11 октября 2026 г.
Fuzzing Taskflow: агент сам пишет харнессы для C и C++ и ищет баги
Агент для фаззинга C и C++ проектов, Fuzzing Taskflow, описан в блоге GitHub Security Lab от 24.09. Он сам находит точки входа, пишет фаззинг-харнессы, запускает AFL++ и на каждый уникальный баг создаёт отчёт о уязвимости.
GitHub
@github
Непрерывный фаззинг находит настоящие баги, но всё равно нужен человек, который напишет харнессы, будет следить за покрытием и разберёт каждый краш. GitHub Security Lab сделала Fuzzing Taskflow, чтобы отдать этот цикл агенту. Укажите ему репозиторий на C или C++. Он найдёт точки входа, разберёт сборку, напишет харнессы, запустит фаззер AFL++, прочитает покрытие и создаст отчёт об уязвимости по каждому уникальному багу. Посмотрите, как конвейер работает от начала до конца 🔍 https://github.blog/security/application-security/ai-powered-fuzzing-with-the-github-security-lab-taskflow-agent/
· 5 тыс. просмотров
Раньше фаззинг держал человек: писал харнесс (обвязку, которая кормит функцию входными данными), смотрел покрытие кода и разбирал каждый краш. Теперь этот цикл ведёт агент, а человек проверяет результат.
Как запустить. Ставить ничего не надо: откройте репозиторий GitHubSecurityLab/seclab-taskflows-fuzzing в Codespace и выполните ./scripts/fuzzing/run_fuzzing.sh PROJECT. Пример из блога: tukaani-project/xz.
Не хотите разбираться сами? Внедряем ИИ в ваш бизнес: задачи без лимита, одна цена в месяц, отмена в любой момент.
Бюджет. Цикл покрытия удваивает время: 30, 60, 120, 240, 480, 960 секунд. Выходит около 32 минут на одну цель.
Модель. По умолчанию работает Claude Sonnet 5.
Проверка. Патчи помечены review required, потому что агент может неверно прочитать код, и патч смотрит человек. Запускайте в одноразовом Codespace без повышенных прав: prompt-инъекция получит всё, что есть у пользователя.
Первоисточник