ИИ-генерируемые эксплойты: от CVE до PoC за часы

Полтора года я встраиваю LLM в пентест-цепочки - от diff-анализа патчей до генерации PoC. Скормил GPT-4 и Claude advisory на 23 свежих CVE разной сложности с задачей выдать рабочий эксплойт. Числа далеки от маркетинговых обещаний про «ИИ заменит пентестеров». Но они фиксируют реальный сдвиг: автоматическая генерация эксплойтов ИИ перестала быть лабораторным экспериментом и стала рабочим инструментом. С конкретными ограничениями, которые надо знать, прежде чем доверять модели хоть что-то боевое.

Методология RSA: как заставить LLM писать эксплойты​

Уязвимость добавлена в каталог CISA KEV 9 июня 2025 года с пометкой «активная эксплуатация». EPSS - 0.9879, percentile 0.9992 (top 0.08% по вероятности эксплуатации среди всех CVE). Уязвимы версии Erlang/OTP до OTP-27.3.3 (ветка 27.x), до OTP-26.2.5.11 (ветка 26.x) и до OTP-25.3.2.20 (ветка 25.x), а также Cisco ConfD Basic.

Как GPT-4 сгенерировал PoC без публичного кода​

Исследователь на Habr описал процесс: увидел твит Horizon3 о наличии PoC (без публикации кода) и решил проверить - способен ли GPT-4 воспроизвести эксплойт с нуля.

Шаг 1 - fingerprinting через advisory. Модели передан фрагмент визуального вывода из GIF-анимации Horizon3 плюс текст CVE-описания. Шаг 2 - извлечение diff. GPT сгенерировал команды git checkout OTP-27.3.1 для уязвимой версии и checkout конкретного коммита для исправленной, а затем написал Python-скрипт для рекурсивного сравнения .erl и .hrl файлов. Шаг 3 - root cause analysis. На основе diff модель идентифицировала причину: возможность отправки channel_open и exec-запросов до завершения SSH-аутентификации. Шаг 4 - генерация PoC. Python-скрипт, строящий SSH handshake на уровне сокетов и отправляющий channel_request с exec payload до аутентификации.

Ключевой фрагмент - построение SSH channel_request до завершения handshake:
Первая версия не заработала. Исследователь перенёс код в Cursor (Claude Sonnet 3.7) и попросил «исправить PoC» - без уточнений. Модель поправила формат SSH-сообщений, и эксплойт записал /lab.txt на тестовой системе. Общее время - полдня. На GitHub также доступны публичные PoC-репозитории: реализации на Python и Go (например, omer-efe-curkus/CVE-2025-32433-Erlang-OTP-SSH-RCE-PoC, 16).

Процесс, который у специалиста со знанием Erlang и SSH-протокола занял бы несколько часов ручной работы, у человека без экспертизы в Erlang + LLM уложился в полдня. Барьер входа не исчез, но просел критически.

AI red teaming: бенчмарки на реальных уязвимостях​

Кейс CVE-2025-32433 - не аномалия. Систематические исследования подтверждают: нейросети для написания эксплойтов уже перешагнули порог практической применимости.

Веб-уязвимости: 87% с advisory, 7% без​

Наиболее цитируемое исследование - работа UIUC (апрель 2024). Авторы собрали 15 реальных one-day уязвимостей: веб-приложения, контейнеры, уязвимые Python-пакеты, больше половины - high/critical severity. 11 из 15 появились после training cutoff GPT-4, что исключает запоминание из обучающих данных.

GPT-4 с доступом к CVE advisory эксплуатировал 87% уязвимостей. Ни одна другая модель (GPT-3.5, open-source LLM) и ни один сканер (OWASP ZAP, Metasploit в автоматическом режиме) не справился ни с одной. Разрыв не количественный - качественный: модель парсила описание на естественном языке, выстраивала предусловия и выполняла атаку через минимальный агентный фреймворк.

