LLM 驱动漏洞传播验证：TransferFuzz-Pro 如何自动调试“继承“来的安全债

代码复用在现代软件开发中无处不在——96%的软件至少引入了一个第三方库。然而复用的代码也会继承漏洞一个 CVE 报告中的漏洞函数可能已悄然扩散到数十个下游软件中。传统方法面临两大困境代码相似性检测只能判断有没有复用漏洞代码无法确认漏洞是否可触发导致大量误报P1现有模糊测试方法需要数小时验证单个漏洞且难以触发涉及复杂逻辑的漏洞P2。为此论文提出 TransferFuzz-Pro首个集成 LLM 驱动代码调试技术的全自动化漏洞传播验证框架通过模拟人类调试过程自动生成程序选项组合结合二进制级插桩将验证能力扩展至无源码目标。 论文标题TransferFuzz-Pro: Large Language Model Driven Code Debugging Technology for Verifying Propagated Vulnerability发表期刊IEEE Transactions on Software Engineering, Vol.51, No.8, August 2025作者单位中国科学院信息工程研究所、中国科学院大学、新南威尔士大学开源代码https://github.com/Siyuan-Li201/Transferuzz-Pro01 方法介绍TransferFuzz-Pro 的核心思想利用基础二进制CVE 报告中的漏洞程序的已知信息通过 LLM 自动调试和历史轨迹引导在目标二进制复用了漏洞代码的新程序中高效验证漏洞可触发性。整体流程包含三个模块①历史轨迹提取——在基础二进制上执行 PoC提取函数调用序列FCS和关键字节轨迹作为目标二进制的 fuzzing 引导信息②选项组合生成——LLM 分析目标程序的选项处理代码模拟人类调试过程迭代生成到达漏洞函数所需的命令行参数组合③轨迹引导 Fuzzing——利用历史轨迹引导 fuzzing 方向通过嵌套模拟退火算法和关键字节引导变异策略高效触发漏洞。图1 TransferFuzz-Pro的工作流小结从手动分析选项 源码插桩升级为LLM 自动调试 二进制插桩实现全自动化漏洞传播验证。02 关键机制LLM 驱动代码调试——首次将 LLM 用于自动化定向 fuzzing 的选项组合生成模拟人类调试过程迭代确定程序参数。函数级轨迹引导——将基础二进制的漏洞触发函数调用序列迁移到目标二进制将搜索空间从 3150 条路径缩减至 42 条。关键字节引导变异KBGM——从 PoC 中提取影响分支约束的关键字节构建字典引导变异绕过复杂分支条件。 嵌套模拟退火NSA——为每条历史轨迹建立独立状态机动态分配能量优先探索最接近漏洞的状态路径。模块设计思路作用历史轨迹提取在基础二进制上执行 PoC 采集运行时信息提供函数调用序列和关键字节作为引导信号选项组合生成LLM 分析选项处理代码 调试器反馈迭代自动生成 fuzz driver 所需的命令行参数FCG 对齐函数名匹配 / 二进制相似度检测将基础二进制的轨迹映射到目标二进制嵌套模拟退火每条轨迹独立状态机 模拟退火调度动态分配能量聚焦漏洞路径探索关键字节变异污点分析提取 PoC 关键字节 → 字典引导绕过复用代码中的复杂分支约束小结TransferFuzz-Pro 将LLM 自动调试 历史轨迹迁移 双重引导 fuzzing三管齐下实现从手动验证到全自动化的跃迁。03 实验结果实验基于 15 个 CVE 漏洞、76 个相关二进制展开对比 LibAM、OCTOPOCs、AFLGo、WindRanger、SelectFuzz、DAFL 等方法。1RQ1选项组合生成准确率TransferFuzz-Pro 在 60 个漏洞上成功生成85.0%的理想选项组合90 秒内完成自动生成。相比之下仅依赖 LLM 内在知识的 LLM_o 准确率为 45.0%仅输入选项处理代码的 LLM_p 为 50.0%。对于 objdumpLLM 甚至发现了比人工分析更多的有效选项组合。TransferFuzz原版每条需专家手动分析 20 分钟以上。2RQ2漏洞传播验证准确率TransferFuzz-Pro 实现了Precision 1.0、Recall 1.0成功验证全部 38 个传播漏洞样本。LibAM 虽然 Recall 1.0检测到了所有复用代码但 Precision 仅为 0.260108 个误报。OCTOPOCs 受限于要求源和目标二进制输入格式一致Recall 仅为 0.395。其他定向 fuzzing 方法AFLGo、WindRanger 等Precision 1.0 但 Recall 偏低0.526~0.763。3RQ3漏洞触发效率TransferFuzz-Pro 是最快的方法相比 SOTA 的 SelectFuzz 实现2.5x 加速。几乎所有漏洞在 60 分钟内验证完成超过一半在 2 分钟内确认。对于其他方法完全无法触发的漏洞CVE-2016-4491、CVE-2016-4492、CVE-2016-6131TF-Pro 仅需数秒到数分钟即可成功。资源消耗方面TF-Pro 的 CPU 和内存使用与 AFLGo、SelectFuzz 相当远低于 WindRanger 的持续污点分析开销。4RQ5Linux 发行版 PoC 生成TransferFuzz-Pro 将 15 个 CVE 的影响软件从 15 个扩展至53 个并成功为 Debian 8/9、Ubuntu 16、CentOS 7、Fedora 24/25/26、OpenWrt 16 等多种 Linux 发行版生成了 PoC。原版 TransferFuzz 因缺乏源码无法验证这些发行版中的漏洞TF-Pro 通过二进制插桩突破了这一限制。小结TransferFuzz-Pro 在准确率、速度和适用范围上全面超越现有方法首次实现了漏洞传播验证的全自动化。 总结TransferFuzz-Pro 的关键意义在于将漏洞传播验证从人工分析 源码依赖推进到LLM 自动调试 二进制级验证的新阶段。它证明了一点通过跨程序迁移历史执行信息可以大幅降低漏洞验证的门槛和成本。这一思路不仅适用于 C/C 二进制的漏洞传播验证也可能扩展到软件供应链安全审计、容器镜像漏洞扫描、物联网固件漏洞验证等场景。 欢迎留言讨论• 你认为 LLM 驱动的自动调试会成为未来漏洞验证的标配吗• 相比传统定向 fuzzing历史轨迹迁移的方法是否更具通用性