Fuzzing漫谈：Heartbleed，AI与xz投毒事件
内容提要
文章介绍了LLM辅助Fuzzing在信息安全领域的应用，Google将LLM与OSS-Fuzz项目相结合，实现全自动化的工作流。LLM生成的fuzzing target成功发现了漏洞，表明LLM的合理使用能提升fuzzing能力。Google团队的长远目标是将LLM fuzz target generation作为OSS-Fuzz的完全集成功能，并扩展支持到Python和Java等语言生态系统。OSS-Fuzz已经帮助1000多个项目发现并修复了漏洞和bug。文章还提到了xz项目投毒事件和开源运动的局限性。
延伸解读
LLM辅助Fuzzing的自动化前景
Google将LLM与OSS-Fuzz结合，实现了全自动化的fuzzing工作流，LLM生成的fuzzing target成功发现了包括CVE-2022-3602在内的漏洞，且相关代码段此前从未被fuzzing覆盖。这展示了LLM在提升fuzzing能力方面的潜力。Google的长远目标包括将LLM fuzz target generation作为OSS-Fuzz的完全集成功能，并扩展支持到Python和Java等语言，最终实现零人工干预的个性化漏洞检测。
OSS-Fuzz的贡献与xz事件的关联
OSS-Fuzz自2016年建立以来，已帮助1000多个项目发现并修复超过10000个漏洞和36000个bug，为开源安全做出巨大贡献。然而，xz项目投毒事件中，攻击者Jia Tan在成为维护者后，修改了xz项目的OSS-Fuzz配置文件，将自己设为接收bug报告的主要联系人，并禁用了针对ifunc的fuzzing。这表明攻击者可能利用对OSS-Fuzz配置的控制来掩盖恶意行为，凸显了开源供应链中维护者角色的安全风险。
开源运动的局限性与安全挑战
xz事件暴露了开源运动的局限性：关键节点被广泛使用却仅由少数不堪重负的维护者支撑，这给软件供应链安全带来隐患。攻击者Jia Tan用两年时间步步为营设局，其恶意代码可能造成远超Heartbleed和Log4Shell的危害。事件曝光源于微软工程师对性能异常的追根溯源，而非安全检测，这提示我们现有安全机制可能不足。可能的解决思路包括Zero Trust和Trusted Computing，但成本可能大幅上升，需要权衡安全与成本。
Q&A
LLM辅助Fuzzing的主要应用是什么？
LLM辅助Fuzzing主要用于信息安全领域，通过生成fuzzing target来发现漏洞，提升fuzzing能力。
OSS-Fuzz项目的目标是什么？
OSS-Fuzz项目的目标是自动化运行开源项目的fuzzer，帮助开发者发现和修复漏洞，提升开源项目的安全性。
xz项目投毒事件的影响是什么？
xz项目投毒事件可能对软件安全造成深远影响，恶意代码的传播可能导致严重后果，甚至超过Heartbleed漏洞。
Google在LLM辅助Fuzzing方面取得了哪些进展？
Google将LLM与OSS-Fuzz结合，实现全自动化工作流，成功发现了多个之前未被覆盖的漏洞。
OSS-Fuzz自建立以来的成就有哪些？
自2016年建立以来，OSS-Fuzz已帮助1000多个项目发现并修复超过10000个漏洞和36000个bug。
开源运动面临哪些局限性？
开源运动的局限性包括关键节点维护者负担过重，可能导致安全问题，影响软件供应链的安全性。
