蚂蚁集团边立忠：企业程序安全分析与智能化实践

程序安全分析是通过静态或动态手段，对软件程序的源代码或运行行为进行分析，是提前发现存在安全漏洞或恶意行为等代码风险的关键技术，是提升程序安全性，降低企业安全风险，满足合规要求的重要保障。

相较于程序分析技术的学术研究，程序安全分析在企业实际落地过程中面临着哪些挑战？该如何应对？AGI时代的程序安全分析又有哪些新的机遇与挑战？

日前，蚂蚁集团基础安全事业部DevSecOps工具和平台负责人边立忠在2025北京网络安全大会上发表了《开放式程序分析与智能化实践》的主题演讲，介绍了蚂蚁在这一领域的探索与实践。

企业程序安全分析面临的挑战

边立忠提到，当前企业程序安全分析主要面临四大挑战：

【挑战1】

随着云原生、AI原生等技术的快速发展，各种新兴语言在企业内部不断涌现，企业对多语言程序分析的需求日益增长，现有大部分工具支持的语言类型有限，且不同语言间的能力水位差异较大。

【挑战2】

静态程序分析技术误报率较高，大型企业应用数动辄上万，分析结果运营成本过高，难以落地。

【挑战3】

现有程序分析工具使用门槛普遍较高，一方面大量分析工具依赖代码能成功编译，在企业落地过程中较为受限；另一方面用户自定义开发规则的门槛较高，扩展能力有限。

【挑战4】

传统程序分析技术能理解语法但不理解语义，对业务逻辑型风险的分析能力不足。

蚂蚁程序安全分析技术探索与实践

据边立忠介绍，针对以上挑战，蚂蚁历经多年的技术攻坚与打磨，形成了行业领先的程序安全分析技术，主要包括三大特性：

●统一多语言分析

●开放式

●智能化

统一多语言分析

针对企业对多语言程序分析的迫切需求，蚂蚁基于抽象语法树（Abstract Syntax Tree，简称AST），设计了多语言统一的抽象语法树（Unified AST，简称UAST）作为程序分析的中间表示（Intermediate Representation, 简称IR）层。

与其他IR相比，AST包含了更多的语义信息，更适合安全分析场景。同时，生成AST不依赖于程序编译，无需构建环境，极大降低了在企业落地的使用限制。

在UAST的基础上，蚂蚁改进了传统符号执行技术，在执行过程当中对状态空间进行对象建模，通过平衡性能与精度，实现了具备域敏感、流敏感、上下文敏感和路径敏感的数据流分析能力。

由于数据流分析引擎要支持的70%以上的语法特性是多语言通用的，基于UAST建设数据流分析能力，新增一种语言的研发成本主要集中在对其特有的语法特性的支持上，总体成本可下降50%以上，也避免了传统分析工具在不同语言之间存在较大能力水位差异的问题。

开放式

传统程序分析工具要么不支持用户自定义规则开发，要么规则开发的学习门槛极高，需要依赖工具研发人员。普通用户难以针对企业内部的实际情况，自主进行有针对性的定制开发，这既限制了程序分析工具的使用场景，又导致规则适用度低，误报率居高不下。

针对这一痛点，蚂蚁提出了“开放式”程序分析的理念，并基于这一理念推出了统一多语言查询语言（Unified Query Language，简称UQL）。UQL是一种类SQL的声明式语言，其学习和使用成本较传统命令式语言要低很多。

UQL一方面在语法层面兼容了行业较为流行的codeql，进一步降低了用户的学习和使用成本。另一方面，基于UAST的技术优势，UQL在业界率先实现了多语言统一的开发库，对用户实现了“一次编写，多语言通用”，进一步降低了用户在不同语言开发库之间的学习成本。

智能化

传统程序技术的优势是代码语法分析能力，包括AST分析以及数据流分析等，但无法理解代码的业务语义，比如在数据流分析过程中，复杂语义往往会导致传统程序分析的断链。

蚂蚁尝试将大模型和传统程序分析技术结合来解决这一技术难题。大模型具备优秀的代码语义理解能力，本质是大模型具备泛化能力，能“理解”数据本质规律，并把这个规律泛化到未见的数据上，且具备从复杂数据中提取结构化特征和分类的能力。

蚂蚁提出并建设了“大模型代码语义识别技术”，实现了“变量值推导”“传播函数识别”“复杂传播识别”等能力，给传统程序分析引擎安装了“智能外挂”，提升了程序分析引擎的召回率和准确率。

借助大模型代码语义识别技术实现的“公共/私有接口识别” “source点识别” “sink点识别” “安全检查点识别” “鉴权逻辑识别”等能力，在规则层面解决了逻辑漏洞检测、误报消除等领域专家规则泛化性太差的难题。

与其他大模型的应用一样，大模型代码语义识别技术的实现和企业落地也面临着大模型遵从性问题、幻觉，以及上下文大小限制等技术难题。蚂蚁2024年在业界率先提出的DKCF大模型应用可信框架，为大模型专业应用的可靠性提供了指导思想：

●应对大模型遵从性的挑战，把复杂任务原子化，大模型对原子任务的遵从性好于复杂任务。通过将一系列原子化任务转换成知识图谱，基于知识图谱实现对原子任务执行顺序的核验。

●应对大模型输出幻觉的挑战，采用大模型和专家规则结合的方式核验原子任务和整个任务的执行结果，其中由大模型核验推理理由、推理线索的合理性，由专家规则核验代码结构的合理性。

●应对大模型上下文限制的挑战，使用程序分析技术，提取关键代码链路、摘要链路中的关键方法，结合实际场景筛选代码最佳链路，大幅压缩代码上下文的大小。

通过结合大模型和传统程序分析技术，蚂蚁在漏洞检测与漏洞辅助修复等领域的实践中取得了显著成效，漏洞检测召回率提升超过20%、准确率提升超过40%，智能辅助修复漏洞类型覆盖率超过50%。

搜索公众号【YASA程序分析Community】，可详细查看蚂蚁智能化程序分析技术在【水平越权检测（代码审计智能体）】和【漏洞辅助修复】两个场景下应用的演示视频