James Kettle, director de recerca de PortSwigger —l'empresa darrere de l'eina de seguretat Burp Suite—, va presentar dimecres a Black Hat USA una pregunta directa: pot una IA autònoma fer recerca de seguretat genuïnament nova, no només trobar errors ja coneguts? La resposta la va donar amb un sistema batejat com a HTTP Terminator, dissenyat per inventar tècniques d'atac a partir de fragments de l'estàndard HTTP i posar-les a prova contra llocs web reals a gran escala.
El sistema treballa en quatre fases —ideació, avaluació, arma i cascada— i ha trobat diversos vectors nous de desincronització HTTP, entre ells una combinació de HTTP/1.0 amb capçaleres Transfer-Encoding, un patró de capçalera Content-Length duplicada com a nova classe de desincronització, la «tècnica del byte penjant» per esquivar les defenses contra condicions de cursa, i un concepte més ampli batejat «confusió de l'analitzador compartit» (Shared-Parser Confusion). Kettle el va provar contra 30.000 llocs web en actiu, a través de programes autoritzats de recompenses per errors, i el sistema va automatitzar l'explotació dels casos positius. Entre els sistemes compromesos hi ha bancs, aeroports i infraestructures governamentals, així com productes de seguretat com F5 BIG-IP, Apache Traffic Server, Beyond Trust, Citrix NetScaler i sistemes de Meta; PortSwigger no en revela els noms concrets, seguint les pràctiques de divulgació responsable. La recerca va destapar també una vulnerabilitat de dia zero a Apache Traffic Server, identificada com a CVE-2026-63078, que ja s'ha corregit.
El treball marca, segons Kettle, un salt qualitatiu: fins ara la IA aplicada a la ciberseguretat trobava sobretot variants de vulnerabilitats ja conegudes, mentre que l'HTTP Terminator arriba a produir recerca original. PortSwigger n'ha alliberat el codi a GitHub, juntament amb actualitzacions de les seves eines HTTP Request Smuggler, Turbo Intruder i Param Miner, perquè la comunitat de seguretat en pugui beneficiar-se.
El mateix Kettle matisa l'abast del sistema: no el descriu com una IA plenament autònoma, sinó com un «amplificador de potència» que multiplica el que pot fer un investigador humà. Les troballes més significatives, explica, van sorgir de la col·laboració entre l'IA i l'anàlisi humana durant la fase de cascada, no de l'automatització pura. Els noms concrets de les entitats compromeses continuen sense fer-se públics.