А теперь нюанс, о котором маркетинг молчит: без CVE-описания success rate падал с 87% до 7%. Модель не находит 0-day через чистый анализ кода - она зависит от человекочитаемого контекста. Это одновременно ограничение и тревожный сигнал для patch management: публикация advisory мгновенно превращает уязвимость в мишень для автоматизированной генерации эксплойтов. По данным IBM X-Force, среднее время от публикации CVE до устранения в организации - 29 месяцев (усреднённо по всем CVE; для критических KEV-уязвимостей сроки короче под давлением compliance). Когда LLM сжимает время от advisory до working PoC с дней до часов, это окно становится убийственным.

Бинарные эксплойты: PwnGPT поднимает планку​

PwnGPT (ACL 2025) расширил AI-powered exploit development на бинарные цели - CTF pwn-задачи. Модульная архитектура: анализ, генерация, верификация с feedback loop.

Результаты: o1-preview с PwnGPT - рост success rate с 26.3% до 57.9%. GPT-4o - с 21.1% до 36.8%. Бинарная эксплуатация требует понимания memory layout, calling conventions, ROP-цепочек и специфики конкретного бинарника. Структурированный scaffolding удваивает результат, но до уровня опытного CTF-игрока всё ещё далеко. Модель пока не «видит» бинарник так, как его видит человек с GDB.

Автономные агенты: DARPA AIxCC и Incalmo​

DARPA AI Cyber Challenge (AIxCC, завершён август 2025): автономные системы обнаружили 86% синтетических уязвимостей, внедрённых в миллионы строк реального кода. Побочный результат - 18 ранее неизвестных реальных уязвимостей в OSS-проектах. Неплохой бонус для «синтетического» соревнования.

Фреймворк Incalmo, согласно whitepaper Cloud Security Alliance, продемонстрировал многоступенчатые сетевые атаки через реалистичные среды менее чем за час при заявленной стоимости API-вызовов ниже $15. По заявлению Horizon3, их автономный пентест-агент NodeZero скомпрометировал полную Game of Active Directory среду (multi-domain enterprise-лаба) за 14 минут - по оценке вендора, человеческие пентестеры тратят 12-16 часов на тот же стенд. Цифры впечатляют, но держите в голове: вендор оценивает своего робота vs абстрактного пентестера. В реальной инфраструктуре с EDR и кастомными правилами картина будет другой.

Государственные акторы не ждут​

Согласно отчёту Google Threat Intelligence Group, зафиксирован первый случай использования LLM для создания 0-day эксплойта: Python-скрипт, обходящий двухфакторную аутентификацию в популярном опенсорсном инструменте администрирования. Признаки AI-генерации: избыточные docstring-комментарии, «слишком учебный» стиль кода. Уязвимость оказалась логической - именно такие семантические ошибки LLM находят хорошо, в отличие от memory corruption.

По данным GTIG, APT-группы, предположительно связанные с Северной Кореей, автоматизировали анализ CVE и проверку PoC, отправляя модели многочисленные запросы. Другие группы применяли jailbreak - заставляли модель «играть роль» аудитора безопасности для анализа прошивок сетевого оборудования. По данным CrowdStrike, вредоносное использование генеративного ИИ для социальной инженерии и фишинга удвоилось в 2024 году.

В MITRE ATT&CK эти техники отображаются на: T1588.007 Artificial Intelligence (Resource Development) - приобретение AI-возможностей, T1587.004 / T1588.005 Exploits (Resource Development) - разработка и получение эксплойтов, T1190 Exploit Public-Facing Application (Initial Access) - применение против публично доступных сервисов.

Где нейросети для написания эксплойтов ломаются​

Честная картина: генеративный ИИ для атак работает далеко не всегда. Точки отказа, с которыми сталкиваюсь регулярно.

ASLR и heap layout. Модели галлюцинируют адреса. Claude генерирует ROP-цепочку с захардкоженными адресами гаджетов, не совпадающими с реальным бинарником ни в одном прогоне. Без верификации через ROPgadget --binary <target> и ручной привязки через GDB каждый второй payload - мёртвый.

Kernel exploits с race conditions. Эксплуатация ядра, где нужно контролировать timing между потоками, выходит за пределы текущих моделей. Агентные фреймворки пока не показывали стабильного успеха с race conditions - не хватает feedback loop для sub-microsecond timing. Тут модель тупо не понимает, что происходит.

