Project Zero сравнила фаззер Fuzzilli и ИИ-агента BigSleep на движке V8
За апрель–сентябрь 2026 года BigSleep нашёл 45 исправленных уязвимостей в V8, Fuzzilli — 37, общими оказались 20 из 81 репорта, около четверти. В отдельном эксперименте агент на модели Gemini 3.6 flash заново нашёл около 62% старых багов Fuzzilli. Для разработчиков это означает, что автоматический поиск уязвимостей ИИ пока дополняет фаззинг, а не заменяет его.
В Project Zero подвели итог полугодового сравнения двух систем, которые ищут уязвимости в V8 — JavaScript-движке Chrome. Фаззер Fuzzilli работает без остановки, LLM-агент BigSleep раз в сутки проверяет новые коммиты. Период — апрель–сентябрь 2026 года.
После удаления дубликатов и отчётов, которые не подтвердились, у BigSleep оказалось 45 исправленных уязвимостей, у Fuzzilli — 37. Пересечение авторы считали отдельно, с дополнительным поиском дублей по коммитам-исправлениям и базе Clusterfuzz: общими были 20 репортов из 81, примерно четверть.
Что показал эксперимент с Gemini 3.6 flash
В отдельном тесте агент на модели Gemini 3.6 flash получил коммиты, которые, по оценке авторов, внесли 112 старых багов, найденных Fuzzilli. На каждый коммит давалось 25 попыток — агент заново обнаружил около 62% этих багов.
Зависимость прослеживается и по сложности: уязвимости, на которые фаззер тратил больше времени, агент находил хуже. В JIT-компиляторах пересечение между двумя системами меньше.
Методику подсчёта, проверку на запоминание обучающих данных и три разобранных случая — баг, найденный только агентом, и баг, найденный только фаззером, — описал Самуэль Гросс.
Хабр ИИ · права на исходный материал принадлежат автору.
Материал носит информационный характер и не является индивидуальной инвестиционной рекомендацией. Операции с криптовалютами связаны с риском полной потери вложенных средств. Подробнее — «Отказ от ответственности».
Разборы событий, итоги дня и то, что двигает рынок. Без сигналов и обещаний — только факты и что они значат.
Читать в Telegram →По теме
- ▪Запрос к ИИ на редком языке стоит до 17 раз дороже, чем на английском3DNews · 28 октября
- ▪Opera представила стандарт WebAI для запуска ИИ-моделей в браузере без облака3DNews · 28 октября
- ▪Два спутника «Рассвета» опустились ниже 230 км и могут сгореть за 24–48 часовiXBT · 28 октября
- ▪Nvidia снизила пропускную способность памяти и NVLink в ускорителях Vera RubiniXBT · 27 октября