nealbridges/vulnhunter の 2026-10-23 コミット 68d867332e14eba3f6a57ae52d82d5c96c2d92a9 は、ベンチマーク用の OWASP 基準コーパスと事前検証を追加した。このリポジトリは、脆弱性を見つけて実行可能な PoC で証明し、テストファーストで修正するエージェント型 AI セキュリティスキャナーの保守フォークである。今回の変更では、harness/local_harness/benchmark/ground_truth/ に Juice Shop、WebGoat、NodeGoat の既知の脆弱性 6 件を追加し、各エントリを公開コミットに固定した。変更の根拠は GitHub のコミットページである: https://github.com/nealbridges/VulnHunter/commit/68d867332e14eba3f6a57ae52d82d5c96c2d92a9.
基準コーパスは、スキャナーの結果を既知の脆弱性と照合するために使うデータである。以前の EXAMPLE.json はプレースホルダーのコミットを使っていたため、新しいベンチマークがクローン段階で失敗する可能性があり、形式の確認もなかったため、不正なデータが実行の途中 で KeyError として現れる可能性があった。現在、ランナーは *.json ファイルのみを読み込み、EXAMPLE.json と *.json.template は読み込まない。クローンを開始する前に、必須フィールド、コーパス全体で一意でなければならない finding_id、GitHub tree URL の形式を確認する。ドキュメントには、新しいエントリの finding_id にはアプリ名の接頭辞を付けるよう求める案内も追加された。
このコミットが提供するものは、実行可能な基準データと入力検証である。スキャナーが 6 件のうち何件を見つけるか、あるいはベンチマークでどのスコアを出すかは FACTS には示されていない。コーパスは意図的に脆弱にした 3 つのアプリに限定されており、多様なリポジトリでの検知性能を示す結果というより、比較を始めるための土台に近い。