Evasion и OPSEC. Модели генерируют «чистый» exploit без учёта EDR на целевой системе. Payload, проходящий в лабе без защиты, детектится Defender for Endpoint за секунды. Обход требует ручной обфускации, кастомного shellcode-энкодинга и понимания конкретного EDR-стека. Автоматизация пентеста с помощью ИИ заканчивается ровно там, где начинается evasion под конкретную инфраструктуру.

Safety-фильтры ужесточаются. OpenAI, Anthropic и Google активно блокируют прямые запросы. Методология RSA обходит guardrails через pretexting, но фильтры совершенствуются. В моей практике Claude отказывался генерировать shellcode даже в контексте «security audit» примерно в 30% случаев - приходилось переформулировать промпт 2-3 раза.

Без advisory - модель слепа. Исследование UIUC зафиксировало: 87% → 7% без CVE-описания. Автономные ИИ-агенты атаки пока не способны к полноценному 0-day research на произвольной кодовой базе. Они усиливают оператора, но не заменяют его.

ИИ в пентесте: что менять в рабочем процессе​

Практические выводы для тех, кто каждый день живёт в Metasploit и Burp Suite.

Что делегировать модели​

Diff-анализ патчей - самое стабильное применение. Скармливаете diff между уязвимой и исправленной версией, просите определить root cause. Работает надёжно, экономит часы ручного reverse engineering. Boilerplate PoC - модель выдаёт каркас (сокеты, HTTP-запросы, структуры пакетов), вы подгоняете payload под конкретную среду. Triage crash dumps - загружаете coredump или GDB backtrace, просите определить тип уязвимости и предложить exploitation primitive.

Чего не делегировать​

Финальную верификацию - каждый AI-сгенерированный эксплойт тестируется в контролируемой среде. OPSEC-обёртку - evasion, C2-интеграция, persistence под конкретный EDR/SIEM стек. 0-day research без фаззера - AFL++, LibFuzzer или аналог остаётся обязательным звеном pipeline, LLM помогает с triaging результатов.

Промпт-шаблон для работы с CVE​

Связка инструментов: LLM (GPT-4 / Claude) для генерации и анализа + pwntools для автоматизации взаимодействия с уязвимым сервисом (remote() для сетевых целей, ELF() для анализа бинарника) + GDB с GEF/PEDA для отладки + Ghidra для reverse engineering. Эта четвёрка закрывает 90% задач, остальное - по ситуации.

По данным Mandiant, эксплойты остаются самым распространённым вектором initial access - 38% инцидентов в 2024 году. Автоматическая генерация эксплойтов ИИ не создаёт новый вектор угрозы - она ускоряет существующий. И ускорение асимметрично: атакующий получает PoC за часы, а средняя организация, по данным IBM X-Force, закрывает CVE за 29 месяцев (усреднённо по всем severity; критические KEV-уязвимости патчатся быстрее).

Сдвиг за последние два года - не в том, что модели «научились писать эксплойты». Они и раньше могли генерировать код. Сдвиг в стоимости: переход от опубликованного advisory до работающего PoC упал с «дни работы специалиста» до «часы с API-кредитами на $15». RSA-методология показала 100% success rate на Odoo CVE за 3-4 промпта, UIUC - 87% на реальных one-day. Cloud Security Alliance прямо заявляет: «порог от обнаружения уязвимости до weaponization не просто приблизился - он пройден».

Главная ошибка - воспринимать это только как угрозу. Пентестер, игнорирующий LLM для exploit development, проигрывает в скорости атакующему, который их использует. При этом доверять модели безоговорочно - путь к ложным срабатываниям в отчёте и потере репутации. Рабочая формула: модель генерирует - вы верифицируете. Модель анализирует diff - вы пишете финальный payload. Модель предлагает ROP-цепочку - вы проверяете каждый гаджет в GDB. Через год-два agentic frameworks вроде Incalmo дозреют до production-ready, и роль сместится от «пишу эксплойт руками» к «оркеструю AI-агентов и валидирую их вывод». Готовиться к этому стоит уже сейчас - на HackerLab есть лаба, где это разворачивается end-to-end без подсказок, хороший тест на то, где ручной навык ещё незаменим.