iris 的项目扩展与二次开发

项目的基础介绍

iris 是一个基于神经符号框架的开源项目，旨在结合大型语言模型（LLM）与静态分析来进行安全问题检测。该项目通过使用大型语言模型来生成源和汇点规范，并过滤出误报的问题路径。iris 的设计理念使其在软件安全性领域具有广泛的应用潜力。

项目的核心功能

iris 的核心功能包括：

• 利用 CodeQL 查询收集项目中的外部 API 和内部函数参数。
• 使用大型语言模型对 API 和参数进行分类，分别标记为可能的源点、汇点或污点传播者。
• 根据生成的污点规范构建特定于项目和问题类别（如 CWE-22）的 CodeQL 查询。
• 运行查询以发现项目中的潜在问题，并进行结果的后处理。
• 利用大型语言模型对处理后的事故进行误报过滤和 CWE 检测。

项目使用了哪些框架或库？

iris 项目使用了以下框架和库：

• CodeQL：用于静态分析的工具。
• Python：项目的主要编程语言，用于脚本和数据处理。
• Conda：用于环境管理和依赖包的安装。
• 大型语言模型（LLM）：用于分类和过滤操作，具体的模型未在文档中明确指出。

项目的代码目录及介绍

iris 的主要代码目录如下：

• data/：包含数据集和用于数据处理的脚本。
• docs/：存放项目文档。
• output/：用于存储结果输出。
• results/：包含实验结果。
• scripts/：存放项目的脚本文件，包括环境设置、数据抓取和构建等。
• src/：源代码目录，包含 iris 的核心逻辑。
• .dockerignore、.gitignore、.gitmodules、Dockerfile、LICENSE、README.md、environment.yml：项目配置和元数据文件。

对项目进行扩展或者二次开发的方向

1. 支持更多的编程语言

目前 iris 主要是针对 Java 项目进行问题检测。未来可以扩展支持其他编程语言，如 C/C++、Python 或 JavaScript。

2. 集成更多的问题类别

iris 目前支持 4 种常见的问题类别。可以通过增加更多的 CodeQL 查询和相应的污点规范来扩展支持的问题类别。

3. 提高模型准确性和效率

可以通过训练更先进的模型或优化现有模型来提高问题检测的准确性，并减少误报。同时，优化数据处理和查询执行流程以提升效率。

4. 用户界面和交互

开发一个用户友好的界面，以便非技术用户也能轻松使用 iris 进行问题检测。

5. 问题修复建议

在检测到问题后，可以集成自动或半自动的修复建议，帮助用户更快地解决安全问题。

通过上述的扩展和二次开发，iris 项目有望成为更加强大和通用的安全问题检测工具。