Patch-Locator:一种基于排序学习的开源软件漏洞补丁定位方法

日益增多的开源软件漏洞对软件安全带来了巨大的风险,补丁在应对这一风险的过程中扮演了非常重要的角色.不幸的是,尽管大部分漏洞的补丁在被披露前就已经开发完毕,但仅有部分补丁会随漏洞同步公开.现有的研究发现了漏洞与其补丁之间存在一定的相关性,并基于这些相关性特征对提交进行了排序,以定位漏洞的补丁,但仍旧存在漏洞数据部分缺失、定位准确率不佳等问题.本文提出了Patch-Locator,一种新的基于排序学习的补丁定位方法,通过扩展漏洞数据源对漏洞数据进行补充,并根据漏洞与补丁文本的相似性、漏洞产生的原因和导致的结果等更能反映漏洞与补丁间关联的因素提取了更具有针对性的相关性特征,并使用LambdaMart排序学习模型对提交基于其具有的相关性特征进行排序以定位安全补丁.本文用来自10个开源软件项目的1669个漏洞来评估Patch-Locator.实验结果表明,Patch-Locator的Recall@1指标为92.22%,Recall@5指标为95.51%,Manual Effort@5指标为1.2455,均优于现有方法.

基于引导扩散模型的自然对抗补丁生成方法

近年来,物理世界中的对抗补丁攻击因其对深度学习模型安全的影响而引起了广泛关注.现有的工作主要集中在生成在物理世界中攻击性能良好的对抗补丁,没有考虑到对抗补丁图案与自然图像的差别,因此生成的对抗补丁往往不自然且容易被观察者发现.为了解决这个问题,本文提出了一种基于引导的扩散模型的自然对抗补丁生成方法.具体而言,本文通过解析目标检测器的输出构建预测对抗补丁攻击成功率的预测器,利用该预测器的梯度作为条件引导预训练的扩散模型的逆扩散过程,从而生成自然度更高且保持高攻击成功率的对抗补丁.本文在数字世界和物理世界中进行了广泛的实验,评估了对抗补丁针对各种目标检测模型的攻击效果以及对抗补丁的自然度.实验结果表明,通过将所构建的攻击成功率预测器与扩散模型相结合,本文的方法能够生成比现有方案更自然的对抗补丁,同时保持攻击性能.

反相乳液聚合异相共引发制备PAM@PS补丁型粒子

以水溶性的丙烯酰胺(AM)和丙烯酸钠(AANa)以及油溶性的苯乙烯(St)为单体,将水溶性还原剂加在水相,油溶性氧化剂加在油相,通过氧化-还原引发剂在油水界面共引发单体共聚,利用反相乳液聚合异相共引发方法制备了具有乳化性能的补丁型粒子。优化了聚丙烯酰胺@聚苯乙烯(PAM@PS)补丁型粒子的合成条件,评价了粒子的乳化柴油的性能。较优反应条件为:油中St和水中(AM+AANa)的质量比1∶4,油水质量比为1.1∶1,单体总质量分数为40%,反应温度为40℃,反应时间12 h。反应所得补丁型粒子在水中用量不小于0.02%(质量分数),便可与柴油形成稳定的水包油乳液。

基于PatchTracker的对抗补丁防御算法

基于深度神经网络的目标检测技术已经广泛应用于各领域,然而,通过对抗补丁攻击在图像中添加局部扰动,以此来误导深度神经网络,对基于目标检测技术的视觉系统构成了严重威胁。针对这一问题,利用对抗补丁和图像背景的语义差异性,提出了一种基于PatchTracker的对抗补丁防御算法,该算法由上游补丁检测器与下游数据增强模块组成。上游补丁检测器使用带有注意力机制的YOLOV5(you only look once-v5)确定对抗补丁所在位置,有助于提高对小尺度对抗补丁的检测精度;将检测区域用合适的像素值覆盖以抹除对抗补丁,上游补丁检测器不仅能够有效降低对抗样本的攻击性,而且不依赖大规模的训练数据;下游数据增强模块通过改进模型训练范式,提高下游目标检测器的鲁棒性;将抹除补丁后的图像输入经过数据增强的下游YOLOV5目标检测模型。在公开的TT100K交通标志数据集上进行了交叉验证,实验表明,与未采取防御措施相比,所提算法能够有效防御多种类型的通用对抗补丁攻击,在检测对抗补丁图像时的mAP(mean average precision)提高65%左右,有效地改善了小尺度对抗补丁的漏检情况。与现有算法比较,所提算法有效提高了神经网络在检测对抗样本时的准确率。此外,所提算法不涉及下游模型结构的修改,具有良好的兼容性。

