All You Need Is A Fuzzing Brain: Ein LLM-gestütztes System zur automatisierten Erkennung und Behebung von Sicherheitslücken

All You Need Is A Fuzzing Brain: An LLM-Powered System for Automated Vulnerability Detection and Patching

September 8, 2025

papers.authors: Ze Sheng, Qingxiao Xu, Jianwei Huang, Matthew Woodcock, Heqing Huang, Alastair F. Donaldson, Guofei Gu, Jeff Huang

cs.AI

papers.abstract

Unser Team, All You Need Is A Fuzzing Brain, war einer von sieben Finalisten im Artificial Intelligence Cyber Challenge (AIxCC) von DARPA und belegte den vierten Platz in der Endrunde. Während des Wettbewerbs entwickelten wir ein Cyber Reasoning System (CRS), das autonom 28 Sicherheitslücken – darunter sechs bisher unbekannte Zero-Day-Schwachstellen – in realen Open-Source-Projekten in C und Java entdeckte und 14 davon erfolgreich patchte. Das vollständige CRS ist Open Source und unter https://github.com/o2lab/afc-crs-all-you-need-is-a-fuzzing-brain verfügbar. Dieses Papier bietet eine detaillierte technische Beschreibung unseres CRS, mit einem besonderen Schwerpunkt auf den LLM-gestützten Komponenten und Strategien. Aufbauend auf dem AIxCC führen wir zudem ein öffentliches Leaderboard ein, das den Benchmarking-Zustand der neuesten LLMs bei der Erkennung und Behebung von Schwachstellen anhand des AIxCC-Datensatzes misst. Das Leaderboard ist unter https://o2lab.github.io/FuzzingBrain-Leaderboard/ verfügbar.

English

Our team, All You Need Is A Fuzzing Brain, was one of seven finalists in DARPA's Artificial Intelligence Cyber Challenge (AIxCC), placing fourth in the final round. During the competition, we developed a Cyber Reasoning System (CRS) that autonomously discovered 28 security vulnerabilities - including six previously unknown zero-days - in real-world open-source C and Java projects, and successfully patched 14 of them. The complete CRS is open source at https://github.com/o2lab/afc-crs-all-you-need-is-a-fuzzing-brain. This paper provides a detailed technical description of our CRS, with an emphasis on its LLM-powered components and strategies. Building on AIxCC, we further introduce a public leaderboard for benchmarking state-of-the-art LLMs on vulnerability detection and patching tasks, derived from the AIxCC dataset. The leaderboard is available at https://o2lab.github.io/FuzzingBrain-Leaderboard/.