检索、复现与揭示：拆解检索增强的软件漏洞检测

该论文研究六个开源 RAG4SVD 系统，针对现有评估依赖闭源模型、数据集与指标各异的问题，采用开放权重模型复现其实验设置，并建立统一数据集、指标与模型池的基准。结果显示各系统可复现性差异明显，已发表性能在受控开放权重评估下无法迁移，且强依赖所用模型。组件级分析还发现效果取决于流水线各阶段的对齐。

此前 RAG4SVD 的评估多基于闭源模型且配置不统一，跨系统比较缺乏意义。该工作用开放权重模型与统一基准重新验证，指出已发布性能难以迁移，把可复现性和组件对齐问题摆上台面，为后续评测提供更可比的口径。

RAG4SVD 由输入抽象、知识检索与检测三部分组成，端到端评估掩盖了各环节贡献。作者按组件拆解后发现，检索与检测阶段若不对齐，即便提供接近最优的 oracle 知识，整体性能仍受限，说明漏洞检测效果并非单纯由检索质量或模型规模决定，而取决于阶段间适配。

对做代码安全产品的团队，选型不能只看论文中的端到端指标，需在自有数据与开放权重模型上复现；同时应把输入抽象、检索、检测分开评测和调优，避免因阶段错配导致投入的检索能力无法转化为检出率提升。

• 在自有代码库上按输入抽象、检索、检测三段分别埋点，定位性能损失环节
• 用开放权重模型和统一指标搭建内部 RAG4SVD 复现基准，替代直接采信论文数字
• 针对检索与检测对齐问题，建立检索质量与检出率的联动验收标准

• 论文摘要未完整披露六系统在统一基准下的具体性能差距
• oracle 知识下性能受限的具体原因尚未在证据中说明
• 该基准是否覆盖企业真实代码库与多语言场景仍不明确