Разработчик обрушил Smart TV 2014 года через уязвимость в libupnp с помощью ИИ-ассистента Claude Code

Разработчик за 20 минут сломал телевизор 2014 года выпуска, используя ИИ-ассистент Claude Code для поиска и эксплуатации уязвимости CVE-2012-5958 в библиотеке libupnp. Эксперимент показал, как ИИ может ускорить анализ безопасности, но и обострил вопросы приватности пользователей,.

• Эксперт использовал ИИ-ассистент Claude Code для поиска уязвимостей в Smart TV 2014 года, работающем под управлением Linux
• Найдена критическая уязвимость CVE-2012-5958 в библиотеке libupnp, которая присутствовала в большинстве телевизоров того времени
• Эксплуатация заключалась в отправке одного сетевого пакета с переполнением стекового буфера, что привело к краху устройства
• После падения телевизора начат анализ прошивки и рекламных модулей, включая сомнительные практики Vizio, осужденного в 2017 году за скрытое отслеживание пользователей
• Эксперимент демонстрирует, как ИИ может ускорить анализ безопасности, но и обостряет вопросы приватности и ответственности производителей

Разработчик из России за 20 минут обрушил Smart TV 2014 года с помощью ИИ-ассистента Claude Code. Он не использовал сложные инструменты или ручной анализ — достаточно было задать ИИ вопрос о типичных уязвимостях Linux-систем того времени, доступных только из локальной сети.

Claude Code предложил протестировать несколько известных багов, включая Heartbleed, но в итоге нашел CVE-2012-5958 — критическую уязвимость в библиотеке libupnp, которая присутствовала в большинстве телевизоров того времени. Эксплуатация заключалась в отправке одного сетевого пакета с переполнением стекового буфера на 8 байт. Этого оказалось достаточно, чтобы вызвать крах устройства. После падения телевизора разработчик приступил к декомпиляции прошивки.

Его интересовали не только механизмы работы устройства, но и то, какие данные собирают производители через свои рекламные модули.

Например, Vizio в 2017 году был оштрафован Федеральной торговой комиссией США на 2,2 миллиона долларов за тайное отслеживание активности пользователей и продажу этих данных рекламодателям. Эксперимент показал, как ИИ может ускорить анализ безопасности: вместо недель ручного поиска уязвимостей Claude Code выдал потенциальные цели за минуты. Однако это же демонстрирует и новые риски.

Если ИИ способен находить дыры быстрее, то и злоумышленники получат такой же инструмент. Производители же, как и раньше, продолжают игнорировать вопросы приватности, предпочитая монетизацию данных пользователей.

Эксперимент с использованием ИИ для эксплуатации уязвимостей в старых устройствах — это не просто технический курьез, а сигнал для всей индустрии. С одной стороны, ИИ действительно может стать инструментом для ускоренного поиска уязвимостей, что полезно для безопасности. С другой — он снижает порог входа для злоумышленников, которые теперь могут обходиться без глубоких знаний в программировании. Производители же, как показывает история с Vizio, не спешат исправлять даже очевидные проблемы, предпочитая зарабатывать на данных пользователей. Вопрос не в том, кто первым воспользуется такими инструментами, а в том, когда регуляторы и рынок заставят их нести ответственность за безопасность и прива

Владимир Платонов