L'IA scopre oltre 100 vulnerabilità in Mozilla Firefox in due settimane

L'IA scopre oltre 100 vulnerabilità in Mozilla Firefox in due settimane

Claude, il modello di IA sviluppato da Anthropic, ha individuato oltre 100 bug nel browser Mozilla Firefox in due settimane, inclusi 14 problemi di sicurezza gravi. Mozilla intende integrare questo metodo nel proprio sviluppo per migliorare la sicurezza del software open source

di pubblicata il , alle 11:11 nel canale Web
MozillaFirefox
 

L'intelligenza artificiale sta iniziando a svolgere un ruolo sempre più importante nel campo della sicurezza informatica. Un esempio recente arriva dalla collaborazione tra Mozilla e la società di IA Anthropic, che ha portato alla scoperta di oltre cento bug nel browser Mozilla Firefox in appena due settimane di analisi.

Il lavoro è stato condotto insieme al team Frontier Red Team di Anthropic, utilizzando il modello di intelligenza artificiale Claude. L'obiettivo era individuare vulnerabilità di sicurezza nel codice del browser, in particolare nel motore JavaScript di Firefox. Questo componente è una parte fondamentale del software perché gestisce l'esecuzione degli script presenti nelle pagine web ed è spesso uno dei punti più sensibili dal punto di vista della sicurezza.

Grazie al nuovo metodo di analisi assistito dall'IA, il sistema è riuscito a identificare numerosi problemi nel codice. In totale sono stati confermati 14 bug di sicurezza ad alta gravità, che hanno generato 22 identificativi CVE per il monitoraggio ufficiale delle vulnerabilità. Tutti questi problemi sono stati corretti nella versione più recente del browser, Firefox 148.0.

Ulteriori vulnerabilità individuate in Mozilla Firefox

Oltre ai bug più critici, l'analisi ha individuato anche circa 90 vulnerabilità minori, successivamente risolte dagli sviluppatori. Un aspetto particolarmente utile del sistema sviluppato da Anthropic è la capacità di generare piccoli casi di test per ogni problema individuato. Questo ha permesso al team di Mozilla di verificare rapidamente i bug e riprodurli per correggerli.

Mozilla ha sottolineato che questo approccio differisce da molte altre iniziative legate all'uso dell'intelligenza artificiale nella sicurezza. Alcuni progetti open source hanno infatti ricevuto grandi quantità di segnalazioni generate da IA di scarsa qualità, spesso inviate da utenti che cercano di ottenere ricompense nei programmi di bug bounty senza controllare accuratamente i risultati.

Il metodo utilizzato da Anthropic si è rivelato invece molto più efficace. Molte delle vulnerabilità individuate vengono normalmente scoperte attraverso il fuzzing, una tecnica automatica che testa il software con input casuali o imprevisti per individuare crash e comportamenti anomali. Tuttavia, il sistema basato su Claude è riuscito anche a trovare bug logici, una categoria di errori che spesso sfugge alle tecniche tradizionali.

I migliori sconti su Amazon oggi
-35%

FRITZ!Repeater 1200 AX Edition International, Ripetitore - Wi-Fi 6 extender Dual Band con 2.400 Mbit/s (5 GHz) & 600 Mbit/s (2,4 GHz), Mesh, Access Point, 1x Gigabit LAN, Interfaccia in italiano

95.99 61.99€ Compra ora
-21%

TCL 43T6C 43'' QLED TV 4K HDR, Fire TV (Smart tv con Dolby Vision e Atmos, HDR10+, Premi e Chiedi ad Alexa)

329.00 259.00€ Compra ora
-22%

TCL 55T6C 55'' QLED TV 4K HDR, FireTV (SmartTV con Dolby Vision e Atmos, HDR10+, Premi e Chiedi ad Alexa)

449.00 349.00€ Compra ora
7 Commenti
Gli autori dei commenti, e non la redazione, sono responsabili dei contenuti da loro inseriti - info
pachainti09 Marzo 2026, 12:14 #1
Ottima notizia, tuttavia occorre anche considerare quanti falsi positivi ci siano. Se a fronte di X bug trovati, ci sono Y>>X bug falsi, è una perdita di tempo verificare il tutto.
Alcuni esempi di AI slop nei programmi bug bounty:
AI slop and fake reports are coming for your bug bounty programs
AI slop security reports submitted to curl4
Remove Bug Bounty program

From Reviewers’ Lens: Understanding Bug Bounty Report Invalid Reasons with LLMs
Our results show that large language models can handle bug bounty report validation fairly well in general, but they still struggle to identify invalid cases and often accept reports that only look like real vulnerabilities. Fine-tuning a task-specific model such as RoBERTa helps reduce this bias and makes the predictions more balanced between valid and invalid reports. However, the persistent performance gap across classes suggests that the models rely mainly on surface-level linguistic patterns rather than deeper reviewer reasoning.
Hiei360009 Marzo 2026, 13:20 #2
Originariamente inviato da: pachainti
Ottima notizia, tuttavia occorre anche considerare quanti falsi positivi ci siano. Se a fronte di X bug trovati, ci sono Y>>X bug falsi, è una perdita di tempo verificare il tutto.
Alcuni esempi di AI slop nei programmi bug bounty:
AI slop and fake reports are coming for your bug bounty programs
AI slop security reports submitted to curl4
Remove Bug Bounty program

From Reviewers’ Lens: Understanding Bug Bounty Report Invalid Reasons with LLMs
Our results show that large language models can handle bug bounty report validation fairly well in general, but they still struggle to identify invalid cases and often accept reports that only look like real vulnerabilities. Fine-tuning a task-specific model such as RoBERTa helps reduce this bias and makes the predictions more balanced between valid and invalid reports. However, the persistent performance gap across classes suggests that the models rely mainly on surface-level linguistic patterns rather than deeper reviewer reasoning.


