SyzHarness：基于补丁的内核漏洞复现与LLM合成模糊测试脚手架

研究者提出 SyzHarness，一种结合 LLM 推理与覆盖率引导模糊测试的框架，用于基于补丁的 Linux 内核漏洞复现。它让 LLM 代理借助代码导航工具合成参数化模糊测试脚手架，固定前置设置逻辑，只暴露不确定的关键输入参数交给 Syzkaller 变异，并依据层次化可达性反馈迭代优化。在 100 个 KernelCTF 案例上复现成功率为 78%，在 SyzDirect 基准上为 73%，在 2026 年 3 月后修复的 50 个 syzbot 漏洞上以修复提交为唯一输入复现 40 个。

此前定向模糊测试难以恢复触发漏洞所需的前置脚手架，纯 LLM 生成又在具体触发值和运行时非确定性上表现脆弱。该工作把两者分工：LLM 负责搭建可达路径与参数化接口，模糊测试负责搜索触发值，并用可达性反馈闭环修正，从而在多个真实数据集上提升复现成功率。

机制上，给定补丁后，LLM 代理在代码导航工具辅助下推断到达漏洞状态所需的前置逻辑，生成参数化 harness，将已确定的设置代码固化，仅把不确定且与漏洞触发相关的输入暴露为可变异参数；随后转换为 Syzkaller 兼容接口，利用分层可达性反馈判断是否接近目标代码，据此迭代细化和变异搜索。

对内核与系统安全团队而言，漏洞复现从依赖人工编写触发程序转向以补丁为起点的半自动流程，可用于缺陷分诊、补丁验证和回归测试，降低复现单个漏洞的人力与时间成本，并让修复提交本身成为可自动生成验证用例的输入。

• 将补丁到 harness 的合成流程集成进内核 CI，对每个修复提交自动生成复现用例并纳入回归测试集。
• 面向安全团队提供以 patch 为输入、输出 Syzkaller harness 与复现结果的服务，用于漏洞分诊排序。
• 把可达性反馈与参数化 harness 结合，做成可插拔模块，复用到其他需要从修复差异反推触发条件的项目。
• 构建 KernelCTF 类漏洞的复现基准与评测流水线，用于横向比较不同 LLM 与模糊测试组合的效果。

• 证据未说明该框架在非 Linux 内核或其他操作系统上的适用性。
• 78%、73% 与 80% 的成功率是否来自论文自建评测，尚缺独立第三方复现验证。
• LLM 合成 harness 的算力与 token 成本、单案例耗时未在证据中给出。
• 暴露的不确定参数是否可能引入误报或不可稳定复现的用例，证据未涉及。