Favia：用于漏洞修复识别和分析的取证代理 Favia: Forensic Agent for Vulnerability-fix Identification and Analysis

Favia的方法分为两个主要阶段。第一阶段是候选排序，给定一个CVE和受影响的仓库，系统使用PatchFinder对仓库中的所有提交进行排序，PatchFinder结合TF-IDF和语义相似度进行初始检索，然后用微调的CodeReviewer模型重新排序，排序后只保留前k个候选提交用于第二阶段分析。第二阶段是代理分类，对于每个候选提交，系统实例化一个基于大语言模型的代理，代理的任务结构分为三个部分：理解漏洞、分析提交变更、关联代码变更与CVE。代理使用CVE报告工具、CWE报告工具、代码搜索工具、文件搜索工具、打开文件工具、滚动文件工具等，最多运行20步。

Favia的技术新颖性体现在多个方面：代理环境设计将代理实例化在提交前的代码环境中，这是首次将代理与真实代码库状态结合用于漏洞修复识别；工具化推理代理通过Python函数调用与环境交互；因果对齐要求Favia要求代理显式地在代码变更与漏洞根本原因之间建立因果关联；证据驱动过程代理必须通过检索CVE和CWE报告、导航代码库来收集证据；混合架构结合高效排序与深度推理平衡了可扩展性与分析深度。

计算成本较高：Favia的平均输入token消耗是基线的7到10倍，这主要来自多轮交互和上下文累积，改进方向包括优化上下文管理策略、使用更高效的推理方法、或者设计自适应推理深度控制。表面关联问题：百分之五十八点七的失败来自表面关联，代理基于关键词或文件名推断匹配，改进方向包括增强因果推理训练、引入对比学习来区分真正相关的证据与表面相似的干扰项。CVE误解问题：百分之二十九点八的失败来自CVE误解，改进方向包括改进CVE报告的解析和结构化表示、引入多视角验证。对排序阶段的依赖：如果真正的补丁不在前10个候选中后续分析无法恢复，改进方向包括使用多个不同的排序方法进行集成。代理步骤限制：最多20步可能不够处理复杂漏洞，改进方向包括设计自适应步骤预算。

论文提出和可延伸的未来工作方向包括改进因果推理和置信度校准通过更好的因果推理训练和置信度校准技术进一步减少模糊候选集中的误报；自适应推理深度控制开发能够根据漏洞复杂度和候选特性动态调整推理深度的机制以降低代理的计算成本；扩展数据集和评估扩展CVEVC和类似数据集以支持额外的排序策略编程语言和漏洞类别；代理行为理解和改进基于论文的失败模式分析开发更深入的代理行为理解工具和改进方法；多代理协作探索使用多个专门化代理协作解决复杂漏洞识别任务；实时部署优化针对实际安全运维场景优化系统的响应时间资源消耗和可扩展性。

论文提供了良好的复现条件：数据集完全开源CVEVC数据集托管在HuggingFace上包含三个子数据集以及两个评估数据集；代码实现Favia基于smolagents库实现这是开源的HuggingFace库；基线实现所有基线方法都有开源实现或详细文档；实验设置论文详细描述了所有超参数训练细节和评估协议。复现挑战包括计算资源需求需要处理2TB的仓库数据运行大语言模型推理特别是235B参数的Qwen3这需要大量GPU资源；外部依赖系统依赖NVD CVE API和MITRE CWE API需要网络访问；时间成本多轮代理推理每样本约66k token完整评估需要相当长的时间；数据获取虽然数据集开源但克隆3708个仓库需要大量存储空间和时间。总体评估复现难度中等偏高主要挑战在于计算资源需求而非方法复杂性。