HTTP Terminator: El nuevo analizador de HTTP impulsado por IA

PortSwigger ha presentado HTTP Terminator, una herramienta de investigación basada en inteligencia artificial creada por James Kettle. Este sistema logró identificar y demostrar nuevas técnicas de desincronización HTTP tras analizar 30.000 vectores potenciales, afectando a entidades críticas como bancos, aeropuertos e infraestructuras gubernamentales.

A través del estudio de 138 RFC de HTTP y SMTP, la IA generó miles de casos de prueba. Entre los hallazgos más relevantes destaca la técnica del "byte colgante", que mejora la fiabilidad del envenenamiento de la cola de respuesta (RQP), permitiendo potencialmente exponer datos sensibles de otros usuarios, como claves API o cookies de sesión.

La investigación también permitió descubrir una vulnerabilidad de día cero en Apache Traffic Server (CVE-2026-63078) y el concepto de Confusión de Analizador Compartido. Este último fue un esfuerzo colaborativo donde la IA propuso la idea y Kettle la validó, demostrando que la sinergia entre humano e IA puede hallar fallos que ninguno descubriría por separado.

Para mitigar estos riesgos, PortSwigger recomienda evitar el uso de HTTP/1.1 en la capa de origen. En caso de ser imprescindible, aconsejan restringir los métodos que pueden transportar cuerpos de solicitud.

Finalmente, HTTP Terminator ha sido lanzado como código abierto, utilizando modelos de Claude para la extracción de documentos y generación de pruebas, marcando un hito en la automatización de la investigación de seguridad informática.

   PortSwigger afirma que HTTP Terminator, un sistema de investigación asistido por inteligencia artificial (IA) desarrollado por James Kettle, generó y demostró nuevas técnicas de desincronización HTTP tras explorar 30.000 vectores de desincronización potenciales.

PortSwigger indicó que una cascada de descubrimiento independiente, guiada por humanos, también reveló una vulnerabilidad de día cero en Apache Traffic Server. Kettle explicó que HTTP Terminator analizó 30.000 sitios web con autorización para el escaneo mediante programas de recompensas por detección de errores o divulgación de vulnerabilidades, y encontró aproximadamente 700 objetivos vulnerables antes de una validación más exhaustiva y una investigación sobre RQP.

Kettle señaló que estos hallazgos afectaron a bancos, infraestructura gubernamental, productos de seguridad y un aeropuerto.

La investigación produjo nuevos desencadenantes de desincronización, un patrón de coincidencia doble de longitud de contenido y una técnica de "byte colgante" diseñada para aumentar la fiabilidad del envenenamiento de la cola de respuesta (RQP). El RQP puede provocar que un front-end pierda el rastro de qué respuesta del back-end pertenece a cada usuario, exponiendo potencialmente la respuesta de otro usuario, incluyendo cookies de sesión o claves API.

Los investigadores también revelaron la Confusión de Analizador Compartido, un concepto de ataque más amplio propuesto por el sistema y validado por Kettle. La defensa no ha cambiado: PortSwigger recomienda evitar HTTP/1.1 en la capa de origen. Cuando no se puede eliminar HTTP/1.1, recomienda permitir los métodos en ambas capas y restringir qué métodos pueden transportar cuerpos de solicitud.

En el informe técnico, Kettle indicó que alimentó HTTP Terminator con 138 RFC de HTTP y SMTP. Estos RFC se dividieron en aproximadamente 15.000 fragmentos pequeños y se utilizaron como inspiración para generar 30.000 vectores candidatos únicos. 

   Una técnica de Content-Type: multipart/byteranges funcionó en múltiples implementaciones de servidor y expuso más de 200 sitios web en el conjunto de prueba, incluyendo un banco estadounidense sin nombre.

La investigación autónoma probó 16 ideas para mejorar RQP. Solo la técnica del byte colgante superó la evaluación. Esto provoca que una solicitud mal formada quede incompleta con un byte menos, impidiendo que la segunda respuesta del servidor se genere hasta que una solicitud de la víctima proporcione el byte faltante. Esto elimina una condición de carrera que, de otro modo, haría que RQP no fuera confiable en muchos sitios.

En la cascada guiada por humanos, una solicitud mal formada expuso finalmente la desincronización de día cero en Apache Traffic Server. Los investigadores indicaron que el problema ya se ha corregido y se le ha dado seguimiento como CVE-2026-63078.

Una verificación realizada el 7 de agosto aún no encontró ningún registro público de CVE-2026-63078 en CVE.org ni en NVD, y el aviso de Apache de julio, que abarcaba 34 vulnerabilidades, no lo incluyó. Esto deja una laguna en la verificación del caso Apache: los registros públicos citados aún no permiten a los expertos en seguridad vincular CVE-2026-63078 con una versión específica corregida de Traffic Server.

Kettle explicó que la vulnerabilidad Shared-Parser Confusion surgió cuando HTTP Terminator detectó que las reglas de procesamiento de respuestas podían aplicarse incorrectamente a las solicitudes cuando los servidores reutilizaban la lógica de análisis. El sistema propuso el concepto, pero Kettle, director de investigación de PortSwigger, lo validó y generalizó. "Ninguno de los dos lo habría descubierto por sí solo", afirmó.

Esta distinción define el límite de autonomía en esta investigación: el sistema generó y proporcionó varias técnicas sin intervención humana directa, mientras que la vulnerabilidad de día cero de Apache y Shared-Parser Confusion aún requirieron la intervención de Kettle.

PortSwigger ha publicado HTTP Terminator como código abierto. El artículo no especifica qué modelo o versión generó cada descubrimiento autónomo. La implementación publicada utiliza Claude para la extracción de documentos y la generación de casos de prueba, mientras que su fase de investigación requiere Claude Code.

Por otro lado, los investigadores responsables de los ataques de desincronización basados ​​en CRLF publicaron herramientas para estudiar este tipo de ataque, incluyendo crlf-desyncs y crlf-powered-desync-scanner.

Kettle probó por separado modelos más recientes en una prueba de redescubrimiento y reportó una tasa de éxito del 30% para GPT-5.6 Sol cuando se le proporcionó una técnica de inspiración.