ИИ-агенты на базе Claude нашли уязвимости в информационной безопасности 16 SAML-проектов за месяц

Эрик Чан, технический директор компании Oblique Security, опубликовал результаты 19 августа в своём блоге. Чан давно работает с протоколом SAML: почти десять лет назад он добавил его поддержку в проект Dex, и та реализация со временем обросла уязвимостями в информационной безопасности. По его словам, SAML опасен по своей конструкции. Толчком к эксперименту стало эссе Нильса Провоса «Finding Zero-Days with Any Model», после которого Чан решил направить ИИ-агентов (программы, которые сами выполняют цепочку действий без постоянного контроля человека) на поиск дыр во всех реализациях SAML, до которых дотянется.

Как устроен протокол и почему он ломается?

SAML работает как подписанный пропуск: провайдер идентификации выдаёт приложению XML-документ с адресом пользователя и криптографической подписью. Подпись ставится под документом целиком. Но документ читают два разных компонента: библиотека проверки подписи и логика самого приложения. Если они разбирают XML хотя бы немного по-разному, атакующий может подсунуть неподписанные данные под видом заверённых.

Такие расхождения не экзотика. По данным блога Чана, с 2020 года обход в крупной SAML-библиотеке всплывает примерно раз в квартал, а у одного только GitHub Enterprise их было четыре за 2024-2025 годы.

Что понадобится

• Подписка Claude Max 20x (по данным блога Чана, около 200 долларов в месяц)
• Доступ к программе Anthropic Cyber Verification Program: заявка снимает защитные ограничения и открывает модель Opus, способную генерировать эксплойты (код, доказывающий наличие уязвимости)
• Набор целей: исходный код SAML-библиотек на языках Go, Python, PHP, Java, Node.js
• Модель угроз SAML: описание типичных атак на протокол, без копирования конкретных известных уязвимостей
• Время: около месяца в свободном режиме

Пошаговая инструкция

1. Подайте заявку в Anthropic Cyber Verification Program. Без снятия ограничений Claude откажется генерировать эксплойт-код. Чан получил доступ к модели Opus именно через эту программу.

2. Соберите двухфазный конвейер из ИИ-агентов. Чан разделил работу на две фазы:

3. Фаза «гаджетов»: агенты ищут странности в поведении XML-библиотек, каждую странность фиксируют.

4. Фаза находок: гаджеты комбинируют и подтверждают сквозным эксплойтом.

5. Организуйте промежуточное хранилище в формате JSONL. Результаты каждого шага складываются в файлы, которые обрабатывает следующий шаг конвейера.

6. Добавьте фильтрацию на ранних этапах. Отдельный шаг отбрасывает находки вне заданной области до того, как на их доказательство потратятся токены (единицы текста, которые модель обрабатывает за деньги).

7. Дайте модели модель угроз, а не примеры багов. Чан обнаружил, что корпус известных уязвимостей SAML ухудшал результат: получив его, Claude искал точные копии этих же багов. Связка «модель угроз плюс свобода исследования» работала заметно лучше.

Пример промпта для фазы гаджетов (по описанию Чана):

Ты — исследователь безопасности.
Проанализируй, как данная XML-библиотека обрабатывает
комментарии внутри элемента NameID.
Сравни результат разбора с результатом библиотеки
проверки подписи.
Зафиксируй любое расхождение как потенциальный гаджет.
Не ищи конкретные CVE — ищи новые расхождения.

1. Проверьте каждую находку сквозным эксплойтом. Агент должен не просто указать на странность, а подтвердить её работающим кодом, иначе это шум.

2. Отправьте отчёт мейнтейнерам через приватный канал. На ответ закладывайте от месяца: по опыту Чана, мейнтейнеры либо не отвечают, либо тонут в потоке отчётов.

Писать безопасный SAML у LLM тоже не получается

Отдельная история связана с проектом OneUptime. Чан отправил приватный отчёт и месяц не получал ответа. После публичного issue в тот же день появился большой пул-реквест (запрос на слияние кода), закрывающий уязвимость, без единого человеческого комментария. Чан сломал исправление. Появился второй большой пул-реквест. Чан сломал и его. Только после третьего захода правки стали похожи на безопасные.

Вывод Чана: LLM (большие языковые модели, на которых работают ChatGPT, Claude и их аналоги) пока плохо справляются с написанием безопасного SAML-кода.

Что делать прямо сейчас, по ролям

Системному администратору и безопаснику. Проверьте, какая SAML-библиотека стоит у вас. Если это Authentik, обновитесь до версий 2026.2.6 или 2026.5.5. Если используете lightsaml, OneUptime, saml-client или любую из 12 затронутых библиотек, следите за патчами. На Python и Node.js исправлений пока нет.

Разработчику. Если вы когда-либо писали собственную реализацию SAML, перечитайте совет Чана: переходите на готовую зрелую библиотеку или на протокол OpenID Connect. Свежий код ломается первым.

Руководителю и предпринимателю в РФ. Открытые SAML-решения активно используют на госпредприятиях и в корпоративных сетях. Authentik, lightsaml и аналогичные проекты встречаются в российских инфраструктурах. Поручите ИБ-отделу аудит SAML-компонентов: цена промедления после такой публикации может оказаться высокой. Из российских систем управления доступом стоит проверить совместимость обновлений с Avanpost и Blitz Identity Provider, если они используют затронутые библиотеки в качестве зависимостей.

Автору Дзена, пишущему про технологии. История Чана показывает новый жанр контента: не обзор нейросети, а разбор реального кейса, где ИИ нашёл то, что люди пропустили. Восемь исследователей пришли к одной уязвимости независимо: это сигнал, что тема ИИ в кибербезопасности набирает аудиторию.

Восемь исследователей, одна уязвимость, ноль координации между ними. Это не совпадение, а новая скорость: у кого есть подписка и грамотный промпт, тот находит дыры раньше, чем их латают. Проверьте свои SAML-зависимости сегодня, потому что кто-то с Claude уже проверил их за вас.