当风云卫拥抱DeepSeek发生了哪些？ 从漏洞验证到自动修复的优化之路

近期，Deepseek-R1[1]凭借在多项核心评测基准中的优异表现，尤其是在代码层面，展现出了强大的推理能力和高效的性能，能够有效支持开发者完成复杂的编程任务。那么，Deepseek-R1是否会给代码审计带来智能化变革呢？

本文将聚焦于静态代码审计的安全场景，通过对DeepSeek-R1能力实测，分析背后技术内核，探索Deepseek-R1在代码审计中的潜力。本文将探讨如何将其推理能力内化，帮助识别复杂的代码审计问题，从而提升代码审计的准确性。

为精确评估模型在源代码漏洞识别方面的能力，我们定义了四个关键度量标准[2]：

可解析的GPT输出计数：检查模型是否能提取并解析JSON结构，至少包含“findings”键，即使内容为空或存在错误结构。如果JSON格式不正确，则需要进行人工校验。

CWE字段标记为“Present”但源代码错误：若模型列出正确的CWE编号，但未识别出漏洞代码行，视为错误。

CWE标记为“Present”且包含部分漏洞代码：若CWE正确，且部分漏洞代码被识别，但仍包含无关代码，视为部分正确。

完全正确的实例计数：CWE正确且漏洞代码行被准确识别，视为理想结果。

模型响应质量分类如下：

有效 (I)：准确识别漏洞类型，且漏洞代码仅包含有效漏洞片段。

有帮助 (H)：识别了正确漏洞类型，但漏洞代码包含无关代码。

误导 (M)：识别了正确漏洞类型，但漏洞代码识别错误。

不确定 (U)：未识别漏洞或错误识别为其他类型。

因此，我们可以根据以下CWE判别指标来进一步评估模型的效果：

较高的I-Score和IH-Score表明模型在检测安全缺陷能力更强。因IH-Score的值大于I-Score，本文主要以IH-Score进行指标对比。

此外，使用准确率来表示模型对某类CWE漏洞的识别能力。

图3展示了在最优提示词条件下，风云卫与DeepSeek-R1在微调前后对各种CWE漏洞识别表现的对比。风云卫在漏洞分析微调前，能够识别的CWE漏洞不到50%。这可能是因为基座模型在安全预训练过程中使用的数据存在偏向性和噪音问题。为了弥补这一不足，公司利用自有安全产品积累和海量安全数据构建了高质量的漏洞代码分析数据。在进行专业漏洞分析数据训练后，风云卫大模型在漏洞识别方面表现卓越，几乎能够识别所有CWE漏洞，并显著提高了识别的准确率。例如，经过微调后的风云卫模型，成功识别了之前无法检测的CWE-276（不正确的默认权限）和CWE-269（权限管理不当）等漏洞，并且在常见的语义漏洞CWE-89（SQL注入）上达到了100%的识别率。微调后的风云卫在各项漏洞识别任务中的整体表现大幅优于微调前，进一步验证了通过安全领域指令微调数据提升大模型性能的有效性。

另一方面，DeepSeek-R1在一些高级漏洞识别任务中展现出了更强的优势，特别是在CWE-22（路径遍历）、CWE-918（服务器端请求伪造）和CWE-362（竞态条件）的识别上，表现优于微调后的风云卫模型。例如，CWE-362，竞态条件漏洞，是一种复杂的安全漏洞，通常发生在多线程或多进程环境中，当多个线程或进程竞争访问共享资源时，可能导致系统行为不稳定或不可预测。此类漏洞的识别要求对程序的整体结构进行深度推理，分析并发操作对资源的影响。DeepSeek-R1凭借其强大的推理能力，在处理此类问题时展现出明显优势，能够精准地识别和预测多线程操作中潜在的竞态条件。然而，风云卫大模型在处理这类高级漏洞时仍有提升空间，未来需要加强对并发程序和复杂交互的分析能力，以更好地应对竞态条件等挑战。