不正确程序修复补丁识别

程序自动修复技术是保证软件质量、提高开发效率的有效手段.目前,大多数自动修复工具使用测试用例作为补丁正确性验证的最终方法,有限的测试用例难以对程序进行充分的测试,因此自动修复工具生成的补丁集合包含大量的不正确补丁.为了识别不正确补丁,我们采用对比缺陷修复前后成功测试的执行路径以及生成测试用例的方法来识别修复补丁的有效性,以解决自动修复工具精度低的问题.我们的方法评估了来自6个经典的自动修复工具生成的132个补丁,并成功地排除了80个不正确的补丁并且没有排除正确的补丁,这表明我们的方法可以有效地排除不正确补丁,并且提高自动修复工具的精度.

一种基于随机游走的固件代码补丁修复判定方法

确定目标程序中的漏洞是否被修复,是软件安全性检测的途径之一,能够提高程序安全性。提出了一种基于随机游走的固件补丁存在性判定方法,利用程序分析技术对二进制固件函数进行代码特征提取和分析,判断固件中的函数是否进行了补丁修复,实现对固件漏洞代码的检测。该方法分别对固件中的目标函数和对应的漏洞函数、固件中的目标函数和补丁函数构建表征代码相似性程度的伴随图,并使用随机游走的方法筛选伴随图中的重要节点。基于重要节点信息,可以判断目标函数与漏洞函数、补丁函数的相似程度,实现对目标函数补丁修复情况的自动化判断。实验证明,提出的方法可以实现对固件补丁修复情况的高效判断,为提高二进制固件安全性提供支持。

政策补丁何以推进政策创新?

政策补丁是完善政策内容、细化政策措施和提升政策适应性的重要策略,也是推进政策创新的有效机制。通过对中国垃圾分类政策的变迁历程进行分析可发现,政策补丁有着独特的行动网络、情景策略和作用价值。首先,决策者、政策专家、地方官员和利益相关者形成了政策补丁的行动网络,不同行动者有着不同的政策诉求;其次,不同的政策情景催生出差异化的补丁策略,包括“经验提炼—树立典型”“迭代学习—政策调适”和“注意力转移—政策再建构”;最后,政策补丁具有稳进效应、累积效应、扩展效应、桥接效应和革新效应,这构成其推进政策创新的内在动力。

融合视觉中心机制和并行补丁感知的遥感图像检测算法

针对遥感图像存在复杂背景干扰、目标多尺度差异和微小目标提取难的问题,本文基于YOLOv7-tiny模型提出一种融合视觉中心机制和并行补丁感知的遥感图像检测算法。该算法一是引入显式视觉中心机制,构建像素点间的长距离依赖关系,丰富图像的整体语义信息,同时提升对目标纹理的提取性能;二是改进并行补丁感知模块,调整特征提取感受野,以适应不同目标尺度;三是设计多尺度特征融合模块,实现对多层特征的高效融合,提升模型推理速度。在公共数据集RSOD上进行实验,所提算法的准确率、召回率和平均准确率均值相较YOLOv7-tiny分别提升1.5%、2.4%和2.4%,此外在NWPUVHR-10和DOTA数据集上进行泛化性验证,结果表明本文算法具备较强的泛化性能。通过与不同算法对比分析,进一步体现本文算法性能的优越性。

需求定理的BUG与补丁

需求定理是经济学中极其重要的基础定理,在逻辑上容不得半点马虎,对需求定理严谨性造成冲击的不仅仅有外在的吉芬现象,其内涵也因与供给原理冲突而构成逻辑BUG。分析可知,问题的根源在于人们没有意识到任意两个价格之间不具有直接可比性。为此,提出了自稳均衡点概念,并以此作为补丁,植入需求定理定义,既可有效去除BUG,也与吉芬现象不再冲突。运用带补丁的需求定理,对吉芬现象产生的原因及条件提出了有别于传统结论的看法。

