Анонимный аккаунт вывалил на GitHub гору «0-day». Прочитавшие их эксперты лишь пожали плечами

Что на самом деле опубликовал анонимный аккаунт

Одноразовый аккаунт на GitHub опубликовал репозиторий под названием *exploitarium*: стопку нераскрытых эксплойтов, каждый с разбором, против в основном открытого ПО. В заметках автор оставил манифест: «На момент публикации ни один из них не отправлен в вендоры. Можете отрепортить их сами и забрать CVE себе, если выдадут, lulz. Делаю это, чтобы заманить людей в профессию». На первый взгляд это выглядит как массовый слив 0-day, из тех, что съедают всё утро у команды безопасности. Именно объём и аккуратность вынесли репозиторий на главную за считаные часы.

Аккуратность же и есть первая зацепка. Удивительно много документации для того, кто будто бы анонимно разбрасывает бомбы. Ровно этого и ждёшь, если текст написала модель.

«0-day» тянет на себе работу, которую не заслужил

Те, кто исследует уязвимости профессионально, были скорее разочарованы, чем встревожены. Первой жертвой стало само слово: 0-day — это баг, который проэксплуатировали до того, как о нём узнали и успели пропатчить, а не любой эксплойт с README.

«Дружеское напоминание: 0-day — это уязвимость, о которой не знали, пока её не проэксплуатировал злоумышленник. Если кто-то публикует PoC, это не 0-day, а просто уязвимость». — комментатор, повторяющий определение, которое репозиторий игнорирует

«А они правда все 0-day? Думаю, многие из уже раскрытых CVE или кода, который давно поправили в апстриме. Похоже, термин «0-day» сегодня почти потерял смысл». — комментатор по безопасности с \~3,5k кармы

Затем Дэвид Бьюкенен, который ведёт публичный блог о реверс-инжиниринге, открыл те, что касались Ghidra (инструмента, которым он и пользуется), и разобрал их:

«Первый требует возможности перезаписать бинарники в каталоге инструментов Swift. Да, если перезаписать бинарники, которые запускает ghidra, можно добиться выполнения кода. Это не сюрприз… Третий вообще не уязвимость, они просто показывают, что нативный код парсинга 7zip достижим».

Второй исследователь сказал прямо: «Как уязвимости — довольно невпечатляюще. Честнее назвать большинство из них просто простыми багами».

Почему куча слабых багов всё же напрягла людей

Причина, по которой тред не отмахнулся: агрегация меняет угрозу, даже когда каждый кусок слаб. Инженер привёл аргумент в духе FOUO о том, что публичная информация становится чувствительной, стоит собрать её в одном месте:

«По отдельности это мелкие кусочки пазла, которые ничего не могут. Сложите их в одно место, и собрать что-то большее становится проще. А теперь у нас есть автоматические сборщики пазлов (ассистенты для кода), и такой репозиторий становится куда весомее». — инженер, приводящий аргумент «только для служебного пользования»

Это указывает на настоящую тему, и она не про баги. Она про то, что LLM теперь может штамповать задокументированные попытки эксплойтов быстрее, чем синяя команда успевает их разбирать, и асимметрия играет не в ту сторону. Один защитник, сказавший, что сам перешёл с наступательной стороны, ответил автору напрямую: «у плохих парней обычно куда больше времени листать новые пейлоады, чем у меня».

А поскольку всё это пришлось на разгар спора об экспорте Mythos, разработчик, делающий LLM-агентов, подкинул циничную версию, что слив это театр:

«Что если этот человек из ИИ-лаборатории, которой очень хочется, чтобы государство и дальше душило Mythos/Fable и GPT5.6? Я бы так и сделал, момент идеальнее не придумаешь». — разработчик, строящий агентов на LLM

Доказательств этому нет, и более простой остаётся версия, которую рассказали ревьюеры: аккаунт с помощью модели перепутал достижимость с эксплуатацией и назвал результат 0-day. Тревожит не этот репозиторий. Тревожит следующий: собранный быстрее, с одним настоящим багом, спрятанным в куче.