W ramach projektu curl udostępniono wersję 8.22.0 zawierającą poprawki dla sześciu nowo ujawnionych CVE, wszystkie znalezione przez autonomiczny system bezpieczeństwa AI zbudowany przez start-up AISLE — a wszystkie odkryte po tym, jak graniczne modele sztucznej inteligencji z OpenAI i Anthropic publicznie poinformowały, że curl nie zawiera żadnych dalszych luk. Porównanie, udokumentowane w opublikowanym we wtorek poście na blogu badacza AISLE, Stanislava Forta, przyciąga uwagę społeczności zajmującej się bezpieczeństwem jako jeden z najwyraźniejszych bezpośrednich testów wyspecjalizowanych narzędzi bezpieczeństwa AI w porównaniu z uniwersalnymi modelami granicznymi.

Linia bazowa była niezwykle czysta. 24 sierpnia założyciel curl, Daniel Stenberg, napisał publicznie, że na następną wersję oczekują tylko trzy CVE, zauważając, że model Mythos firmy Anthropic „mówi, że nie może znaleźć więcej” i że system bezpieczeństwa OpenAI Codex „pokazuje pustą listę” po poproszeniu o analizę curl, wszechobecnej biblioteki do przesyłania danych wdrożonej w ponad 20 miliardach instancji na całym świecie, od inteligentnych lodówek po statki kosmiczne. Więcej takich historii znajdziesz w naszych wiadomościach dotyczących bezpieczeństwa AI.

Od zera do dwudziestu dziewięciu raportów w ciągu jednej nocy

Następnie AISLE skierował swój własny autonomiczny system sztucznej inteligencji na zakręt. Następnego dnia Stenberg zamieścił jednowierszowe porównanie, które od tego czasu szeroko rozpowszechniło się: „Mity: 0, przejście: 29”. Spośród tych 29 raportów zespół ds. bezpieczeństwa firmy curl sprawdził sześć w ciągu kilku dni i uznał je za na tyle poważne, że zasługują na publiczne oznaczenie CVE w wydanej właśnie wersji curl 8.22.0.

Sześć CVE przypisanych AISLE i jego badaczowi to:

  • CVE-2026-80229 — Dostawcy OpenSSL można używać później bezpłatnie
  • CVE-2026-80230 — Obejście przypinania OpenSSL
  • CVE-2026-80231 — ponowne wykorzystanie natywnego połączenia ze sklepem CA
  • CVE-2026-80255 — bezpieczne obejście atrybutów za pomocą karty
  • CVE-2026-82208 — trafienie w pamięci podręcznej WolfSSL CA zastępuje wywołanie zwrotne
  • CVE-2026-82209 — plik cookie z publicznym sufiksem ograniczony do domeny

Wszystkie sześć mają ocenę Niska dotkliwość. AISLE przypisuje ten profil oceny wyjątkowej dojrzałości inżynieryjnej firmy Curl: po dziesięcioleciach audytów istniejące luki mają tendencję do ukrywania się w wąskich konfiguracjach i subtelnych interakcjach między komponentami, ograniczając wpływ na praktykę. Trzy zgłoszono 24 sierpnia, dwa 26 sierpnia i jeden 27 sierpnia. Do 28 sierpnia liczba oczekujących CVE w przypadku Cura wzrosła z trzech do dziesięciu, a sześć z nowych ustaleń pochodziło z AISLE, według sprawozdania firmy.

Dlaczego to porównanie jest ważne

Badacze zajmujący się bezpieczeństwem od dawna odrzucali odkrywanie luk w zabezpieczeniach przez sztuczną inteligencję jako teatr działań — demonstracje przeprowadzane w obliczu wyzwań związanych z przechwytywaniem flagi lub testów porównawczych ze znanymi odpowiedziami, które mogą już czaić się w danych szkoleniowych modeli. Ten odcinek był inny pod jednym ważnym względem: analiza dotyczyła aktualnego kodu produkcyjnego, a opiekunowie Cura, a nie AISLE, zdecydowali zarówno, czy każde odkrycie było prawdziwe, jak i czy uzasadniało CVE. Ponieważ Stenberg publicznie udokumentował zerowy wynik pionierskich modeli, zanim firma AISLE uruchomiła swój system, porównanie zawierało datę bazową ze znacznikiem czasu, co jest rzadkością w twierdzeniach dostawców.

Warto mieć na uwadze kontekst dostawcy. Firma AISLE sprzedaje audyt kodu AI jako produkt, a wpis na blogu stanowi wyraźny marketing dla jej tezy „System zamiast modelu” — argumentu, że wyspecjalizowane systemy sztucznej inteligencji mogą pokonać pionierskie modele ogólnego przeznaczenia przy odkrywaniu w świecie rzeczywistym w dniu zerowym. Komentatorzy Hacker News poczynili tę samą obserwację, zauważając, że post zawiera niewiele szczegółów technicznych na temat metodologii, chociaż dyskusja na temat publicznego kodu firmy sugeruje podejście, które łączy targetowanie kierowane przez LLM z tradycyjnym fuzzingiem: modele identyfikują interesujące funkcje i generują wiązki testowe, a następnie ustalane są wyniki fuzzera. W czerwcu firma ujawniła już sześć przypadków CVE typu curl, w tym jeden z najstarszych problemów, jakie kiedykolwiek zgłoszono w ramach projektu.

Wzór może wykraczać poza zawinięcie

Najbardziej prowokacyjny sygnał nadszedł spoza projektu curl. Greg Kroah-Hartman, wieloletni opiekun stabilnych wydań jądra Linuksa, odpowiedział na post Stenberga, mówiąc: „Widzę to samo w przypadku Linuksa. Nie mam pojęcia, co Aisle robi inaczej, ale wow”. Jeśli wyspecjalizowany system sztucznej inteligencji niezależnie odkrywa istotne luki w jądrze Linuksa, których brakuje w pionierskich modelach, luka ta nie wynika z jednej bazy kodu.

Dla zespołów zajmujących się bezpieczeństwem w przedsiębiorstwie epizod ten przypada na szerszą zmianę. Laboratoria, w tym OpenAI i Anthropic, poczyniły znaczne inwestycje w pozycjonowanie swoich pionierskich modeli pod kątem prac nad bezpieczeństwem — w tym tygodniu OpenAI potwierdziło, że Astra jest „krytycznym” modelem cyberbezpieczeństwa — a systemy sztucznej inteligencji regularnie wykrywają luki w oprogramowaniu typu open source. Wynik zwijania sugeruje, że same modele graniczne nie stanowią całego zestawu narzędzi: model ogólnego przeznaczenia zgłaszający zerowe wyniki nie jest dowodem na to, że ustalenia nie istnieją.

Praktyczne wnioski są już widoczne. Organizacje korzystające z programu curl powinny zaktualizować go do wersji 8.22.0, która zawiera poprawki dla wszystkich sześciu CVE. Natomiast dla zespołów oceniających narzędzia zabezpieczające AI punktem odniesienia nie jest to, jak model radzi sobie ze standardowymi wyzwaniami, ale to, czy jego ustalenia przetrwają przegląd przeprowadzany przez opiekunów prawdziwego kodu produkcyjnego — czyli standard, który właśnie spełniło te sześć CVE.

---

Wyprzedź sztuczną inteligencję

Otrzymuj najnowsze wiadomości, analizy i przełomowe informacje dotyczące sztucznej inteligencji — wszystko w jednym miejscu.

Przeczytaj więcej aktualności o sztucznej inteligencji →