IA da PortSwigger Desvenda Vulnerabilidades Críticas em Servidores HTTP, Incluindo CVE no Apache

A PortSwigger, conhecida por suas ferramentas de segurança, lançou o HTTP Terminator, uma ferramenta que usa IA para caçar vulnerabilidades de HTTP desync. Este tipo de ataque explora a inconsistência entre servidores front-end e back-end na interpretação de requisições HTTP, permitindo que um atacante manipule outras requisições e obtenha dados sensíveis como cookies de sessão e chaves de API. O sistema da PortSwigger gerou e testou 30.000 payloads, criados a partir de micro-fragmentos de RFCs, em 30.000 alvos autorizados.

A metodologia da IA segue um processo de quatro fases. Primeiro, a Ideation, onde a IA gera hipóteses de ataque a partir de RFCs HTTP e SMTP, evitando palavras-chave comuns para maximizar a originalidade. Na Evaluation, a ferramenta usa uma extensão do Burp Suite para testar essas hipóteses em websites reais, identificando quais desync triggers funcionam. A fase de Weaponization conecta a hipótese comprovada a um impacto de segurança real, enquanto a Cascade usa cada achado para alimentar novas descobertas, operando continuamente para explorar bilhões de triggers únicos.

A pesquisa da PortSwigger marca um avanço notável na aplicação de IA em cibersegurança. Diferente das descobertas anteriores do Codex (4 de junho de 2026) que identificou uma vulnerabilidade de negação de serviço em HTTP/2, ou da IA que descobriu zero-days em React e Node.js (12 de fevereiro de 2026), o HTTP Terminator vai além de simplesmente identificar falhas. Ele inventa novas técnicas de ataque.

Enquanto a Cloudflare (19 de junho de 2026) e a Mozilla (22 de abril de 2026) focaram em usar IA para acelerar a identificação e correção de vulnerabilidades conhecidas ou variações de zero-days, a PortSwigger demonstrou a capacidade da IA de gerar vetores de ataque totalmente originais, baseados em uma compreensão aprofundada de especificações de protocolo. Isso move a barra da automação na pesquisa de segurança, mostrando a IA como uma força criativa, e não apenas de otimização.

Para empresas e governos, a capacidade de uma IA de inventar técnicas de ataque novas e eficazes muda o jogo. As defesas precisam evoluir para além da detecção de padrões conhecidos, focando na resiliência arquitetural. A descoberta de um CVE no Apache Traffic Server e a exposição de uma chave de API bancária por meio de um Citrix NetScaler mal configurado mostram que sistemas amplamente usados estão vulneráveis a essas explorações complexas.

A pesquisa também ressalta a importância de uma revisão rigorosa de protocolos e configurações de servidores, especialmente para HTTP desync. A PortSwigger planeja tornar o HTTP Terminator open-source, o que pode democratizar essa capacidade de pesquisa proativa, mas também potencialmente armar atores maliciosos. A lição é clara: a segurança deve antecipar o poder da IA ofensiva, investindo em auditorias profundas e uma postura de segurança adaptativa.