vEcho: A Paradigm Shift from Vulnerability Verification to Proactive Discovery with Large Language Models
vEcho利用大语言模型实现从被动验证到主动发现漏洞的范式转变，检测率达65%，误报率降至59.78%。
核心发现
方法论
vEcho通过引入深度上下文感知验证、认知记忆模块和回声漏洞传播机制，将大语言模型从被动过滤器转变为具有学习、记忆和推理能力的虚拟安全专家。其核心包括候选漏洞生成与过滤、基于项目上下文的深度验证、知识反馈学习和主动漏洞传播。具体算法如EVP机制利用相似性推理，结合多源扫描和工具调用，实现跨项目知识迁移。实验中，vEcho在CWE-Bench-Java数据集上，检测率达65%，比IRIS提升41.8%，误报率降低28.3%。
关键结果
- 检测率达65%，比IRIS的45.83%提升41.8%，显著增强漏洞检测能力。
- 误报率降低至59.78%，比IRIS的84.82%减少28.3%，有效缓解警报疲劳。
- 在实际开源项目中，主动发现51个新0-day漏洞，包括高危RCE和ACE，验证其实用性和高效性。
研究意义
该研究突破了传统静态应用安全测试（SAST）被动验证的局限，通过主动学习和推理实现漏洞的主动发现，有望极大提升软件安全审计效率，减轻安全专家负担。其创新机制为未来自动化安全检测提供新思路，推动安全自动化向智能化方向发展。
技术贡献
vEcho的主要技术创新在于引入认知记忆模块和回声漏洞传播机制，结合大语言模型的推理能力，实现跨项目知识迁移和主动漏洞推理。不同于IRIS等被动规则生成方法，vEcho具备持续学习能力和主动探索能力，为静态分析赋予了“思考”与“学习”功能，提供了理论保证和工程实现的新可能。
新颖性
本研究首次将大语言模型作为主动安全专家，结合认知记忆和漏洞传播机制，突破了现有LLM辅助静态分析的被动限制，实现从验证到主动发现的根本转变。这在学术和工业界具有开创性意义。
局限性
- 依赖大模型的推理能力，可能在极端复杂或模糊场景下表现不足，存在误判风险。
- 对大规模项目的上下文理解仍有限，可能影响深度验证的准确性。
- 在大规模代码库中，主动探索的计算成本较高，需优化效率。
未来方向
未来将结合动态分析和执行信息，增强模型对复杂漏洞的理解能力；优化算法以降低计算成本；扩展多语言支持，提升跨平台适应性；同时探索更深层次的自动化漏洞修复方案。
AI 总览摘要
在现代软件开发中，静态应用安全测试（SAST）工具面临高误报率和漏检问题，严重影响安全审计效率。传统方法多依赖规则和数据流分析，难以应对复杂多变的代码环境。近年来，大语言模型（LLMs）被引入辅助漏洞检测，虽有一定改善，但大多仍停留在被动过滤和规则生成阶段，缺乏主动学习和推理能力。
本文提出vEcho框架，旨在实现从被动验证到主动发现的范式转变。vEcho通过深度上下文感知验证、认知记忆模块和回声漏洞传播机制，赋予LLMs学习、记忆和推理能力。其核心创新在于利用已验证漏洞的模式，主动推断未知漏洞，从而大幅提升检测率和降低误报。实验结果显示，vEcho在CWE-Bench-Java数据集上检测率达65%，比IRIS提升41.8%；误报率降至59.78%，比IRIS降低28.3%。
更令人振奋的是，vEcho在实际开源项目中，主动发现了51个新型0-day漏洞，包括高危远程代码执行（RCE）和任意代码执行（ACE），验证了其强大的实用性和潜力。这一突破性技术不仅提升了漏洞检测的智能化水平，也为未来自动化安全审计提供了新思路。
总之，vEcho通过引入主动学习机制，突破了传统静态分析的局限，为软件安全领域带来了革命性变革。未来，结合动态分析和多语言支持，vEcho有望在工业界实现大规模推广，极大提升软件安全保障能力。
深度分析
研究背景
随着软件复杂度不断提升，静态应用安全测试（SAST）成为保障代码安全的重要手段。早期工具如Coverity、Fortify和开源的CodeQL，依赖规则和数据流分析，取得一定成效，但高误报和漏检问题严重。近年来，LLMs在代码理解和推理方面展现出巨大潜力，推动安全分析向智能化发展。IRIS等工作尝试结合LLMs生成检测规则，但仍局限于被动规则优化，缺乏主动学习和跨项目迁移能力。当前行业亟需一种能主动发现未知漏洞、降低误报的智能系统，以应对日益复杂的安全威胁。
核心问题
现有SAST工具在高误报率和漏检方面难以突破，导致安全审计资源浪费严重。传统方法缺乏全局上下文理解，难以识别隐藏的漏洞模式。LLMs虽能辅助规则生成，但多为被动分析，无法主动学习和推理，限制了其在实际应用中的效果。如何构建一个具有学习、记忆和推理能力的智能安全分析系统，成为行业亟待解决的问题。
核心创新
vEcho的核心创新在于引入认知记忆模块和回声漏洞传播机制。认知记忆模块模拟人类学习，存储跨项目的安全知识和漏洞模式，支持知识迁移。回声机制通过分析验证结果，主动推断潜在漏洞，生成新的检测假设，形成闭环学习体系。该系统结合深度上下文感知验证和多源工具调用，实现高精度、主动发现漏洞的目标，突破传统被动验证的局限。
方法详解
- �� 初始候选生成：结合传统SAST工具（如CodeQL、Coverity）和自研LLM扫描代理ScanAgent，生成潜在漏洞候选。
- �� 深度验证：调用代码导航、项目理解和网络搜索工具，结合认知记忆模块，分析候选漏洞的上下文信息，进行多轮推理判断。
- �� 认知学习：将验证结果（TP或FP）反馈到知识库，提取模式，存入永久记忆，实现跨项目迁移。
- �� 漏洞传播：基于验证结果，利用相似性推理，主动生成重扫描指导和相似代码片段，触发二次扫描，持续扩展漏洞发现范围。
- �� 循环优化：将新发现的潜在漏洞反馈到候选生成阶段，形成闭环，持续提升检测能力。
实验设计
采用CWE-Bench-Java数据集，包含120个真实漏洞项目，评估指标包括检测率、误报率（FPR）和F1分数。与IRIS、CodeQL等基线对比，验证vEcho的检测能力和误报控制。还在实际开源项目中验证新漏洞发现能力，特别关注高危漏洞的主动识别。参数调优包括模型大小、推理深度和知识库更新频率，确保系统在不同场景下的鲁棒性。
