| 電子情報通信学会 研究会発表申込システム 講演論文 詳細 |
技報閲覧サービス [ログイン] 技報アーカイブ |
| トップに戻る | 前のページに戻る | [Japanese] / [English] |
| 講演抄録／キーワード | ||
| 講演名 | 2026-10-07 17:30 記号実行を用いた脆弱性の真偽判定に向けて ○西 航介（千歳科技大）・砂原 悟（北大）・萩原茂樹（千歳科技大）  NS2026-89 |
|
| 抄録 | （和） | 近年、生成AIの普及に伴い、発見者に報奨金を支払うバグバウンティプログラムにおいて、AIが作成した誤りのある脆弱性報告が急増している。これにより、開発者やトリアージ担当者による検証コストの負担が深刻化し、curlやNode.jsといった主要なオープンソースプロジェクトにおいて、バグバウンティ制度の運用停止や新規受付の制限に至る事例が相次いでいる。既存の機械学習やLLMを用いたフィルタリング手法では、確率的予測への依存やハルシネーションの発生により、論理的に正当な偽陽性の排除が難しいという限界があった。本研究では、誤りのある脆弱性報告を論理的に排除することを目的とし、形式手法を用いた自動検証手法の構成を目指す。本手法では、記号実行による到達可能性判定が有効なオープンソースソフトウェアの脆弱性を対象とし、脆弱性報告の再現条件に対応するプログラム上の到達位置を抽出する。その上で、該当位置に到達する実行パスおよび制約の有無を論理的に検証する。これにより、ハルシネーション等の影響を受けない正当な検証を行える手法を構成し、トリアージコストの削減とバグバウンティ制度の持続可能性向上に貢献する。 |
| （英） | In recent years, with the widespread adoption of generative AI, erroneous vulnerability reports generated by AI have rapidly increased in bug bounty programs, which reward security researchers for discovering vulnerabilities. Consequently, the verification burden on developers and triage teams has worsened, leading major open-source projects such as curl and Node.js to suspend or restrict their bug bounty programs. Existing filtering methods using machine learning or large language models (LLMs) suffer from limitations, as their reliance on probabilistic predictions and susceptibility to hallucinations make it difficult to logically eliminate false positives. This study aims to construct an automated verification approach using formal methods to logically eliminate erroneous vulnerability reports. Focusing on vulnerabilities in open-source software where reachability analysis via symbolic execution is effective, program locations corresponding to the reproduction conditions in the reports are extracted. The existence of execution paths and path constraints required to reach those locations is then logically verified. This framework enables sound verification unaffected by hallucinations, contributing to reducing triage costs and enhancing the sustainability of bug bounty programs. | |
| キーワード | （和） | バグバウンティ / 形式手法 / 記号実行 / 脆弱性検証 / オープンソースソフトウェア / / / |
| （英） | bug bounty / formal methods / symbolic execution / vulnerability verification / open-source software (OSS) / / / | |
| 文献情報 | 信学技報, vol. 126, no. 183, NS2026-89, pp. 21-21, 2026年10月. | |
| 資料番号 | NS2026-89 | |
| 発行日 | 2026-09-30 (NS) | |
| ISSN | Online edition: ISSN 2432-6380 | |
| 著作権に ついて |
技術研究報告に掲載された論文の著作権は電子情報通信学会に帰属します．(許諾番号：10GA0019/12GB0052/13GB0056/17GB0034/18GB0034) | |
| PDFダウンロード | NS2026-89 |
|
| 研究会情報 | |
| 研究会 | NS |
| 開催期間 | 2026-10-07 - 2026-10-09 |
| 開催地（和） | 北海道大学 + オンライン開催 |
| 開催地（英） | Hokkaido University + Online |
| テーマ（和） | ネットワークアーキテクチャ(オーバレイ、P2P、ユビキタスNW、スケールフリーNW、アクティブNW、NGN・新世代NW、IoT、エッジコンピューティング)、次世代パケットトランスポート(高速Ethernet、IP over WDM、マルチサービスパケット技術、MPLS)、グリッド、一般 |
| テーマ（英） | Network architecture (5G, Local 5G, Beyond5G, Mobile networks, Ad-hoc and sensor networks, Overlay and P2P networks, Programmable networks, SDN/NFV, IoT, Network slicing), Next generation packet transport (High speed Ethernet, IP over WDM, Multi-service package technology, MPLS), Grid, etc. |
| 講演論文情報の詳細 | |
| 申込み研究会 | NS |
| 会議コード | 2026-10-NS |
| 本文の言語 | 日本語 |
| タイトル（和） | 記号実行を用いた脆弱性の真偽判定に向けて |
| サブタイトル（和） | |
| タイトル（英） | Towards Determining Validity of Reported Vulnerabilities by Symbolic Execution |
| サブタイトル（英） | |
| キーワード(1)（和/英） | バグバウンティ / bug bounty |
| キーワード(2)（和/英） | 形式手法 / formal methods |
| キーワード(3)（和/英） | 記号実行 / symbolic execution |
| キーワード(4)（和/英） | 脆弱性検証 / vulnerability verification |
| キーワード(5)（和/英） | オープンソースソフトウェア / open-source software (OSS) |
| キーワード(6)（和/英） | / |
| キーワード(7)（和/英） | / |
| キーワード(8)（和/英） | / |
| 第1著者 氏名（和/英/ヨミ） | 西 航介 / Nishi Kosuke / ニシ コウスケ |
| 第1著者 所属（和/英） | 公立千歳科学技術大学 (略称： 千歳科技大) Chitose Institute of Science and Technology (略称： CIST) |
| 第2著者 氏名（和/英/ヨミ） | 砂原 悟 / Satoru Sunahara / スナハラ サトル |
| 第2著者 所属（和/英） | 北海道大学 (略称： 北大) Hokkaido University (略称： HU) |
| 第3著者 氏名（和/英/ヨミ） | 萩原 茂樹 / Shigeki Hagihara / ハギハラ シゲキ |
| 第3著者 所属（和/英） | 公立千歳科学技術大学 (略称： 千歳科技大) Chitose Institute of Science and Technology (略称： CIST) |
| 講演者 | 第1著者 |
| 発表日時 | 2026-10-07 17:30:00 |
| 発表時間 | 25分 |
| 申込先研究会 | NS |
| 資料番号 | NS2026-89 |
| 巻番号（vol） | vol.126 |
| 号番号（no） | no.183 |
| ページ範囲 | p.21 |
| ページ数 | 1 |
| 発行日 | 2026-09-30 (NS) |
[研究会発表申込システムのトップページに戻る] (日本語ページの行間係数: 1)