KI-gestütztes Fuzzing mit dem GitHub Security Lab Taskflow Agent

Continuous Fuzzing gilt als Goldstandard für Sicherheitsaudits von C/C++-Projekten - doch auch Projekte, die seit Jahren in OSS-Fuzz laufen, verstecken weiterhin kritische Bugs. Das GitHub Security Lab nennt den Grund: Es braucht immer noch Menschen, die Coverage im Blick behalten, neue Harnesses schreiben und Crashes triagieren.

Die Pipeline

Die Antwort ist die neue Fuzzing Taskflow, gebaut auf dem Taskflow-Agent-Framework des Security Labs. Der Ablauf nach dem Start mit einem simplen owner/repo-Slug:

• Analyse: Der Agent identifiziert passende Einstiegspunkte und analysiert das Build-System
• Harnesses: Er schreibt die Fuzzing-Targets selbst und startet AFL++
• Iteration: Coverage-Reports werden gelesen und Harnesses gezielt verbessert
• Triage: Jeder Crash wird analysiert, für jeden Bug entsteht ein Vulnerability-Report

Setup und Warnung

Der Einstieg ist minimal: Codespace starten und ./scripts/fuzzing/run_fuzzing.sh tukaani-project/xz ausführen. Für einen Schnelltest empfiehlt sich ein kleines Projekt wie cJSON.

Wichtig ist die Sicherheitswarnung: Die Pipeline führt AFL, Clang und vom LLM gewählte Build-Kommandos direkt auf dem Host aus - ohne Container. Ein prompt-injizierter Agent könnte alles tun, was der User kann. Der Betrieb gehört ausschließlich in wegwerfbare Umgebungen wie Codespaces, ohne erweiterte Rechte.

Interessant ist die Anmerkung zur Modellwahl: Manche Frontier-Modelle blockieren Teile der Pipeline durch ihre Sicherheits-Guardrails.

Mehr dazu: GitHub Blog