Claude je za 4 sata probio FreeBSD – a hype je tek počeo

Nicholas Carlini nije bio sam. Za razliku od klasičnih bug bounty lovaca, njegov je tim imao nevidljivog, ali iznimno produktivnog člana: Anthropicov Claude, AI model koji je – prema Carlinijevim tvrdnjama – autonomno preuzeo značajan dio posla. Ne radi se o trivijalnom skriptiranju ili pretraživanju dokumentacije: Claude je, navodno, identificirao ranjivost, predložio pristup eksploataciji i dovršio funkcionalan proof-of-concept exploit.

Sve toga u četiri sata. To nije samo brzina – to je promjena dinamike. Tradicionalno, pronalaženje kritičnih grešaka u jezgrama poput FreeBSD-a traje tjednima ili mjesecima, ovisno o kompleksnosti.

Čak i uz alate poput fuzzera ili statičke analize, ljudski faktor ostaje usko grlo. Ako je Claude zaista reducirao taj proces na popodnevni sprint, pitanje nije više je li AI koristan u sigurnosnim istraživanjima, već koliko brzo će se to pretvoriti u standardnu praksu. I tu počinje problem s pričom.

Anthropic još uvijek ne nudi Claude kao sigurnosni alat, a Carlinijev eksperiment ostaje – barem za sada – izolirani demo. Nema javno dostupnog exploita, nema potvrde o prirodi ranjivosti (da li je riječ o memory corruption, logičkoj grešci ili nečemu trećem), a kamoli o testiranju na stvarnim sustavima. Drugim riječima, imamo zanimljiv proof-of-concept, ali bez proof-a.

Sigurnosna zajednica već reagira, iako ne uvijek entuzijastično. Na Hacker News i specijaliziranim forumima poput FreeBSD Security, dio istraživača ističe kako bi slične rezultate postigli i postojeći alati poput AFL++ ili Ghidra, uz malo više vremena. Ključna razlika?

Claude ne zahtijeva fine-tuning za svaki novi projekt – barem teorijski. Ako je ovo ponovljivo, Anthropic bi mogao pretvoriti svoj model u force multiplier za crne i bijele šešire. Ali tko zapravo dobiva prednost?

Za sada, najviše Anthropic. Carlinijev eksperiment je savršena marketinška priča: Look, naš AI može hakirati operacijske sustave! To je, naravno, daleko od agentic budućnosti u kojoj AI samostalno traži zero-days, ali je dovoljno da privuče pažnju vlada i poduzeća spremnih platiti za AI-powered security. Konkurenti poput Mistral AI ili Cohere još uvijek nemaju slične primjere – ili ih barem ne promociraju.

Najzanimljivije pitanje ostaje što se ovdje ne govori. Nema detalja o verziji FreeBSD-a (je li riječ o mainline grani ili nekoj starijoj iteraciji?), nema analize koliko je Carlinijevo predznanje utjecalo na rezultat, a kamoli razgovora o lažnim pozitivima. Ako je Claude pogodio ranjivost koja već postoji u CVE bazi, ovo je više vještina Google-a nego revolucija. Pravi signal ovdje nije u probijanju FreeBSD-a, već u tome tko će prvi pretvoriti takve demoe u ponovljive, prodajne rješenje.

U svijetu sigurnosnih istraživanja, Claudeov uspjeh u probijanju FreeBSD-a predstavlja veliki korak naprijed, ali također i veliki izazov. Kako će se sigurnosna zajednica nositi s mogućnostima i rizicima koji se vezuju za upotrebu AI-a u sigurnosnim istraživanjima? To će biti tema rasprave u narednom periodu. Jedno je sigurno: Claude je samo početak nove ere u sigurnosnim istraživanjima.