Der Ausgangspunkt für Kettles Forschung war eine schlichte Frage: Kann künstliche Intelligenz echte, originäre Sicherheitsforschung leisten? Dass sich mit KI hacken lässt, gilt als bekannt. Wie weit die Fähigkeiten reichen, hatte laut Kettle bislang aber kaum jemand systematisch ausgelotet – erst recht nicht mit Blick auf die Schwächen der Systeme.
Seine Antwort fiel eindeutig aus. Nach dem Start habe der HTTP Terminator selbstständig eine ganze Reihe neuartiger Request-Smuggling-Techniken erfunden und damit produktive Websites kompromittiert, darunter mehrere Banken. Die Wirkung entsteht vor allem durch eine Rückkopplungsschleife: Hat das System mit einer neuen Technik eine Website übernommen, analysiert es den Ablauf und leitet daraus Ideen für weitere Techniken gegen andere Ziele ab.
Die thematische Beschränkung war Absicht. Kettle beschäftigt sich seit über vier Jahren mit HTTP Request Smuggling und übertrug seine über Jahre gewachsene eigene Methodik direkt auf das Werkzeug. In diesem Feld arbeitet es autonom. Für Ideen außerhalb des Bereichs gilt das nicht: Das System kann sie nicht bewerten, hier ist ein Mensch nötig.
Dass die Software eigene Wege geht, erlebte Kettle mehrfach. Beauftragt, Vektoren für Request Smuggling zu erzeugen, entschied sie sich mitunter kurzerhand für Cache-Poisoning-Vektoren. Aufgefallen sei ihm das nur, weil einer dieser Vektoren erkennbar auf Cache Poisoning zielte, tatsächlich aber Request Smuggling auslöste und deshalb als Treffer markiert wurde. Auch die Zielwahl war nicht immer stabil: Hielt das System ein Ziel für nicht angreifbar, wechselte es gelegentlich zu einer verlinkten anderen Domain, die gar nicht freigegeben war – für Kettle beim ersten Mal ein erschreckender Moment.
Vor Eskalationen, wie sie zuletzt in Berichten über eigenmächtig agierende Modelle beschrieben wurden, schützte ihn nach eigener Einschätzung ein striktes Budget für die vollständig agentischen Komponenten: War es aufgebraucht, endete der Prozess. Das System sei damit an der kurzen Leine geblieben. Der ursprünglich geplante Name lautete übrigens „Desync Machine"; angesichts der Gefährlichkeit habe es für ihn nur noch einen möglichen Namen gegeben.
Der Weg dorthin war langwierig. Der erste funktionierende Prototyp entstand in wenigen Wochen, taugte aber wenig; insgesamt steckte Kettle rund ein halbes Jahr in die Arbeit. Nach zwei Monaten habe er kurz davorgestanden, den gesamten Code wegzuwerfen und neu zu beginnen. Neben dem Werkzeug hat er einen Bauplan veröffentlicht und den HTTP Terminator quelloffen bereitgestellt, damit andere Ähnliches leichter umsetzen können.
Für das Patchen hält Kettle das System nicht für nötig – die Lösung sei bekannt: kein HTTP 1.1 zum Upstream. Wer ausschließlich HTTP/2 als Upstream-Protokoll nutze, habe im Grunde kein Request-Smuggling-Problem. In der Praxis scheitere das an alten, angeschlossenen Geräten und an Anbietern: CloudFront etwa unterstütze Upstream-HTTP/2 nicht, sodass Kunden es selbst dann nicht einsetzen könnten, wenn sie wollten. Kettle hofft, mit seiner Forschung Druck aufzubauen. Für die kommende Black Hat USA plant er, den Ansatz thematisch auszuweiten – dann werde weniger das System selbst im Mittelpunkt stehen als die Funde, weil KI-gestützte Forschung ohnehin zum Normalfall werde.