软件安全漏洞是网络攻击的主要入口。据 CVE 数据库统计2023 年新增漏洞 29,065 个较 2022 年增长 15.88%漏洞形势日益严峻。现有深度学习方法多以整个函数或 PDG 生成的序列级切片为检测对象包含大量与漏洞无关的冗余代码导致精确率和召回率难以兼顾。GraphFVD 提出从代码属性图CPG中提取细粒度属性图级漏洞候选切片PrVC并设计分层注意力图卷积网络HierGCN学习代码图嵌入精准捕捉漏洞语义。论文标题GraphFVD: Property Graph-based Fine-grained Vulnerability Detection发表期刊Computers Security 2025Elsevier, JCR Q1作者单位哈尔滨工业大学深圳计算机科学与技术学院开源代码https://github.com/VulDet/GraphFVD01 方法介绍GraphFVD 的核心思想是从代码属性图CPG中提取属性图级漏洞候选切片PrVC融合抽象语法、控制流、数据流和代码自然顺序四种语义再通过分层注意力图卷积网络HierGCN学习图嵌入实现细粒度漏洞分类预测。整体流程包含三个模块①CPG 构建——将源代码解析为代码属性图CPG整合抽象语法树AST、控制流图CFG和程序依赖图PDG同时保留语句的自然顺序一次图建模捕获代码的完整语义结构。②PrVC 提取——从 CPG 中提取属性图级漏洞候选切片PrVC。PrVC 融合了语法结构、执行路径、数据依赖和代码顺序精确刻画漏洞代码的完整语义节点数平均约为 CPG 的一半大幅减少冗余。③HierGCN 分类——基于关系图卷积网络RGCN设计分层注意力图卷积网络HierGCN引入局部注意力聚合不同 token/节点重要性和全局注意力聚合全局图结构并加入残差连接稳定深层训练。小结GraphFVD 将漏洞检测从函数/PDG 级别升级为属性图切片级别通过 PrVC 实现细粒度语义表示结合 HierGCN 分层注意力实现精准漏洞预测。02 关键机制属性图级代码表示——将语法结构AST、执行路径CFG、数据依赖PDG和代码语句顺序融合到同一张属性图中通过 PrVC 切片精确提取漏洞相关代码区域节点数平均减少约 50%大幅提升检测效率。局部 全局双层注意力——Local Attention 根据不同 token 和节点对漏洞的重要程度分配权重Global Attention 聚合全局图结构信息两层注意力协同捕捉代码中的关键漏洞语义。残差连接——在 HierGCN 每层之间引入残差连接缓解深层图网络训练中的梯度衰减问题保证 4 层堆叠的 HierGCN 稳定收敛。小结三层设计PrVC → HierGCN → 残差连接形成完整的细粒度漏洞检测流水线从图表示到图学习再到稳定训练每一步都为最终精度服务。03 实验结果在 NVD和GITA数据集包含OpenSSL, Libav, FFmpeg, Linux Kernel上评估使用 RTX 4090 GPU PyTorch 实现所有实验均在真实代码环境下进行。1对比 SOTANVD数据集GraphFVD 在 NVD数据集上达到 Acc91.11%、F182.192%全面超越 VulDeeLocatorF183.90%和 ReGVDF178.43%。2多数据集验证GITAGraphFVD 在GITA数据集上均表现优异Acc92.05%Precision82.18%、F180.83%证明了方法在真实开源项目上的泛化能力。3消融实验完整 GraphFVDF181.49% vs. 去残差连接F180.78%↓0.71%、去局部注意力F179.89%↓1.6%——局部注意力对 Precision 提升最显著残差连接保证模型整体稳定。4图网络架构对比HierGCN vs. 基础 GCN vs. RGCNHierGCN 在 Precision 和 F1 上均优于 GCN 和 RGCN证明分层注意力机制对属性图漏洞检测的有效性。小结GraphFVD 在两个真实漏洞数据集上均超越 SySeVR、VulDeeLocator 等现有 SOTA 方法且消融实验充分验证了各模块的贡献。 总结GraphFVD 创新性地将属性图切片PrVC与分层注意力图卷积网络HierGCN结合实现了从粗粒度函数级到细粒度属性图切片级的漏洞检测升级在 FFmpeg、Libav、Linux Kernel 多个真实开源项目上验证了方法的有效性为代码漏洞检测提供了新的研究思路。GraphFVD 的代码图表示方法可推广至其他代码分析任务如恶意代码检测、代码相似性分析、软件供应链审计等场景。 欢迎留言讨论• 你认为属性图切片PrVC的思路能否迁移到其他编程语言如 Java、Go、Rust的漏洞检测中• 分层注意力机制HierGCN是否同样适用于二进制层面的漏洞发现 点赞 收藏 分享你的支持是我们持续解析高水平软件安全论文的最大动力