当AI审查“先入为主”：LLM在安全代码审查中的确认偏见风险与供应链攻击

确认偏见：AI审查官的认知陷阱

在软件开发实践中，以GitHub Copilot、Claude Code为代表的大型语言模型（LLM）正深度集成于开发流程，使自动化安全代码审查（ACR）成为软件供应链安全的关键环节。然而，希腊雅典大学等机构的最新研究揭示了一个严峻的安全盲区：这些AI审查官在评估代码时，同样会陷入“确认偏见”的认知陷阱。攻击者可借此，通过精心构造的提交信息，系统性地绕过审查，将高危漏洞植入代码库。

免费影视、动漫、音乐、游戏、小说资源长期稳定更新！ 👉 点此立即查看 👈

确认偏见是一种经典的认知偏差，指个体倾向于寻找并采信那些能证实自身预设观点的信息。在LLM辅助的代码审查场景中，这种偏见表现为：模型会过度依赖拉取请求（PR）的标题、描述等元数据，形成先入为主的判断，从而削弱其对代码本身安全性的独立、客观分析能力。

为量化这一风险，研究团队设计了两项互补实验：

受控偏见实验：基于250个真实的CVE漏洞-补丁对，测试了包括GPT-4o-mini、Claude 3.5 Haiku在内的四个前沿模型。通过将提示语框架设置为“强无漏洞断言”等不同条件，精确观测模型漏洞检测率的变化。

实战模拟攻击：在GitHub Copilot（交互式助手）与Claude Code（自主审查智能体）这两种真实部署场景中，测试利用偏见绕过自动化审查的实际成功率。

触目惊心的数据：偏见导致检测率暴跌

实验结果清晰地揭示了确认偏见的破坏性影响：

检测率大幅下滑：在“强无漏洞”的提示框架下，所有模型的漏洞检测率均出现显著下降。其中，GPT-4o-mini的检测率从97.2%骤降至3.6%，降幅高达93.5个百分点。即便是表现最稳定的Gemini 2.0 Flash，也下降了16.2个百分点。

非对称性风险：偏见的影响极不均衡。以GPT-4o-mini为例，无漏洞框架导致其漏报了231个漏洞，而有漏洞框架仅帮助其额外检出了29个——漏报风险是误报风险的8倍。这种不对称性意味着，模型在最危险的防御方向上失效了：它更可能放过真实漏洞，制造出虚假的安全感。

“精准度幻觉”：在强无漏洞条件下，由于模型仅报告极少数它高度确信的问题，其报告结果的“精准度”看似大幅提升（例如GPT-4o-mini达到88.9%）。但这是一种统计假象，其代价是覆盖率仅为3.2%，绝大多数漏洞被悄然放行。

漏洞类型与攻击可行性：哪些代码更危险？

研究进一步发现，不同漏洞类型对偏见的敏感性存在差异：

注入类漏洞（如XSS、SQL注入）对偏见更为敏感，其真阳性率在偏见影响下波动更大。而内存安全漏洞（如越界读写）则构成了攻击的主要突破口。在全部模型均被“强无漏洞”偏见欺骗的34个案例中，高达67.6%涉及内存安全漏洞。这类漏洞往往源于极其细微的逻辑错误（例如将>=误写为>），极易被包装成“性能优化”或“移除冗余检查”，从而完美契合攻击者的误导性描述。

供应链攻击模拟的结果则更加令人震惊：

在针对Claude Code自主智能体的模拟攻击中，88.2%（15/17）包含真实CVE漏洞的PR，仅通过精心设计的PR描述就成功绕过了自动化审查。攻击者甚至能为漏洞构造复杂的辩护逻辑，例如为某个路径穿越漏洞声称“失效的安全控制比没有更糟”，或为授权绕过漏洞提供一个“数学上不可能被利用”的形式化证明，导致审查智能体打出“Security: 10/10 (Perfect)”的荒谬评分。

结构性失衡：攻击者占据天然优势

研究指出，这场攻防中存在根本性的信息不对称，形成了结构性失衡：

攻击者可反复试探：CI/CD流水线中的审查提示（Prompt）通常在GitHub Actions等配置文件中公开可见。这意味着攻击者可以在本地私有仓库中，针对目标项目的审查逻辑，反复测试和优化其PR描述，直至找到能绕过审查的“完美说辞”。

防守方只有一次机会：在真实的PR提交中，防守方的审查系统通常只有一次判断机会，没有试错空间。

这种“攻可无限试错，守仅一次判断”的格局，极大地放大了偏见攻击的实际威胁。

防御策略：在安全与效率间寻求平衡

面对这一挑战，研究评估了多种去偏见策略的有效性：

对于交互式助手（如GitHub Copilot）：在查询中明确指令模型“忽略PR元数据，仅分析代码差异”，被证明可以100%恢复被偏见掩盖的检测能力。但这需要用户改变操作习惯，增加了工作流摩擦。

对于自主智能体（如Claude Code）：简单删除PR描述，可恢复约69%的漏报检测。在此基础上叠加显式忽略元数据的指令，恢复率可进一步提升至94%。

综合来看，可行的系统性建议分为三个层面：

短期：对来自不受信任贡献者的PR，考虑在CI流水线中暂时禁用安全导向的ACR，回归人工审查。

中期：探索代码标识符混淆、基于已知漏洞模式的变更对比等辅助技术。

长期：需要LLM提供商和工具开发者从模型训练、微调和系统设计层面，根本性地缓解确认偏见。

结论与启示

这项研究的意义，超越了单纯指出“LLM存在偏见”的层面。它系统性地将确认偏见转化为了一个可量化、可复现、可实际利用的软件供应链攻击面。核心启示有三点：

首先，确认偏见是系统性的失效模式，而非偶然错误，在部署LLM辅助审查时必须将其作为关键风险考量。

其次，攻击成本极低，收益却极高：攻击者无需破解模型，仅需精心撰写提交信息，就可能让自动化防线形同虚设。

最后，去偏见是有代价的：最有效的防御措施（如忽略元数据）往往会牺牲工作流的流畅性和上下文理解，这迫使开发团队必须在安全性与开发效率之间做出审慎的权衡。

随着AI辅助开发工具的普及，将LLM代码审查视为安全关键组件，并对其在对抗性环境下的失效模式保持清醒认知，已成为一项紧迫任务。信任工具，但必须理解其信任的边界——这无疑是AI时代软件供应链安全的一门新必修课。