GenSIaC: Toward Security-Aware Infrastructure-as-Code Generation with Large Language Models

文章总结与翻译

一、主要内容

本文围绕基础设施即代码（IaC）的安全问题展开研究，核心聚焦于大型语言模型（LLMs）在生成安全合规IaC代码方面的局限性与优化方案：

1. 问题背景：IaC作为DevOps核心技术，能实现IT基础设施的自动化配置与规模化管理，但云环境复杂性导致IaC脚本易出现配置错误和安全漏洞（如硬编码密钥、无密码访问等），而现有LLMs生成的IaC代码存在显著安全缺陷，且缺乏针对性的安全增强方案。
2. 核心研究：
   • 评估了8种主流LLMs（含代码专用模型如CodeLlama、通用模型如GPT4）在IaC代码生成与检测场景中识别9类核心安全漏洞的能力，发现代码专用模型表现最差（F1值0.000-0.303），即使GPT4的F1值也仅0.549-0.592，存在明显不足。
   • 提出GenSIaC数据集，包含2.2万条训练数据（1.1万条代码生成任务、1.1万条代码检测任务），涵盖Ansible、Chef、Puppet三种IaC语言，通过指令微调提升LLMs的安全感知能力。
   • 采用LoRA高效微调方案，在CodeLlama等模型上验证效果，微调后模型识别安全漏洞的F1值提升至0.771-0.858，远超未微调模型及GPT4，同时语法正确性（1.000）和功能正确性（0.931）也显著优化。
3. 关键发现：LLMs对硬编码密钥、空密码等漏洞识别较好，但对可疑注释、case语句缺省值等漏洞识别困难；GenSIa