ПОРІВНЯЛЬНИЙ АНАЛІЗ ЕФЕКТИВНОСТІ ВИЯВЛЕННЯ ВРАЗЛИВОСТЕЙ ПРОГРАМНОГО КОДУ З ДОПОМОГОЮ LLM ТА SAST

Анотація

У статті обґрунтовано необхідність впровадження засобів контролю безпеки програмного коду за допомогою великих мовних моделей (LLM), зумовлену стрімким зростанням обсягів програмного коду та появою нових безпекових ризиків, пов’язаних із генерацією коду за допомогою штучного інтелекту та необхідністю інтеграції окремих частин коду у складні архітектурні рішення. Алгоритми існуючих інструментів статичного аналізу коду (SAST) схильні до помилок через нездатність повноцінно враховувати логіку виконання коду та його контекстуальні зв’язки. Використання LLM як верифікатора, який підтверджує або спростовує результати статичного аналізу коду, потенційно може вирішити ці недоліки. У статті проведено порівняльний аналіз ефективності виявлення безпекових вразливостей програмного коду на мові C# за допомогою інструменту статичного аналізу коду Roslyn Analyzers, великих мовних моделей, таких як DeepSeek і Grok та інтеграційного підходу, що поєднує переваги статичних аналізаторів та LLM. Методика дослідження базується на проведенні експериментального дослідження з використанням тестової вибірки фрагментів програмного коду на мові C#, які містять безпекові вразливості різного типу. На першому етапі дослідження тестування фрагментів коду проводилось за допомогою інструменту статичного аналізу коду Roslyn Analyzers. На наступному етапі фрагменти коду було проаналізовано на наявність вразливостей моделями DeepSeek V3 та Grok 4.1. На заключному етапі було оцінено ефективність запропонованого гібридного підходу, що передбачає початкову перевірку коду статичним аналізатором з подальшою передачею його звітів на вхід обраних моделей генеративного інтелекту. Результати дослідження показують. що гібридний підхід з використанням DeepSeek та Roslyn Analyzers забезпечує зростання показників їхньої ефективності в порівнянні з незалежним використанням цих засобів. Порівняльний аналіз показників автономного використання моделей також встановив, що Grok показує гірші результати, ніж модель DeepSeek, і не є найкращим варіантом для застосування в задачах подібного типу. Дослідження демонструє, що інтеграція аналітичних можливостей великих мовних моделей у класичні процеси статичного аналізу програмного коду за рахунок підтвердження або спростовування результатів статичного аналізу є потенційним кроком до самокоригованих процесів аналізу безпеки програмного коду.