Critica legittima, però bisognerebbe anche ricordare che i falsi positivi esistevano / esistono anche quando sono umani in carne ed ossa a riportare dei bug - è un po come quando certa gente critica l'IA (specie qualche anno fa) che fa artwork che sono praticamente degli sgorbi, dimenticandosi che anche gli umani per primi fanno artwork orripilanti, specie quando sono ancora dei dilettanti.

Detto questo si spera che in futuro l'IA sarà sempre più precisa nei bug report, per adesso già non è malaccio a mio avviso
pachainti09 Marzo 2026, 15:18 #3
Originariamente inviato da: Hiei3600
Critica legittima, però bisognerebbe anche ricordare che i falsi positivi esistevano / esistono anche quando sono umani in carne ed ossa a riportare dei bug - è un po come quando certa gente critica l'IA (specie qualche anno fa) che fa artwork che sono praticamente degli sgorbi, dimenticandosi che anche gli umani per primi fanno artwork orripilanti, specie quando sono ancora dei dilettanti.

La differenza fondamentale è che un modello LLM produce una quantità immensa di slop di almeno due-tre ordini di grandezza rispetto a un umano. L'altro grosso problema è che un LLM non lo fa volontariamente è che non capisce nulla di quello che fa, questo è ancora peggio. ChatGPT is bullshit.

Originariamente inviato da: Hiei3600
Detto questo si spera che in futuro l'IA sarà sempre più precisa nei bug report, per adesso già non è malaccio a mio avviso


Secondo i numeri, e quindi i fatti, non funziona affatto bene, ma ognuno è libero di credere quello che preferisce.
barzokk09 Marzo 2026, 16:27 #4
Originariamente inviato da: pachainti
La differenza fondamentale è che un modello LLM produce una quantità immensa di slop di almeno due-tre ordini di grandezza rispetto a un umano. L'altro grosso problema è che un LLM non lo fa volontariamente è che non capisce nulla di quello che fa, questo è ancora peggio. ChatGPT is bullshit.



Secondo i numeri, e quindi i fatti, non funziona affatto bene, ma ognuno è libero di credere quello che preferisce.

prima che arrivi qualcuno a ragliare "eh mah pachianti posta sempre le stesse storie"
è scritto nella news:

https://www.techspot.com/news/11160...refox-bugs.html
[I]Mozilla emphasized that Anthropic's approach to bug reporting differs significantly from other AI-driven efforts.
Some major open-source projects, including curl, have been forced to discourage or outright ban AI-generated contributions after being flooded with low-quality submissions from users attempting to earn bug bounty rewards without proper vetting.[/I]

se invece l'approccio è diverso, visto che la IA nel produrre codice da scimmia ammaestrata ha buoni risultati, diamo il beneficio del dubbio:

[I]Many of the vulnerabilities uncovered through Anthropic's technique are typically discovered through fuzzing, an automated testing method that feeds unexpected inputs into software to trigger crashes. However, Mozilla said the AI model also identified several classes of logic bugs that traditional fuzzing techniques often miss.[/I]

Insomma generare stronzate sembra proprio quello che è stato utile,
che vogliamo di più ?
pachainti10 Marzo 2026, 10:49 #5
Originariamente inviato da: barzokk
prima che arrivi qualcuno a ragliare "eh mah pachianti posta sempre le stesse storie"
è scritto nella news:

https://www.techspot.com/news/11160...refox-bugs.html
[I]Mozilla emphasized that Anthropic's approach to bug reporting differs significantly from other AI-driven efforts.
Some major open-source projects, including curl, have been forced to discourage or outright ban AI-generated contributions after being flooded with low-quality submissions from users attempting to earn bug bounty rewards without proper vetting.[/I]

se invece l'approccio è diverso, visto che la IA nel produrre codice da scimmia ammaestrata ha buoni risultati, diamo il beneficio del dubbio:

[I]Many of the vulnerabilities uncovered through Anthropic's technique are typically discovered through fuzzing, an automated testing method that feeds unexpected inputs into software to trigger crashes. However, Mozilla said the AI model also identified several classes of logic bugs that traditional fuzzing techniques often miss.[/I]

Insomma generare stronzate sembra proprio quello che è stato utile,
che vogliamo di più ?


Concordo su tutto. Grazie per la precisazione.
Giuss10 Marzo 2026, 12:03 #6
L'AI è di fatto un software che trova bug in un altro software, quale dei due ha ragione?
C'è sempre bisogno del controllo umano per vedere se le rilevazioni sono corrette secondo me
gabrieleromano10 Marzo 2026, 17:35 #7
la questione non è tanto se l'AI ileva 100 vulnerabilià in 2 settimane, quanto piuttosto se l'AI riesce scovare bug per gli hacker...

Devi effettuare il login per poter commentare
Se non sei ancora registrato, puoi farlo attraverso questo form.
Se sei già registrato e loggato nel sito, puoi inserire il tuo commento.
Si tenga presente quanto letto nel regolamento, nel rispetto del "quieto vivere".

La discussione è consultabile anche qui, sul forum.
 
^