个阶段，例如静态代码分析、持续集成/持续部署（CI/CD）管道和安全审计。它能够帮助开发人员及早发现和修复代码中的漏洞，提高软件的安全性和可靠性。由于其轻量级的特性，VulGNN尤其适用于边缘计算环境和资源受限的设备。

📄 摘要（原文）

Large Language Models (LLMs) have emerged as a popular choice in vulnerability detection studies given their foundational capabilities, open source availability, and variety of models, but have limited scalability due to extensive compute requirements. Using the natural graph relational structure of code, we show that our proposed graph neural network (GNN) based deep learning model VulGNN for vulnerability detection can achieve performance almost on par with LLMs, but is 100 times smaller in size and fast to retrain and customize. We describe the VulGNN architecture, ablation studies on components, learning rates, and generalizability to different code datasets. As a lightweight model for vulnerability analysis, VulGNN is efficient and deployable at the edge as part of real-world software development pipelines.