Николас Карлини, один из самых уважаемых специалистов по безопасности, на днях показал на живой демке, как CLAUDE находит zero-day уязвимости.

Причём это был не тестовый проект, а Ghost CMS — один из самых популярных open-source проектов на GitHub. Кодовая база, которая за всю свою историю не имела ни одной критической уязвимости.

Claude нашёл blind SQL-инъекцию за 90 минут, получил admin API key и полный доступ к базе данных. Затем сделал то же самое с ядром Linux и обнаружил heap buffer overflow, который там находился с 2003 года.

Карлини сказал со сцены, что «эти модели уже лучше него как исследователи уязвимостей». Для контекста: у него 67 000 цитирований и реальные CVE на его имя. 😳