LLAMAFUZZ: Large Language Model Enhanced Greybox Fuzzing

Probleemstelling

Greybox fuzzing is een succesvolle techniek voor het vinden van bugs en kwetsbaarheden in software. Echter, traditionele greybox fuzzers (zoals AFL++) vertrouwen op bit-level randomisatie (willekeurige bit-flips). Deze aanpak heeft ernstige beperkingen bij het testen van programma's die gestructureerde data vereisen (zoals XML, JSON, PDF, of binaire bestandsformaten).

• Inefficiëntie: Willekeurige mutaties verstoren vaak de syntactische structuur van het invoerformaat, waardoor het programma de input direct afwijst voordat diep in de code wordt getest.
• Bottleneck: Het genereren van geldige, gestructureerde inputs vereist een enorme hoeveelheid pogingen, wat de doorvoersnelheid (throughput) verlaagt en het vinden van bugs vertraagt.
• Trade-off: Gespecialiseerde fuzzers die grammatica gebruiken, kunnen wel gestructureerde data genereren, maar vereisen veel handmatige inspanning (definiëren van grammatica-regels) en zijn minder flexibel voor verschillende bestandsformaten.

Methodologie: LLAMAFUZZ

De auteurs introduceren LLAMAFUZZ, een hybride fuzzing-framework dat de kracht van Large Language Models (LLM's) integreert met traditionele greybox fuzzing om gestructureerde data effectief te muteren.

1. Architectuur en Werkwijze:

• Dual-layer Mutatie: Het systeem voert twee soorten mutaties parallel uit:
  • Traditionele mutatie: De snelle, bit-level mutatie van AFL++ (CPU-gedreven).
  • LLM-gedreven mutatie: De LLM genereert semantisch en syntactisch geldige mutaties (GPU-gedreven).
• Asynchrone Job Queue: Om de snelheidsverschillen tussen de snelle fuzzer en de langzamere LLM te overbruggen, wordt een asynchrone wachtrij gebruikt. De fuzzer selecteert seeds uit beide wachtrijen op basis van hun impact op de code-coverage, zonder te wachten op de LLM. Dit zorgt voor een hoge doorvoersnelheid.

2. Fine-tuning van de LLM:

• Data Collectie: Er wordt een dataset verzameld van "succesvolle" mutatieparen uit eerdere fuzzing-sessies (oorspronkelijke seed $S_i$ en de gemuteerde, interessante seed $S_i'$).
• Data Conversie: Binaire bestanden worden omgezet naar een uniforme hexadecimale representatie. Dit maakt het mogelijk voor de LLM om binaire data te begrijpen zonder dat voor elk formaat een nieuwe tokenizer nodig is.
• Supervised Fine-Tuning (SFT): De LLM (gebaseerd op LLaMA 2-7B) wordt gefinetuned om de onderliggende patronen van dataformaten te leren en gerichte mutaties uit te voeren die de structuur behouden.
• Technische Optimalisatie: Er wordt gebruikgemaakt van LoRA (Low-Rank Adaptation) en 4-bit kwantisatie om training en inferentie efficiënt te houden.

3. Integratie:
Het systeem is gebouwd op de top van AFL++. De LLM fungeert als een intelligente mutator die seeds aanlevert die de kans vergroten om nieuwe codepaden te bereiken, terwijl AFL++ de snelle exploratie en coverage-feedback verzorgt.

Belangrijkste Bijdragen

1. Nieuwe Aanpak voor Gestruktureerde Data: Het is een van de eerste systemen dat LLM's succesvol toepast op greybox fuzzing voor zowel tekst- als binaire gestructureerde data, zonder de noodzaak van handmatige grammatica-definities.
2. Hybride Architectuur: Een innovatieve asynchrone architectuur die de snelheid van traditionele fuzzing combineert met de intelligentie van LLM's, waardoor de doorvoersnelheid niet wordt belemmerd door de berekeningsintensiteit van de LLM.
3. Data Conversie Methode: Een efficiënte methode om binaire data om te zetten naar hexadecimale tokens, waardoor de LLM direct met binaire bestandsformaten kan werken.
4. Validatie van Generalisatie: Het bewijs dat de prestaties niet voortkomen uit het "herhalen" van de trainingsdata (memorization), maar uit het daadwerkelijke begrijpen en toepassen van structurele patronen.

Resultaten

De auteurs hebben LLAMAFUZZ geëvalueerd op twee benchmarks: Magma (een benchmark met echte bugs) en OSS-Fuzz (real-world programma's).

• Magma Benchmark:

  • LLAMAFUZZ vond gemiddeld 41 bugs per trial, wat hoger is dan de concurrenten AFL++, Moptafl, Honggfuzz en Fairfuzz.
  • In totaal werden 47 unieke bugs ontdekt, waaronder kritieke bugs (zoals stack-based buffer overflows) die door geen enkele andere fuzzer werden gevonden.
  • De tijd om bugs te triggeren was significant korter dan bij de state-of-the-art methoden.

• OSS-Fuzz (Real-world Programma's):

  • LLAMAFUZZ presteerde competitief met gespecialiseerde, grammatica-gebaseerde fuzzers (zoals Gramatron en Nautilus), maar zonder de noodzaak van specifieke grammatica-regels.
  • Tegenover de standaard AFL++ behaalde LLAMAFUZZ een statistisch significante verbetering in branch coverage bij 11 van de 15 geteste targets.
  • De methode bleek effectief op diverse formaten: XML, JSON, PDF, ELF, SIP, en meer.

• Ablatie Studies:

  • Memorization: Experimenten toonden aan dat het toevoegen van de trainingsdata als seeds aan een standaard AFL++ (zonder LLM) niet leidde tot dezelfde prestaties als LLAMAFUZZ. Dit bewijst dat de LLM de data interpreteert en niet simpelweg herhaalt.
  • Model Generalisatie: De methode werkt goed met verschillende LLM-architecturen (Llama2, Llama3, Mistral, Qwen), wat aantoont dat het een generaliseerbare aanpak is.

Betekenis en Impact

LLAMAFUZZ markeert een belangrijke stap in de evolutie van fuzzing-technieken. Het lost het fundamentele probleem op van het genereren van geldige gestructureerde inputs zonder de complexiteit en beperkingen van handmatige grammatica-definities.

• Efficiëntie: Het maakt fuzzing van complexe, gestructureerde bestandsformaten (zoals video-codecs, documentparsers en netwerkprotocollen) veel sneller en effectiever.
• Toekomstperspectief: Het paper toont aan dat LLM's niet alleen nuttig zijn voor code-generatie, maar ook als krachtige "intelligente mutatoren" kunnen dienen in beveiligingstests. Dit opent de deur voor verdere integratie van AI in softwarebeveiliging, waarbij systemen dynamisch leren hoe ze complexe dataformaten moeten manipuleren om kwetsbaarheden te vinden.

Kortom, LLAMAFUZZ combineert de snelheid van traditionele fuzzing met het semantische inzicht van LLM's, wat resulteert in een superieure tool voor het ontdekken van kwetsbaarheden in moderne, complex gestructureerde software.