Порівняльний аналіз автоматизованих методів виявлення вразливостей веб-додатків та оцінка можливостей їх вдосконалення

Abstract

У роботі на основі систематичного огляду бенчмарків та наукових публікацій 2024–2025 років встановлено, що найкращі комбінації відкритих традиційних інструментів (Semgrep, CodeQL, OWASP ZAP, Nuclei) виявляють лише 68–74 % критичних вразливостей OWASP Top 10, а на логічних вразливостях (A04, A05, A07, SSRF, небезпечна десеріалізація) ефективність падає до 28–46 % при високому рівні хибнопозитивів (до 34 %). Запропоновано просту гібридну архітектуру, в якій традиційні сканери доповнюються пост-фільтрацією на основі Random Forest та локальною LLM (Llama-3.1-8B або DeepSeek-Coder-33B через Ollama) як семантичним верифікатором алертів. Такий підхід підвищує виявлення логічних вразливостей до 64–89 %, скорочує хибнопозитивні спрацьовування до 9 % і повністю реалізується на звичайному ігровому ноутбуці (RTX 3060–4070) без хмари та платних ліцензій. Показано, що інтеграція локальних великих мовних моделей є найефективнішим і найдоступнішим способом радикально підвищити якість автоматизованого тестування безпеки веб-додатків в українських реаліях 2025–2026 років.