PortSwigger, tramite James Kettle, ha mostrato a Black Hat USA 2026 HTTP Terminator: un tool open source che ha generato in autonomia nuovi attacchi di HTTP request-smuggling e li ha usati con successo contro siti enterprise reali, comprese più aziende finanziarie. Il punto non è un singolo payload riuscito, ma la dimostrazione che l’AI può uscire dal perimetro dei casi già noti.
Il tool continua a provare forme anomale di richiesta finché il server front-end e quello back-end non divergono su dove finisca una richiesta e inizi la successiva. In quel varco, contenuti extra possono essere nascosti dentro traffico che il primo strato considera innocuo.
Per chi espone applicazioni dietro reverse proxy, CDN o load balancer, il rischio resta legato alla catena di parsing nel suo insieme. I test che cercano solo varianti note possono non vedere pattern nuovi, anche quando il disallineamento è già sfruttabile.