Das Google Open Source Security-Team hat bedeutende Fortschritte bei der automatisierten Erkennung von Schwachstellen mithilfe von künstlicher Intelligenz-basiertem Fuzzing erzielt. Im letzten Jahr und acht Monaten haben sie daran gearbeitet, große Sprachmodelle (LLMs) zu nutzen, um die Abdeckung von Fuzzing zu verbessern und mehr Schwachstellen automatisch zu finden. Sie haben sich auf zwei Hauptverbesserungen konzentriert: die Generierung von relevanterem Kontext in Prompts für LLMs und die Erweiterung dieser, um den Arbeitsablauf eines Entwicklers zu simulieren. Dies hat zur Entdeckung von 26 neuen Schwachstellen in Open-Source-Projekten auf OSS-Fuzz geführt, einschließlich einer kritischen Schwachstelle in OpenSSL (CVE-2024-9143). Das Team hat auch daran gearbeitet, den manuellen Prozess der Entwicklung eines Fuzz-Ziels zu automatisieren, einschließlich des Entwurfs eines initialen Fuzz-Ziels, der Behebung von Kompilierungsproblemen, des Ausführens des Fuzz-Ziels, um zu sehen, wie es funktioniert, und der Triage von Abstürzen. Sie haben auch mit Forschern zusammengearbeitet, um den Workflow vollständig zu automatisieren, indem sie das LLM einen vorgeschlagenen Patch für die Schwachstelle generieren lassen.