autofz es un meta-fuzzer —un orquestador en tiempo de ejecución para fuzzers ya existentes— desarrollado durante los primeros años del doctorado de su autor y aceptado en USENIX Security 2023. La herramienta no implementa un algoritmo de fuzzing nuevo: ejecuta fuzzers disponibles y añade sobre ellos un plano de control que decide, con un presupuesto fijo, qué fuzzer merece más recursos en cada momento, qué evidencia compartir entre ellos y cuándo cambiar de estrategia o detenerse.
El artículo repasa las cuatro observaciones que motivaron el trabajo: no existe un fuzzer universal; el mejor fuzzer puede cambiar durante una misma campaña (lo que el autor denomina rank inversion); asignar recursos por igual es ineficiente cuando algunos trabajadores avanzan más que otros; y la aleatoriedad del fuzzing vuelve frágiles las decisiones offline. Para resolverlo, autofz opera en dos fases: una de preparación, en la que da a los fuzzers una ventana corta y justa y mapea sus hallazgos a una vista común de mapa de bits AFL, y otra de enfoque, en la que concentra el presupuesto en los fuzzers con mejor tendencia, manteniendo los seeds sincronizados entre todos.
El texto subraya que la parte más difícil no fue el prototipo —que ya en diciembre de 2020 superaba a EnFuzz— sino justificar de forma defendible las decisiones de planificación ante los revisores. El autor describe cómo, ronda a ronda, se restauraba la campaña al snapshot posterior a la fase de preparación y se comparaba la asignación elegida con alternativas sintéticas que daban todo el presupuesto a un único fuzzer. Los resultados fueron positivos pero con matices: en libarchive la decisión de autofz quedó primera en 8 de 14 rondas; en exiv2, en 4 de 15, con un promedio de 3,5. Cuando la cobertura se satura, la elección de fuzzer importa menos; la sincronización de seeds puede alterar la jerarquía entre trabajadores en la ronda siguiente.
La cronología recogió el rechazo en NDSS 2023 (segunda ronda, mayo de 2022) y en IEEE S&P 2023, hasta la aceptación con revisión menor en USENIX Security 2023. El ensayo cierra situando la pregunta de autofz —cómo gastar un presupuesto fijo entre trabajadores imperfectos— en un contexto más amplio: los sistemas de CRS y agentes LLM actuales comparten el mismo problema de plano de control, aunque los trabajadores sean ahora generadores de parches, validadores o variantes de modelo.