政策补丁:生成模式与产出效果——基于多案例的分析

我国政府治理中经常出现政策补丁现象,已有文献对其生成方式及产出效果缺乏探讨。基于全国“营改增”、天津“海河英才”行动计划、深圳“禁摩限电”和长沙“楼市调控”4个典型案例的分析显示:依据政策缺陷发觉途径和决策流程改进2个维度的不同情况,政策补丁的生成有“未雨绸缪”“亡羊补牢”“知错就改”和“顾此失彼”4种模式。在产出效果上,尽管都有助于实现政策目标,但不同模式生成的政策补丁对特定问题的治理影响不同:“未雨绸缪”和“知错就改”模式生成的政策补丁能够比较好地起到完善或弥补原有政策体系的不足从而促进治理良性运行的作用,而“亡羊补牢”尤其是“顾此失彼”模式生成的政策补丁则容易造成政府公信力的流失和治理秩序的混乱。改善政策补丁质量及其治理效果的基本途径,是增强政府决策者政策学习意识和能力、扩大决策的开放性和利益相关者的参与度,以及提高政策规划和顶层设计能力。

基于自适应集成补丁变换的齿轮故障诊断方法

针对集成补丁变换(ensemble patch transformation,EPT)进行信号分解时易出现模态混淆和参数无法自适应的问题,提出一种基于自适应集成补丁变换(adaptive ensemble patch transformation,AEPT)的齿轮故障诊断方法。在AEPT分解过程中,通过极值约束获得若干个采样点,并以此完成信号局部划分,实现信号降噪;结合极值点周期设置补丁参数,搭建集成补丁结构;通过迭代和筛分将任意一个非线性非平稳信号自适应地分解为若干个瞬时频率具有物理意义的集成补丁分量(ensemble patch component,EPC)。通过调幅仿真信号、齿轮故障仿真信号和实际齿轮裂纹信号进行试验验证,结果表明,AEPT方法在抑制模态混淆、鲁棒性等方面具有明显优势,可以有效地完成齿轮故障诊断。

基于数据流分析的过拟合补丁识别

自动程序修复技术可实现对软件缺陷的自动修复,并使用测试套件评估修复补丁.然而因为测试套件不充分,通过测试套件的补丁可能并未正确修复缺陷,甚至引入新的缺陷并产生波及效应,导致自动程序修复生成大量过拟合补丁.针对这个问题,本文提出了一种基于数据流分析的过拟合补丁识别方法,首先将补丁对程序的修改分解为对变量的操作,然后采用数据流分析方法识别补丁影响域,并根据补丁影响域选择针对性覆盖准则来识别目标覆盖元素,进而选取测试路径并生成测试用例实现对修复程序的充分测试,避免修复副作用的影响.本文在两个数据集上进行了评估,实验结果表明,基于数据流分析的过拟合补丁识别方法可有效提升自动程序修复的正确性.

一种通用防御物理空间补丁对抗攻击方法

目标检测算法具有优异的性能,在工业上已经得到广泛应用。然而,最近研究表明目标检测算法容易遭受对抗攻击,对抗样本会使得模型的性能大幅下降。攻击者在数字空间中在图片上贴一个对抗补丁,或者在物理空间中手持一张打印的对抗补丁,都可以使得待检测的对象从目标检测器中“消失”。补丁对抗攻击在物理空间中可以攻击自动驾驶汽车和躲避智能摄像头,对深度学习模型的应用造成了重大安全隐患。在物理空间中攻击目标检测器的对抗补丁具有鲜明特点,它们色彩鲜艳、变化剧烈,因此包含大量高频信息。基于这个特点,我们提出了一种遮罩防御方法。我们先把待检测的图片分割成若干个像素块,再用快速傅里叶变换和二值化处理求这些像素块中高频信息的含量,依次对含有较多高频信息的像素块使用遮罩,最后用目标检测器验证。此防御方法能够在物理空间中快速定位补丁的位置并破坏补丁的攻击效果,使得目标检测器可以检测到被攻击者隐藏的对象。本方法与模型无关,也和生成对抗补丁的方法无关,能够通用防御物理空间中的补丁对抗攻击。我们在物理空间中使用了两个应用广泛的目标检测器做防御补丁对抗攻击实验,在三个数据集中都能以超过94%的防御成功率防御攻击,比对比方法中最好的高出6%,实验结果证明了我们的方法的有效性。

