Sztuczna inteligencja Claude Opus w dwa tygodnie znalazła 22 luki w zabezpieczeniach przeglądarki Firefox. Aż 14 z nich uznano za krytyczne. Oto kulisy współpracy.
W skrócie:
- Claude Opus 4.6 w ciągu dwóch tygodni zidentyfikował 22 podatności w kodzie Firefoxa, co pokazuje potencjał AI w audytach bezpieczeństwa oprogramowania open-source.
- Aż 14 z odkrytych luk zaklasyfikowano jako “high-severity”, czyli o wysokim stopniu zagrożenia. Większość z nich została już naprawiona w najnowszej wersji przeglądarki Firefox 148.
- Model okazał się znacznie skuteczniejszy w znajdowaniu błędów niż w tworzeniu kodu do ich wykorzystania, co kosztowało Anthropic 4000 dolarów w kredytach API.
Wystarczyły dwa tygodnie. Tyle czasu potrzebował model Claude Opus 4.6, by przeczesać kod źródłowy Firefoxa i znaleźć w nim 22 luki w zabezpieczeniach. To nie jest scenariusz filmu science fiction, a wynik fascynującej współpracy Anthropic, jednego z czołowych graczy na rynku AI, z Mozillą. Projekt, który miał sprawdzić, czy sztuczna inteligencja może stać się sojusznikiem w walce z cyberzagrożeniami, przyniósł rezultaty przekraczające oczekiwania. A przy okazji pokazał, gdzie wciąż leżą granice jej możliwości.
Jak AI poluje na błędy, których nie widzi człowiek?
Zespół Anthropic nie rzucił swojego modelu na przypadkowy cel. Firefox został wybrany z premedytacją. Jak czytamy w oficjalnym komunikacie, to “zarówno złożona baza kodu, jak i jeden z najlepiej przetestowanych i najbezpieczniejszych projektów open-source na świecie”. Innymi słowy, szukanie błędów w Firefoxie przypomina szukanie igły w stogu siana, który wcześniej został dokładnie sprawdzony kilkoma magnesami. To właśnie czyni odkrycie 22 podatności – z czego aż 14 określono jako “high-severity” – tak imponującym.
Prace rozpoczęto od silnika JavaScript, serca przeglądarki, a następnie rozszerzono je na inne jej komponenty. Claude nie działał w próżni. Był narzędziem w rękach ekspertów, którzy naprowadzali go na odpowiednie fragmenty kodu i weryfikowali jego znaleziska. To symbioza ludzkiej intuicji i maszynowej zdolności do przetwarzania gigantycznych ilości danych w rekordowym tempie. Większość krytycznych błędów załatano już w aktualizacji Firefox 148, która ukazała się w lutym. Kilka poprawek musi jednak poczekać na kolejne wydanie. Bezpieczeństwo to proces, nie jednorazowe wydarzenie.
Haker doskonały czy tylko bystry analityk?
Oto najciekawszy fragment całej historii. Claude Opus okazał się genialnym audytorem, ale fatalnym hakerem. Kiedy zespół spróbował wykorzystać model do napisania działających exploitów – czyli kodu wykorzystującego znalezione luki – napotkał ścianę. Próby stworzenia zautomatyzowanego narzędzia do przeprowadzania ataków spaliły na panewce. Koszt? Całkiem wymierny. Anthropic wydało 4000 dolarów w kredytach API na generowanie kodu, który zadziałał… zaledwie w dwóch przypadkach.
To niezwykle ważna lekcja. Pokazuje, że obecne modele językowe świetnie radzą sobie z analizą i znajdowaniem wzorców (a tym w istocie są luki w kodzie), ale brakuje im jeszcze kreatywności i strategicznego myślenia, które są niezbędne do przełożenia teoretycznej wiedzy o błędzie na praktyczny atak. Przynajmniej na razie. Możemy więc odetchnąć z ulgą. AI jest potężnym narzędziem dla obrońców, ale jeszcze nie stało się bronią ostateczną dla atakujących. To wciąż domena człowieka – z całym jego geniuszem i skłonnością do destrukcji.
Co to oznacza dla przyszłości open-source?
Dla projektów open-source, które często borykają się z niedoborem rąk do pracy i funduszy na drogie audyty bezpieczeństwa, to prawdziwa rewolucja. Możliwość wykorzystania tak potężnego narzędzia do prześwietlania własnego kodu może fundamentalnie zmienić krajobraz cyberbezpieczeństwa. Zamiast polegać wyłącznie na społeczności i sporadycznych testach, deweloperzy otrzymują cyfrowego partnera, który niestrudzenie szuka słabych punktów.
Pomimo tego pojawia się też druga strona medalu. Łatwość, z jaką AI generuje kod, może prowadzić do zalewu propozycji zmian (merge requests) niskiej jakości, co już teraz jest problemem na platformach takich jak GitHub. Filtrowanie wartościowych sugestii od szumu stanie się nowym wyzwaniem. Współpraca Anthropic i Mozilli to jednak dowód, że gra jest warta świeczki. To zwiastun nowej ery, w której sztuczna inteligencja nie pisze za nas wierszy czy e‑maili, ale pomaga chronić fundamenty cyfrowego świata. A to zadanie o niebo ważniejsze.