Google hat am 7. Februar 2019 ClusterFuzz als Open Source veröffentlicht. Die Infrastruktur unterstützt die automatisierte Suche nach Softwarefehlern. Zuvor nutzte Google sie für Chrome und stellte sie über OSS-Fuzz bereits quelloffenen Projekten als Dienst bereit.
Von unerwarteten Eingaben zum Fehlerbericht
Fuzzing führt einem Programm unerwartete Eingaben zu und beobachtet dessen Verhalten. Google beschreibt das Verfahren besonders für speicherbezogene Fehler in C- und C++-Software. ClusterFuzz automatisiert die anschließende Bearbeitung: Es erkennt doppelte Abstürze, grenzt den verursachenden Commit ein, erstellt Fehlerberichte und kann sie nach der Überprüfung einer Korrektur schließen.
Google nennt für den damaligen Betrieb mehr als 25.000 Prozessorkerne. ClusterFuzz habe mehr als 16.000 Fehler in Chrome und über OSS-Fuzz mehr als 11.000 Fehler in über 160 Open-Source-Projekten gefunden. Diese Zahlen stammen vom Februar 2019 und sind Herstellerangaben, keine unabhängig geprüften Erfolgsquoten.
Eigener Betrieb statt ausschließlich gehosteter Dienst
Der am Veröffentlichungstag verfügbare Quellstand von ClusterFuzz lässt sich auf GitHub nachvollziehen. Googles Ankündigung verweist zudem auf eine lokale Erprobung. Für den produktiven Betrieb nennt sie Abhängigkeiten von Google-Cloud-Diensten, erlaubt aber einen eigenen Rechencluster. Eine vollständig cloudunabhängige Installation ist damit nicht zugesagt.
Für Spiele- und Middleware-Teams kommen als Testziele etwa Parser für Assets oder eingehende Netzwerkdaten infrage. Das ist eine mögliche Anwendung, kein dokumentierter Einsatz in einem bestimmten Studio. LLVM hatte mit libFuzzer bereits 2015 prozessintegrierte Fuzzing-Tests vorgestellt; ClusterFuzz übernimmt zusätzlich die verteilte Ausführung und Fehlerverwaltung.
Archivhinweis: Beschrieben wird die Öffnung der Infrastruktur im Februar 2019, nicht der Funktionsumfang heutiger Versionen.