Un ricercatore di sicurezza ha usato GPT-5.6 Sol Ultra per trovare una vulnerabilità Remote Code Execution (RCE) in WordPress, partendo da pre-autenticazione fino al controllo completo del server. I broker di exploit pagano fino a 500.000 dollari per un RCE su WordPress. Il costo di compute per trovarlo con l’AI: 25 dollari.

Adam Kues, ricercatore presso Searchlight Cyber, ha preso il prompt che OpenAI aveva pubblicato per far risolvere a GPT-5.6 Sol la Cycle Double Cover Conjecture (come raccontavamo il 12 luglio) e lo ha adattato per la ricerca di vulnerabilità. Ha dato al modello il codice sorgente di WordPress, quattro sottoagenti in parallelo e sei ore di tempo. L’istruzione era esplicita: cerca una catena che porti dall’accesso anonimo all’esecuzione di codice, analizzando il codice da primi principi, senza confrontare le patch o usare la cronologia git.

Perché ti riguarda. La sicurezza offensiva era uno dei campi in cui l’esperienza umana e il costo di un esperto facevano da barriera all’ingresso. Se un modello frontier con un buon prompt e 25 dollari di compute può trovare vulnerabilità critiche in un software usato da milioni di siti, quella barriera si assottiglia. Per chi gestisce infrastrutture, il messaggio è che la finestra fra disclosure e patch diventa più stretta: aggiornare WordPress e le sue dipendenze non è procrastinabile.

Il ricercatore ha pubblicato uno strumento, wp2shell.com, per verificare se la propria istanza WordPress è vulnerabile. Due team indipendenti hanno riprodotto l’intera catena di exploit prima che apparissero altri PoC su GitHub.

Nel dettaglio

Il prompt che Kues ha adattato merita attenzione perché è un framework di ricerca strutturato, non un semplice «trova il bug». Le istruzioni dicono al modello di mantenere un portafoglio diversificato di approcci (parsing degli input, charset, file upload, gestione degli errori, serializzazione, race condition, crittografia), di registrare esplicitamente le famiglie di approccio, di non far convergere tutti gli agenti sulla stessa idea e di usare agenti avversariali per verificare ogni bug candidato. Il root agent deve sintetizzare, sfidare e rilanciare round successivi.

La struttura è quella che abbiamo visto funzionare negli esperimenti di ragionamento parallelo di GPT-5.6 Sol: il valore sta nel ciclo di controllo che orchestri intorno al modello (come notavamo il 18 luglio), non nella potenza grezza del modello da sola.

Cosa cambia concretamente. Un RCE pre-autenticazione in WordPress è una delle vulnerabilità più pagate nel mercato degli exploit, perché WordPress alimenta oltre il 40% del web. Trovarne una richiedeva settimane di lavoro di un ricercatore esperto, con conoscenza profonda del codice e dell’ecosistema. Qui il costo è sceso a 25 dollari di API e sei ore di tempo di esecuzione. Il prompt organizza una ricerca sistematica, e il modello la esegue con sufficiente capacità di ragionamento da trovare una catena reale.

Quanto fidarsi. Il ricercatore è un professionista esperto: ha scelto il target, ha preparato l’ambiente, ha adattato il prompt. Non sappiamo se lo stesso approccio funzioni su target arbitrari o su codebase più piccole. WordPress è un progetto enorme con molte superfici d’attacco, il che paradossalmente aiuta: più codice, più strade da esplorare. La riproducibilità è parzialmente confermata: due team indipendenti hanno replicato la catena prima che uscissero altri PoC su GitHub. Non abbiamo dettagli sui tassi di successo su altri software.

L’aspetto più ampio. Il prompt dimostra un pattern che riguarda anche chi sta fuori dalla sicurezza: prendi un framework di ragionamento provato su un dominio difficile (la matematica), lo trasferisci su un altro dominio difficile (la ricerca di bug), e funziona. La lezione per chi usa l’AI nel proprio campo è che l’architettura del prompt, con multi-agente, diversificazione forzata e verifica avversariale, conta più del modello nudo. Il modello è la materia prima, il prompt è il processo.