尽管风云卫在整体漏洞识别率上优于DeepSeek-R1，但后者凭借其强大的推理能力，在高级漏洞检测方面表现突出。总体而言，DeepSeek-R1展现了作为推理型大模型的强大潜力，能够在多种漏洞检测任务中保持较高的识别准确度。

传统的静态代码分析主要依赖于抽象语法树（AST）或构建函数调用图，通过规则匹配进行漏洞识别。而当前主流的大语言模型则通过CWE漏洞定义的语义进行漏洞识别。总体来看，相比传统的静态扫描工具，大语言模型在代码审计中提供了更高的覆盖率，但也带来了更高的误报率。尤其在识别漏洞类型和CWE编号时，容易出现幻觉问题（hallucination）。此外，大模型还受到上下文长度的限制，这使得如何实现项目级别的全面代码审计成为了业界亟待解决的重要研究方向。

图4展示了由天枢实验室建立的智能体平台，根据各种安全场景需求，快速构建了多种适配安全业务的智能体，其风云卫代码审计能力已被集成到代码审计智能体2.0应用中。在该智能体平台上，除了代码审计外，还支持对流量监控、敏感信息检测、网页挂马检测、代码泄露发现等其他安全智能体。绿盟致力于打造全球领先的安全智能体平台，推动安全技术的持续创新和应用。接下来，将重点介绍代码审计智能体，其他智能体的详细介绍请关注绿盟的企业公众号，以获取更多更新和相关信息。

代码审计智能体2.0中，主要包含了代码审计、代码漏洞修复、与源码静态工具融合判断三个子功能。

代码审计:图5展示了在智能体中，风云卫如何融合抽象语法树（AST）分析。风云卫通过AST和语义分析，给出了更加符合代码语义场景的CWE-95（eval函数执行，CWE-95典型例子）。

作为当前备受关注的开源模型，DeepSeek-R1 在代码审计场景中展现了强大的推理能力，但也带来了较高的计算资源消耗。实测数据显示，在4K 代码段范围内，DeepSeek-R1 的漏洞分析平均耗时 0.5-2 分钟，而 绿盟风云卫 在相同硬件环境下的响应速度可达其 5 倍以上。在实际企业级应用中，面对庞大的工程代码规模，DeepSeek-R1 的计算开销可能成为部署的瓶颈。

未来，我们计划进一步优化代码审计智能体，将 DeepSeek-R1 的推理能力与 AST 语法树解析、函数调用图构建、跨文件污点追踪等技术相结合，增强其对复杂代码结构的理解能力。同时，结合 绿盟SDA静态分析产品，利用现有规则库和快速筛查机制，减少大模型的计算负担，从而提升代码审计的整体运行效率。在融合 DeepSeek-R1 推理能力的过程中，我们还将重点优化推理路径裁剪、任务分层执行、缓存复用等机制，确保大模型的高效执行，使其能更好地适应企业级安全需求。

本次评测对比了 DeepSeek-R1 和 风云卫 在代码审计任务中的表现，分析了两者在漏洞识别、推理能力和审计效率上的差异。DeepSeek-R1 作为推理型大模型，在语义理解、少样本泛化和推理能力方面展现了优势，而风云卫依托专业安全数据的预训练和微调，在特定安全场景下具备更精准的漏洞检测能力。在第三节中，详细介绍了基于风云卫大模型代码审计能力打造的“代码审计智能体2.0”，并深入剖析了 DeepSeek-R1 的推理机制。未来，我们将把 DeepSeek-R1 的推理能力与多种安全程序分析方法深度融合，并结合传统的绿盟SDA产品分析规则，全面提升漏洞检测的准确性及效率。

未来，绿盟天枢实验室将继续推进代码审计智能体的升级，拓展从函数级漏洞检测到仓库级漏洞分析的能力，重点突破跨文件逻辑追踪、全局风险链路识别，并结合污点传播和数据流分析优化漏洞检测逻辑。我们将采用多专家协作机制，结合推理模型、规则引擎、知识增强等手段，降低误报率，提升检测准确性，并进一步优化模型架构和定制化微调，使其更契合企业级安全需求，为智能化代码安全审计提供更强的技术支撑。