技术摘要：SeedSmith

问题陈述

定向模糊测试（Directed Fuzzing）旨在通过引导模糊测试器向用户定义的“汇点”（sink）函数进行探索，从而发现漏洞。然而，本文指出有两个根本性的挑战，使得定向模糊测试器即使在进行大规模测试后，也无法成功触发崩溃：

1. 间接调用静态分析的不完整性 (C1)： 许多定向模糊测试器依赖静态分析来计算距离度量，以指导探索过程。然而，间接调用（通过函数指针或虚函数分派）在静态环境下极难解析。当调用图中的调用边缺失时，距离度量就会变得不可靠，导致整个可达路径在模糊测试器的引导算法中变得不可见。
2. 缺乏针对崩溃前置条件的语义引导 (C2)： 即使模糊测试器到达了汇点，触发崩溃通常需要满足精确的输入级条件（例如：特定的字段值、格式约束或数据流依赖）。这些条件在基于覆盖率的反馈中是不可见的，而盲目的字节级变异不太可能在实际的时间预算内同时满足这些条件。

现有的种子生成技术未能有效解决这些问题。基于语法和驱动格式的方法虽然能产生结构有效的输入，但缺乏“汇点感知能力”，无法针对特定漏洞或满足触发这些漏洞所需的先决条件。相反，现有的基于大语言模型（LLM）的方法通常依赖于带有静态分析摘要的一次性提示（one-shot prompting），从而继承了传统静态分析中存在的完整性不足和缺乏迭代推理的问题。

方法论：SeedSmith

作者提出了 SeedSmith，这是一个代理式（agentic）LLM 流水线，旨在模拟资深安全分析师构建触发崩溃输入的典型工作流。SeedSmith 被设计为一个与模糊测试器无关的种子生成前端，这意味着它可以生成初始种子语料库，从而在不修改模糊测试器内部逻辑的情况下，提升任何下游基于变异的模糊测试器的性能。

该系统被设计为一个两阶段的代理流水线：

1. 目标准备 (Target Preparation)

在执行代理之前，SeedSmith 进行轻量级的静态分析和插桩：

• 项目索引 (Project Indexing)： 构建将函数名称映射到源代码位置的索引。
• 调用路径识别 (Call Path Identification)： 使用 CodeQL 提取静态调用图。虽然它尝试通过类型签名匹配来解析间接调用，但也承认这可能会出现过度近似或不完整的情况。至关重要的是，它应用了一个路径优化步骤，将调用图压缩为线性化表示（保留共享的前缀/后缀并折叠分叉的中部），以适应 LLM 的上下文窗口。
• 插桩 (Instrumentation)： 使用消毒剂（Sanitizers，如 ASAN、MSAN 或 UBSAN）对目标进行编译，用于崩溃检测。

2. 代理式代码探索 (Agentic Code Exploration - 分析代理)

此阶段通过配备上下文感知搜索工具的 LLM 代理，迭代地探索代码库，以解决 C1 和 C2 问题。

• 迭代推理 (Iterative Reasoning)： 与一次性提示不同，代理从一个 harness 和一个汇点函数开始，通过迭代查询代码库来解析间接调用并追踪数据流。
• 上下文感知检索 (Context-Aware Retrieval)： 搜索工具返回的不是固定的行窗口，而是语义完整的单元（例如：匹配函数的完整函数体、变量匹配时的全局声明或结构匹配时的类型定义）。这使得代理能够解析间接调用，并理解静态分析所遗漏的输入格式要求。
• 输出： 代理生成一份结构化的分析报告 (Analysis Report)，其中包含汇点位置、经过验证的调用路径、崩溃前置条件以及生成策略。

3. 代理式种子生成 (Agentic Seed Generation - 种子生成代理)

