AI guidata da umani scopre una nuova classe di HTTP desync
La novità non è che l’AI abbia cercato più bug, ma che un sistema guidato da un ricercatore ha trasformato ipotesi vaghe sui parser HTTP in risultati sfruttabili e ha fatto emergere una nuova classe di vulnerabilità. In questa storia, il fattore decisivo è il giudizio umano che restringe il campo, scarta le piste deboli e spinge l’AI verso i casi davvero ambigui.
PortSwigger riferisce che HTTP Terminator ha generato, valutato e validato migliaia di ipotesi su HTTP request smuggling, trovando centinaia di siti vulnerabili e una classe finora non nominata, “shared-parser confusion”. Il punto è semplice: quando front-end e back-end non concordano su dove finisce una richiesta e ne inizia un’altra, una singola richiesta può essere fraintesa e alterare flussi, dati e risposte di altri utenti.
Per chi lavora su reverse proxy, load balancer, CDN e stack che multiplexano richieste su connessioni condivise, la lezione è che il rischio nasce nelle combinazioni tra componenti, non in una singola impostazione evidente. È un cambio di lettura del problema, non una correzione puntuale.