いろんなところで喋っているけど、ファジングツールもある意味開発をサポートするためのツールだと思うし、それこそ機械が機械的なパワーで人間をサポートすべく作るべきだと思うんだよねー。実際マイクロソフトの開発環境などはそういう機能を取り入れているし。
それに、ファジングで見つかる脆弱性というのはWebアプリにおけるエスケープ関連と同じで機械に任せるべき部分じゃないかなあ。とはいえしょせんコードカバレッジから言えば良くて3割ってところだし、さらにクオリティを高めるには人間そのものの熟練、もしくは別な概念や考え方が必要なんだと思うけどね。
んで、もしかしてホワイトボックステストの出番かなという気もするんだけど、商用ツールフォーティファイの評価をソニーのまつなみさんがやったときは、カバレッジが4割とかって話じゃなかったっけ？その話どこかで出ていたかなあ？ソースちょいと探した限りでは見当たらないんですが･･･。
