Інженер-новачок зламав ClickHouse за допомогою AI та отримав гроші

Колишній інженер Akamai Цветан Стойчев вирішив перевірити, чи здатен AI замінити професійного дослідника вразливостей. Використовуючи зв'язку з LLM, він зміг знайти критичні баги у вихідному коді ClickHouse, попри відсутність профільного досвіду. Його схема проста: AI генерує теорію про слабке місце, а потім пише скрипт на Python, щоб перевірити це в локальному середовищі Docker.

Це нагадує роботу з дуже старанним, але схильним до вигадок стажером. Більшість звітів AI про «критичні» загрози — це просто фантазії моделі, тому кожну знахідку доводиться перевіряти вручну. Стойчев витрачає по кілька годин на один звіт, бо автоматизувати перевірку поки неможливо. Як не дивно, його незнання стандартних підходів стало перевагою: там, де профі бачив глухий кут, інженер продовжував тиснути на AI питаннями «а як інакше?», що іноді приводило до реальних результатів.

Щоб модель не «блукала», він видаляє зайву документацію та тести з репозиторію, бо вони лише збивають AI з пантелику. Він також навчився використовувати Claude Opus і GPT одночасно, щоб перехресно перевіряти висновки один одного. AI радикально пришвидшив створення PoC: те, на що раніше йшли дні, тепер займає лічені хвилини.

Схоже, поріг входу в кіберзлочинність знизився до нуля, і безпека ПЗ перетворюється на гру в «вгадай, де помилка». Чи зробить це інтернет безпечнішим, чи просто засипле розробників терабайтами AI-сміття — питання відкрите.

Джерело: ClickHouse