此阶段利用分析报告来生成具体的测试输入。

• 程序化构建 (Programmatic Construction)： 代理不是生成原始字节，而是生成使用格式库（例如用于图像的 PIL）来构建符合结构约束输入的 Python 脚本。
• 精炼循环 (Refinement Loop)： 生成的种子会针对经过消毒剂插桩的二进制文件进行验证。执行反馈（崩溃、消毒剂输出、退出码）会被反馈给代理，以在迭代循环中不断精炼脚本（最多进行 10 轮）。
• 成本优化 (Cost Optimization)： 在探索阶段使用更重的代码推理模型，而在种子生成阶段则使用较便宜的模型。

核心贡献

1. 识别局限性： 本文正式将间接调用的静态分析不完整性 (C1) 以及缺乏针对崩溃前置条件的语义引导 (C2) 确定为定向模糊测试和现有种子生成的主要瓶颈。
2. SeedSmith 系统： 设计并实现了一个代理式 LLM 流水线，通过迭代探索代码库来生成结构有效且针对汇点的种子。它能够按需解析间接调用并推断崩溃前置条件，从而绕过静态分析快照的局限性。
3. 大规模评估： 在涵盖 26 个项目的 23 个 Magma Bug 和 115 个 ARVO 挑战任务上进行了全面评估，证明了在崩溃发现和崩溃时间缩短方面的显著改进。

结果

作者在 Magma 和 ARVO 基准测试中使用四种下游模糊测试器（AFL++、AFLGo、AFLRun、FairFuzz）对 SeedSmith 进行了评估。

• Magma 表现：

  • 使用 SeedSmith 种子的模糊测试器相比默认种子，其崩溃时间几何平均加速比在 11.51× (AFL++) 到 14.66× (AFLGo) 之间。
  • SeedSmith 使其发现了 2 个默认种子从未触发的额外漏洞 (PDF011, SQL013)。
  • 有 5 个漏洞是通过“一次性”（one-shot）方式触发的（即 LLM 生成的种子在任何模糊测试器变异之前就触发了崩溃）。
  • 在 Magma 子集上，SeedSmith 在触发崩溃的数量和缩短崩溃时间方面均优于 Locus（另一种通过合成谓词而非种子的 LLM 增强方法）。

• ARVO 表现：

  • SeedSmith 使模糊测试器能够触发跨越 10 个不同输入格式项目（如二进制头部、协议语法）的 16 个此前无法触及的漏洞。
  • 在触发了崩溃的 59 个 ARVO 目标中，SeedSmith 使 AFL++ 加速了 3.09×，使 AFLRun 加速了 3.02×。
  • 在 ARVO 上的主要贡献在于解锁了那些使用默认语料库完全无法触及的崩溃，而不仅仅是加速现有路径。

• 模糊测试器无关性 (Fuzzer Agnosticism)： 结果表明，SeedSmith 既能提升覆盖率引导型模糊测试器（如 AFL++）的性能，也能提升定向模糊测试器（如 AFLGo）的性能。值得注意的是，使用 SeedSmith 种子的 AFL++ 在暴露目标崩溃方面甚至优于 AFLGo，这表明高质量的种子可以赋予通用型模糊测试器定向模糊测试的能力。

意义

论文声称 SeedSmith 代表了从“盲目探索”向“局部精炼”的转变，因为它提供的种子编码了正确的控制流路径并满足关键的崩溃前置条件。通过自动化执行安全分析师的手动工作流——迭代追踪路径、解析间接调用以及推理输入约束——SeedSmith 解决了静态分析和传统种子生成留下的根本缺陷。

其意义在于其能力：

1. 将种子质量与模糊测试器内部逻辑解耦： 它作为一个可掉入式（drop-in）的前端，兼容任何基于变异的模糊测试器。
2. 克服静态分析的局限性： 利用 LLM 来解析间接调用并推断静态工具无法获取的语义约束。
3. 解锁深层漏洞： 它成功触发了复杂现实场景（ARVO）中此前无法触及的崩溃，证明了初始种子语料库是模糊测试流水线中一个关键且常被忽视的干预点。