图像分类中的对抗补丁研究综述

近年来,深度神经网络模型的安全性与鲁棒性成为了备受关注的重要问题。从前人们常探讨的对抗样本攻击,在物理世界中真正实施攻击的能力较弱,这促使了对抗补丁攻击的出现。文中介绍了图像分类模型中典型的对抗补丁攻击与防御方法相关研究,对其中的特点进行了分析,最后总结了对抗补丁研究中仍存在的主要挑战,并对未来的研究方向进行了展望。

融合句嵌入模型和代码特征的补丁验证方法

补丁验证常用运行测试套件的方法来验证补丁正确性,然而自动修复技术生成的补丁往往数量巨大,而将每个补丁依次通过测试套件则会产生难以承受的开销.针对该问题,本文提出一个由句嵌入模型InferSent和支持向量机分类器组成的静态补丁验证方法.使用InferSent提取代码静态特征并通过支持向量机分类器来预测补丁正确性.该方法更加关注代码的静态特征信息,通过对特征的提取分析,无需运行测试套件即可有效地预测自动修复工具生成的补丁的正确性.本文在多个自动修复工具生成的补丁集合上进行了验证.实验结果表明,在修复工具生成的补丁集合上,本文提出的静态补丁验证方法对补丁预测的F1值达到71.89%,相比其他两种最新静态补丁验证方法分别提高11.64%和6.43%,并在五项评价指标上均优于对比模型.表明该方法可以在不运行测试套件的情况下正确预测补丁,且具有良好的泛化能力.

补丁自动管理系统的设计与实现

随着局域网的规模越来越大,安全现状日益严峻,补丁分发管理等安全防范措施引起了人们的普通关注。该文针对目前补丁管理软件发展现状,进行了补丁自动管理系统的设计开发与实现。该文设计的系统支持中文补丁升级,实现补丁自动下载、检测及安装,支持多种组网方案的扩充,适用于大型网络的补丁分发。

应用软件维护中的补丁开发与管理

软件维护作为应用软件生命周期的一个重要环节,是软件生命周期中持续时间最长的阶段。软件维护中的一项核心内容是为客户提供高质量的软件补丁。软件补丁实质上是对软件源代码进行局部修改或改进,修补软件存在的缺陷和漏洞,或者改进软件的某些局部功能。文中叙述了软件维护过程中补丁问题的来源,介绍了应用软件补丁开发涉及到的角色,以及各个角色在补丁开发过程中的职责和任务;给出了应用软件补丁制作的详细过程,软件补丁制作的过程通常采用问题单流动的方式管理;最后介绍了一些实际工作中典型的补丁开发案例。长期的工作实践表明,做好软件补丁的开发工作,可以有效地完成大型应用软件的维护工作。从而更好地满足客户对软件的需求,延长处于维护阶段软件产品的使用寿命。同时也为开发新版本软件产品提供了良好的基础。

补丁

补丁这个词恐怕要退出词典了。它本是指衣服破了,用块碎布头补上。但是现在30岁以下的人有谁见过补丁?又有谁还穿补丁衣服?说起这个话题是因为一场乌龙。

一种补丁管理系统的研究与设计

由于系统漏洞引发的安全事故日益严峻,补丁如何高效分发和管理越来越受到人们的关注.本文针对实际需求,对补丁管理系统进行了详细的研究和设计.该系统支持中文补丁升级,补丁能自动下载、检测及安装,P2P补丁分发模式,支持报表统计和流程管理以及基于角色的补丁分发控制等.

给生活打一些“补丁”

公司要选购一批灯饰材料,数量大,设计复杂,与一家公司洽谈了几次还是不太满意。那天,一行人做好了准备,如果这次再谈不妥,另换他家。对方很重视这一单,田总亲自上了谈判桌。田总是一位30岁出头的知性美女,自始至终表情温和,力道恰好。对于我们提出的苛刻条件,她笑着接受,然后又笑着说:“这个亏洞太大了,你们能不能送我们一个小补丁补一补?”然后提出合理申请。数个来回,我们感觉双方基本平衡了,但还有众多小细节需要敲定,这时,田总说暂时失陪一下。