Fuzzing sei bei unsicheren Sprachen wie C und C++ ein Muss, meinen einige Google-Entwickler. Wer Fuzzing richtig machen will, sollte es gleich in die Entwicklungs-Infrastruktur integrieren. Clusterfuzz soll das ermöglichen und ist nun Open Source.

Googles OSS Fuzz ist bereits seit einiger Zeit Open Source. Freien Projekten bot Google bislang an, die dazugehörige Infrastruktur kostenlos zu nutzen und ihren Code zu testen. Nun geht das Unternehmen einen Schritt weiter und stellt die Infrastruktur selbst unter einer freien Lizenz bereit. Clusterfuzz skaliert laut Google gut, es läuft dort auf 25 000 Kernen.

Unternehmen dürfen Clusterfuzz nun in die eigene Infrastruktur einbinden. Die Software erlaubt es, Code bereits im Entwicklungsprozess auf Fehler zu testen. Acht Jahre lang haben die Entwickler laut der Ankündigung an der Software gearbeitet, um diese nahtlos in Googles Workflow zu integrieren.

Was Clusterfuzz macht

Vor allem die in Clusterfuzz integrierte Ende-zu-Ende-Automatisierung hebt die Ankündigung hervor. Die Software selbst wartet auf Github, ist überwiegend in Python geschrieben und bringt ein einfach zu benutzendes Webinterface mit. Sie dedupliziert Abstürze akkurat, findet Regressionen mit Hilfe von Code-Bisection, schreibt automatisch Bugs und schließt Issues. Letzteres klappt aktuell nur für Monorail, den Bug-Tracker von Chrome, weil OSS Fuzz und auch Clusterfuzz für Chrome entwickelt wurde.

Clusterfuzz kann auf einige Erfolge zurückblicken und hat bereits 16 000 Bugs in Chrome entdeckt und 11 000 in den über 160 mit OSS Fuzz untersuchten Open-Source-Projekten. Während Fuzzing heute erst später im Entwicklungsprozess stattfindet, lässt sich die Technik mit Clusterfuzz bereits früh einsetzen, so dass eingeschleppte Fehler oft schon Stunden nach ihrer Einführung entdeckt werden. Einen Wermutstropfen gibt es: Die Infrastruktur lässt sich zwar auf eigenen Compute Nodes betreiben, hängt in Produktion aber noch von ein paar Diensten auf Googles Cloud Plattform ab.