Исследователь в области кибербезопасности Мохан Педхапати разработал полную цепочку эксплойтов для взлома JavaScript-движка V8 в браузере Google Chrome версии 138, используемого в клиенте Discord. Для этого он применил модель искусственного интеллекта Anthropic Claude Opus 4.6, потратив на создание эксплойта неделю. В процессе было израсходовано 2,3 миллиарда токенов и $2283 на доступ к ИИ через API, а также 20 часов собственных усилий по решению возникавших проблем.
Педхапати отметил, что затраты для одного человека довольно значительны, но без помощи ИИ аналогичный проект занял бы несколько недель. Вознаграждение от Google и Discord за выявленную уязвимость может достигать $15 000, что делает проект выгодным и с экономической точки зрения. При этом на нелегальном рынке стоимость уязвимости нулевого дня могла бы быть гораздо выше.
Многие приложения, включая Discord и Slack, создаются на Electron — платформе, основанной на Chrome. При этом код Electron часто отстаёт на несколько версий от браузера, а обновления не всегда своевременно устанавливаются пользователями. Discord использует Chrome 138, что на девять версий ниже текущей.
Эксперт предупреждает, что любой разработчик с достаточным терпением и доступом к ИИ способен взломать устаревшее ПО — это вопрос времени. Кроме того, каждый новый патч фактически даёт подсказки для создания эксплойтов, так как исправления доступны в открытом исходном коде ещё до выпуска обновлений. Для защиты он советует внимательно следить за зависимостями, автоматически применять патчи безопасности и осторожно раскрывать детали уязвимостей в проектах с открытым кодом.