Claude от Anthropic обнаружил 22 уязвимости в Firefox за двухдневный аудит безопасности

Claude Opus 4.6 от Anthropic продемонстрировал практический потенциал ИИ в области кибербезопасности, обнаружив 22 ранее неизвестные уязвимости в кодовой базе браузера Firefox за двухдневный аудит безопасности, проведённый совместно с Mozilla. Результаты включают уязвимости высокой степени тяжести, которые могли быть использованы для удалённого выполнения кода.

Скорость обнаружения превосходит мировые базовые показатели

Mozilla подтвердила, что скорость обнаружения уязвимостей Claude была исключительной: ИИ-модель выявила больше уязвимостей за два дня, чем большинство профессиональных аудиторов безопасности обнаруживают за недели ручного анализа. Всего было проверено более 6 000 файлов на языке C++, по результатам чего было составлено 112 уникальных отчётов.

Из 22 обнаруженных уязвимостей 14 были классифицированы как высокой степени тяжести, 7 — как средней и 1 — как низкой. Это распределение указывает на то, что Claude особенно эффективен в обнаружении серьёзных проблем безопасности — именно тех, которые представляют наибольший практический риск.

Ошибка use-after-free за 20 минут

Пожалуй, наиболее впечатляющим результатом стало обнаружение Claude уязвимости типа use-after-free в C++-коде Firefox за первые 20 минут анализа. Такие уязвимости крайне опасны, поскольку позволяют атакующему выполнить произвольный код, манипулируя освобождённой памятью.

Ошибки use-after-free возникают, когда программа продолжает использовать область памяти после её освобождения. Этот класс уязвимостей является одним из наиболее эксплуатируемых в современных кибератаках и одним из наиболее сложных для обнаружения ручными методами из-за необходимости отслеживать жизненный цикл указателей через тысячи строк кода.

Количественные результаты

Ограничения: обнаружение vs эксплуатация

Несмотря на впечатляющие результаты в обнаружении уязвимостей, Claude Opus 4.6 продемонстрировал существенные ограничения в создании рабочих эксплойтов. Модель обнаруживала уязвимости с высокой точностью, но не смогла разработать функциональные эксплойты для большинства из них — разрыв, который отражает текущие границы ИИ в области наступательной кибербезопасности.

С точки зрения безопасности, эта асимметрия парадоксально обнадёживает: она свидетельствует о том, что текущее поколение ИИ-моделей значительно более способно в обороне (обнаружение уязвимостей), чем в нападении (их эксплуатация) — баланс, благоприятный для защитников.

Патчи и производственный эффект

Большинство выявленных Claude уязвимостей были устранены и исправлены в последующих версиях Firefox. Mozilla указала, что интеграция ИИ-инструментов в процесс аудита безопасности будет расширена, а результаты подтвердили, что текущие возможности вполне достаточны для обнаружения уязвимостей, представляющих реальную угрозу.

Последствия для индустрии ПО

Аудит Firefox представляет одну из наиболее убедительных демонстраций практической ценности ИИ в кибербезопасности. Результаты подтверждают, что ИИ-модели уже сегодня способны существенно ускорить обнаружение уязвимостей в масштабных кодовых базах — трансформируя экономику аудита безопасности и потенциально делая его доступным для организаций, которые ранее не могли себе позволить полноценный ручной анализ.