100万件超のファジング実行ログを分析しソフトウェアのバグ検出実態を解明

　奈良先端科学技術大学院大学（学長：塩﨑 一裕）の白井 達也さん（博士後期課程）、柏 祐太郎准教授、飯田 元教授と、大阪大学（総長：熊ノ郷 淳）大学院情報科学研究科のOlivier Nourry助教（コンピュータサイエンス専攻）、奈良女子大学（学長：高田 将志）の藤原 賢二講師、九州大学（総長：石橋 達朗）の亀井 靖高教授らの研究グループは、Googleが運用するオープンソースソフトウェア（以下、OSS）向け継続的ファジング（注1）サービス「OSS-Fuzz」（注2）から収集した約112万件のファジングセッションを分析し、継続的ファジングがソフトウェアのバグ発見にどのように寄与するかを定量的に明らかにしました。
　研究グループは、OSS-Fuzzに参加する878のOSSプロジェクトを対象に、ファジングの実行履歴、検出されたバグ、コードカバレッジ（コード網羅率）（注3）の変化を解析しました。その結果、(1) 約36%のプロジェクトが導入直後の初回セッションでバグを検出していること、(2) コードカバレッジが継続的ファジングの実施とともに増加し続けること、(3) コードカバレッジの変動がバグ検出と強く関連していること、(4) 開発者が提供するシードコーパス（初期入力データ）（注4）が長期的なバグ検出に寄与すること、を見出しました。
　本成果は、現代社会の基盤となっているOSSの開発者がいつ、どのようにファジングを導入・運用すべきかについて、データに基づく具体的な指針を提供するものであり、より安全なOSS開発・サイバーセキュリティ強化への貢献が期待されます。
　本研究成果は、ソフトウェア工学分野で国際的影響力の高い学術誌 IEEE Transactions on Software Engineering に2026年4月13日（月）に公開されました（DOI：10.1109/TSE.2026.3683879）。

注1 ファジング（fuzzing）：プログラムに対してランダムまたは半ランダムに生成した入力を大量に与え、異常動作（クラッシュ、メモリエラーなど）を引き起こすことでバグや脆弱性を発見するソフトウェアテスト手法。「継続的ファジング」とは、このファジングを継続的インテグレーション（CI）の枠組みに組み込み、コード変更のたびに短いサイクルで繰り返し実行する運用形態を指す。

注2 OSS-Fuzz：Googleが提供するオープンソースソフトウェア向けの継続的ファジングサービス。1,000以上のプロジェクトが利用しており、これまでに1万3千件以上の脆弱性および5万件以上のバグの発見・修正に貢献している。

注3 コードカバレッジ（コード網羅率）：テストによって実行されたソースコードの割合。一般的に、カバレッジが高いほどテストの網羅性が高いとされ、ファジングの効果を測定する指標として広く用いられる。

注4 シードコーパス（初期入力データ）：ファジングを開始する際に、開発者が事前に用意するテスト入力値の集合。プログラムが期待する形式の入力例を含むことで、ランダム生成だけでは到達しにくいコード領域へファジングを誘導する役割を果たす。

タイトル：Large-Scale Empirical Analysis of Continuous Fuzzing: Insights from 1 Million Fuzzing Sessions
著者：Tatsuya Shirai, Olivier Nourry, Yutaro Kashiwa, Kenji Fujiwara, Yasutaka Kamei, Hajimu Iida
掲載誌：IEEE Transactions on Software Engineering
DOI：10.1109/TSE.2026.3683879

• 本件の詳細はこちら

システム情報科学研究院　亀井靖高　教授