[Paper] PBFuzz：代理式定向模糊测试用于 PoV 生成

Source: arXiv - 2512.04611v1

概览

本文提出了 PBFuzz，一种“具备代理能力”的定向模糊测试系统，能够自动生成漏洞利用证明（Proof‑of‑Vulnerability，PoV）输入。通过模拟人类安全分析师的迭代推理过程，PBFuzz 大幅加速了可利用漏洞的发现，将曝光时间从数小时缩短至数分钟，同时保持大语言模型（LLM）调用成本低廉。

主要贡献

• 代理式模糊循环：结合代码层面的推理、假设生成和基于反馈的细化，模拟专家寻找 PoV 的方式。
• 语义约束提取：通过自主代码分析，将 可达性（到达易受攻击代码）与 触发性（激活漏洞）分离。
• 自定义程序分析插件：向 LLM 提供精确、针对目标的信息，而无需暴露完整代码库。
• 持久化记忆存储：在迭代之间保留假设，防止“漂移”，实现累积学习。
• 基于属性的测试引擎：在保持原始输入结构的前提下求解提取的约束，相较于纯符号执行提升效率。
• 实证验证（Magma 基准）：触发 57 个漏洞（其中 17 个独占），速度比 AFL++ + CmpLog 快 25.6 倍，平均每个漏洞的 API 成本仅为 $1.83。

方法论

1. 目标选择 – 系统接收一个二进制文件和一组疑似易受攻击的位置（例如 strcmp 检查）。
2. 语义分析 – 轻量级静态分析（控制流、数据流、污点分析）自动推断两类约束：
   • 可达性：执行易受攻击指令所需的条件。
   • 触发性：导致漏洞显现的条件（如特定缓冲区大小、魔法值）。
3. 假设生成 – 将提取的约束喂给 LLM，LLM 提出具体的输入“假设”（部分字节序列、格式字符串等）。
4. 基于属性的测试 – 将每个假设转化为测试用例，在模糊测试框架下运行程序。测试框架检查约束是否满足，使用快速插桩（如 AFL 风格的覆盖率）。
5. 反馈循环 – 执行结果（崩溃、覆盖率、约束满足情况）存入持久化记忆模块。LLM 读取记忆，细化或丢弃假设，并生成新候选。
6. 终止条件 – 当找到 PoV（针对性漏洞的崩溃）或时间预算耗尽时停止循环。

整个流水线全自动运行，仅需最初的目标规格和适度的 LLM API 配额。

结果与发现

关键要点

• 速度 – 通过聚焦语义约束，PBFuzz 避免了传统灰盒模糊测试中盲目探索的低效。
• 对难检漏洞的覆盖 – 基于属性的测试步骤保留了输入结构，使系统能够满足复杂的触发条件，这些条件往往被普通模糊测试遗漏。
• 成本效益 – 即使包含 LLM 调用，每个漏洞的费用仍低于 2 美元，适合持续集成流水线使用。

实际意义

• 安全导向的 CI/CD – 团队可将 PBFuzz 集成到夜间构建中，自动为新引入的代码路径生成 PoV，提前捕获可利用漏洞。
• 漏洞赏金自动化 – 研究人员可利用该工具快速生成已披露 CVE 的 PoV，降低手动逆向工程的工作量。
• 模糊测试即服务 – 云服务提供商可推出“代理式模糊”套餐，利用 LLM 推理为高价值目标交付更快结果。
• 工具链集成 – 由于 PBFuzz 兼容标准插桩（如 AFL 的覆盖图）并支持自定义分析插件，可在现有模糊测试器之上层叠使用，无需完全重写。

总体而言，该方法弥合了人工专业知识与自动化测试之间的鸿沟，预示着一类能够理解程序语义的“智能”模糊测试器的出现。

局限性与未来工作

• 对 LLM 的依赖 – 生成假设的质量取决于底层模型；极端边缘案例仍可能需要人工引导。
• 静态分析精度 – 轻量级分析可能遗漏深层数据流关系，导致对高度混淆代码的约束不完整。
• 对大型代码库的可扩展性 – 当前原型在独立二进制上表现良好，但将语义提取扩展到庞大应用可能增加开销。
• 未来方向（作者提出）：与符号执行更紧密结合以处理更难约束、基于置信度分数自适应分配 LLM 调用预算、以及将框架扩展至多进程或网络目标。

作者

• Haochen Zeng
• Andrew Bao
• Jiajun Cheng
• Chengyu Song

论文信息

• arXiv ID: 2512.04611v1
• 分类: cs.CR, cs.SE
• 发布日期: 2025 年 12 月 4 日
• PDF: Download PDF