Snyk Code 与 Claude Code 各覆盖约八成漏洞，合并后达 101/108。
资讯摘要
论文提出 VulnBench 2.0 基准，含 20 个 Go、JavaScript/TypeScript、Python、Java 开源 Web 应用中的 108 个手工整理、攻击者可触达的漏洞，其中 62 个跨文件。在统一盲测协议下评估九种产品化配置：Snyk Code 宏召回率 82.4%（89/108），Claude Code 配合 Opus 5 在 xhigh 档为 79.3%（85/108），两者在 28 个漏洞上结论不同，合并后覆盖 101/108。作者报告 AI 引擎漏报与 harness 策略关系密切，且覆盖与成本仅弱相关。
要点速读
- 基准含 108 个漏洞，62 个跨文件；仅当同时定位攻击者可控 source 与危险 sink（各两行内）才计为发现。
- Snyk Code 召回 89/108，Claude Code+Opus 5 xhigh 为 85/108，两者合并达 101/108，为七种可比配置合计上限。
- 作者报告 AI 配置另报至少 7 个参考集未含且 Snyk Code 未报的真实漏洞；Codex Security 用 GPT-5.6 Sol 文件级定位 80 个、行级仅 34 个。
中文摘要由 AI 根据公开来源生成，可能存在理解偏差；具体能力、数字、开放时间等信息请以原文为准。
采集于 2026/10/31 08:00:18（北京时间）。 arXiv 日期为本次公告时间，论文初次投稿日期请查看原文版本记录。