Ai Security Scanner: progettazione di un sistema ibrido SAST/LLM per l'analisi di sicurezza del codice

L'analisi statica del codice (SAST) è uno strumento consolidato per individuare vulnerabilità software, ma soffre di un limite noto: un elevato tasso di falsi positivi, che ne riduce l'efficacia pratica. Questa tesi propone un sistema che combina l'analisi statica con una pipeline di agenti basati su Large Language Model, ispirata al paradigma dell'adversarial debate, con l'obiettivo di classificare in modo più accurato le segnalazioni prodotte e proporne la correzione. Il sistema, sviluppato nel contesto di un tirocinio curricolare, integra inoltre un meccanismo di recupero di contesto dal codice sorgente per arricchire il ragionamento degli agenti coinvolti. Per motivi legati alla sostenibilità economica del progetto, la pipeline è stata successivamente adattata per funzionare con un modello linguistico eseguito localmente, una scelta che ha comportato sfide di affidabilità specifiche, affrontate e risolte nel corso dello sviluppo. Il lavoro presenta una valutazione sperimentale del sistema, volta a verificare il contributo dei singoli componenti dell'architettura e la loro reale efficacia. I risultati ottenuti offrono spunti di riflessione interessanti sul rapporto tra la complessità di una pipeline multi-agente e la capacità del modello linguistico sottostante di sfruttarla efficacemente, portando a conclusioni in parte diverse da quanto inizialmente ipotizzato. La tesi si conclude con un'analisi dei costi economici della soluzione proposta e con alcune considerazioni sui possibili sviluppi futuri del sistema.