arXiv cs.AI· Oshando Johnson, Ranjith Krishnamurthy, Rohith Kumar Shanmuganathan, Goran Piskachev, Eric Bodden·· 10 小时前AI 评分32
SAFE：用代码接地的智能体解释静态分析漏洞发现
Code-Grounded Agentic Explanations for Static Analysis Vulnerability Findings
AI 导读
开源 IntelliJ IDEA 插件 SAFE 完成重新设计，将检测留给分析器、只让 LLM 负责解释，并要求智能体在回答前查阅代码仓库与触发规则。24 人交叉实验显示，System Usability Scale 可用性评分从 77.3 升至 85.0，正确修复的几率提高 2.6 倍，可操作性提升最明显；分诊准确率与单条发现耗时无差异，信任度未变化。
正文 · AI 翻译
摘要：静态应用安全测试（SAST）工具能尽早发现漏洞，其判定基于规则且可审计。然而，开发者常常会忽略他们无法理解的发现。大语言模型可以补充缺失的解释，但若设计上同时把检测也交给模型，就会丧失使静态分析站得住脚的可审计性。我们让检测仍由分析器负责，只把解释工作交给模型。一项有 20 名参与者参加的初步用户研究和一场有 19 名从业者参加的研讨会得出了五项需求。在这些需求的指导下，我们重新设计了 SAFE——一个开源 IntelliJ IDEA 插件，用于解释任何以静态分析结果交换格式（SARIF）报告结果的分析器所给出的发现。它按需分层提供解释，将解释与所报告的数据流关联，并用一个必须查阅代码仓库和触发规则后才能作答的智能体取代了单提示词后端。一项有 24 名参与者参加的组内交叉实验将重新设计后的版本与其前身进行了比较。在系统可用性量表上，感知可用性从 77.3 升至 85.0。在解释质量各项中，可操作性提升最大——这正是此前两项研究都指出的最薄弱方面——且正确修复的几率高出 2.6 倍。分诊准确率和每条发现的处理时间没有可辨差异，我们将其视为无信息量，而非等价。信任是唯一没有变化的指标，收尾访谈表明，基于依据的说明让发现更容易理解，而非更容易相信。参与者还划出了一条任何需求都未预料到的边界：他们希望工具负责发现和解释，而由他们自己判断和应用。
| 主题： | 软件工程（cs.SE）；人工智能（cs.AI）；人机交互（cs.HC） |
| 引用为： | arXiv:2611.13041 [cs.SE] |
| （或 arXiv:2611.13041v1 [cs.SE] 为本版本） | |
| https://doi.org/10.48550/arXiv.2611.13041 由 DataCite 颁发的 arXiv DOI（待注册） |
提交历史
来自：Oshando Johnson [查看邮箱]
[v1]
2026年11月9日星期一 11:40:08 UTC（945 KB）
来源：arXiv cs.AI · arxiv.org