结果分析
vEcho在CWE-Bench-Java上检测率达65%，比IRIS的45.83%提升41.8%；误报率降至59.78%，比IRIS的84.82%降低28.3%。在实际项目中，主动发现51个新型0-day漏洞，包括Apache项目中的高危RCE和ACE，验证其实际应用价值。消除了传统静态分析的盲点，实现了主动、跨项目的漏洞发现能力，显著提升了安全检测的智能化水平。
应用场景
该系统适用于企业安全审计、开源项目漏洞挖掘和自动化安全检测平台。只需提供代码仓库和项目上下文信息，便可实现高效、主动的漏洞检测。未来，结合动态分析和多语言支持，可推广至工业界的持续集成环境，提升整体软件安全水平。
局限与展望
依赖大模型的推理能力，复杂场景下可能出现误判。对大规模项目的上下文理解仍有限，影响验证深度。计算成本较高，需优化效率和扩展性。未来需结合动态分析和多模态信息，增强系统鲁棒性。
通俗解读 非专业人士也能看懂
想象你在一家大型工厂工作，工厂里有许多不同的机器和流程。每次发现问题，你会记录下来，记住哪些机器容易出故障，然后用这些经验去检查其他类似的机器。vEcho就像这个工厂的维修员，它不仅能记住以前的故障，还能根据这些经验主动去找可能出问题的地方，而不是等着别人告诉它哪里出错。它通过学习和推理，能更快找到潜在的隐患，就像一个聪明的维修员一样，提前预防问题发生。这种方法比传统的只检查已知问题的工具更聪明、更主动，也更有效率。
简单解释 像给14岁少年讲一样
想象你在学校里，有个超级聪明的学长，他不仅会帮你检查作业，还能根据你以前犯的错误，主动告诉你哪些题可能会错，甚至帮你提前准备好答案！vEcho就像这个学长，它用一种特别聪明的方法，不仅能找到代码里的漏洞，还能根据以前发现的漏洞，主动猜测出其他可能有问题的地方。这样一来，程序变得更安全，漏洞也更少。它就像一个有记忆的侦探，总是在你还没发现问题之前，就帮你找到潜在的危险。是不是很酷？未来，这个聪明的侦探还能帮开发者自动修复漏洞，让软件变得更安全、更可靠！
原文摘要
Static Application Security Testing (SAST) tools often suffer from high false positive rates, leading to alert fatigue that consumes valuable auditing resources. Recent efforts leveraging Large Language Models (LLMs) as filters offer limited improvements; however, these methods treat LLMs as passive, stateless classifiers, which lack project-wide context and the ability to learn from analyses to discover unknown, similar vulnerabilities. In this paper, we propose vEcho, a novel framework that transforms the LLM from a passive filter into a virtual security expert capable of learning, memory, and reasoning. vEcho equips its core reasoning engine with a robust developer tool suite for deep, context-aware verification. More importantly, we introduce a novel Echoic Vulnerability Propagation (EVP) mechanism. Driven by a Cognitive Memory Module that simulates human learning, EVP enables vEcho to learn from verified vulnerabilities and proactively infer unknown, analogous flaws, achieving a paradigm shift from passive verification to active discovery. Extensive experiments on the CWE-Bench-Java dataset demonstrate vEcho's dual advantages over the state-of-the-art baseline, IRIS. Specifically, vEcho achieves a 65% detection rate, marking a 41.8% relative improvement over IRIS's 45.83%. Crucially, it simultaneously addresses alert fatigue by reducing the false positive rate to 59.78%, a 28.3% relative reduction from IRIS's 84.82%. Furthermore, vEcho proactively identified 37 additional known vulnerabilities beyond the 120 documented in the dataset, and has discovered 51 novel 0-day vulnerabilities in open-source projects.